Segurança do backup automatizado da AWS via instantâneos

Question

Eu preciso automatizar o backup de uma instância do Linux AWS. Eu gostaria de fazer isso por meio de um dos muitos scripts disponíveis que dependem do acesso da API da AWS para fazer instantâneos do volume do EBS subjacente.

O que tive dificuldade em descobrir é se devo executar esses scripts / ativar o acesso à API na instância para fazer backup, em outra instância ou até mesmo de um host de fora da AWS? O que é mais seguro?

[1] link

    

Answer 1

Se você criar um usuário do IAM (ou função de instância, se preferir) que possa somente criar instantâneos - nada mais, incluindo exclusão - e usar as chaves de acesso desse usuário, praticamente não importa.

Mesmo que suas chaves vazassem para o 4chan, o pior que poderiam fazer seria fazer um monte de fotos.

Veja um exemplo de política do IAM:

{
    "Statement": [{
        "Action": [
            "ec2:CreateSnapshot"
        ],
        "Effect": "Allow",
        "Resource": "*"
    }]
}