¿Cómo soluciono los errores de tipo «insufficient privileges» y «access denied» cuando uso AWS Backup para realizar una restauración de Amazon EFS?

Resolución

Confirmación de que la identidad de IAM tiene los permisos necesarios

Consulta la política del rol de AWS Identity and Access Management (IAM) que crea el trabajo de restauración para confirmar que tiene la acción backup:StartRestoreJob.

Si has activado el cifrado, asegúrate de que la política de IAM o la política de claves de AWS Key Management Service (AWS KMS) tengan las siguientes acciones:

• «kms:DescribeKey»
• «kms:GenerateDataKeyWithoutPlaintext»
• «kms:CreateGrant»

Confirmación de que se han incluido las acciones de Amazon EFS necesarias

La política de IAM asociada al rol de IAM incluido en la solicitud de restauración debe incluir las siguientes acciones de Amazon EFS:

• «elasticfilesystem:Restore»
• «elasticfilesystem:CreateFilesystem»
• «elasticfilesystem:DescribeFilesystems»
• «elasticfilesystem:DeleteFilesystem»

Eliminación de las instrucciones Deny

Elimina las instrucciones Deny de la acción backup:StartRestoreJob de la política de acceso al almacén. Por ejemplo, la siguiente política de acceso al almacén predeterminado de Amazon EFS aws/efs/automatic-backup-vault deniega la acción backup:StartRestoreJob:

{  
    "Version": "2012-10-17",  
    "Statement": [{  
        "Effect": "Deny",  
        "Principal": {  
            "AWS": "*"  
        },  
        "Action": [  
            "backup:DeleteBackupVault",  
            "backup:DeleteBackupVaultAccessPolicy",  
            "backup:DeleteRecoveryPoint",  
            "backup:StartCopyJob",  
            "backup:StartRestoreJob",  
            "backup:UpdateRecoveryPointLifecycle"  
        ],  
        "Resource": "*"  
    }]  
}

Además, debes eliminar las instrucciones Deny de tus políticas de IAM y de las políticas de control de servicios (SCP) de AWS Organizations que denieguen las acciones necesarias para los siguientes servicios:

• AWS Backup
• Amazon EFS
• AWS KMS