AWS Backup を使用して Amazon EFS 復元を実行する場合の "insufficient privileges" エラー、および "access denied" エラーを解決する方法を教えてください。

解決策

IAM ID に必要なアクセス許可があることを確認する

復元ジョブを作成する AWS Identity and Access Management (IAM) ロールのポリシーをチェックして、バックアップジョブに backup:StartRestoreJob アクションがあることを確認します。

暗号化を有効にした場合は、IAM ポリシーまたは AWS キー管理サービス (AWS KMS) キーポリシーに以下のアクションがあることを確認してください。

• "kms:DescribeKey"
• "kms:GenerateDataKeyWithoutPlaintext"
• "kms:CreateGrant"

必要な Amazon EFS アクションが含まれていることを確認する

復元リクエストに含まれる IAM ロールにアタッチされている IAM ポリシーには、次の Amazon EFS アクションが含まれている必要があります。

• "elasticfilesystem:Restore"
• "elasticfilesystem:CreateFilesystem"
• "elasticfilesystem:DescribeFilesystems"
• "elasticfilesystem:DeleteFilesystem"

Deny ステートメントの削除

ボールトアクセスポリシーの backup:StartRestoreJob アクションの Deny ステートメントを削除します。たとえば、デフォルトの Amazon EFS aws/efs/automatic-backup-vault ボールトに対する次のアクセスポリシーでは、backup:StartRestoreJob アクションが拒否されます。

{  
    "Version": "2012-10-17",  
    "Statement": [{  
        "Effect": "Deny",  
        "Principal": {  
            "AWS": "*"  
        },  
        "Action": [  
            "backup:DeleteBackupVault",  
            "backup:DeleteBackupVaultAccessPolicy",  
            "backup:DeleteRecoveryPoint",  
            "backup:StartCopyJob",  
            "backup:StartRestoreJob",  
            "backup:UpdateRecoveryPointLifecycle"  
        ],  
        "Resource": "*"  
    }]  
}

また、以下のサービスに必要なアクションを拒否するDeny ステートメントを IAM ポリシーと AWS Organizations サービスコントロールポリシー (SCP) から削除してください。

• AWS Backup
• Amazon EFS
• AWS KMS