AWS Backup : centraliser la sauvegarde sur AWS

AWS Backup est le service managé d'Amazon Web Services qui centralise la sauvegarde des ressources hébergées sur AWS. Au lieu de multiplier les snapshots et les scripts service par service, il applique des règles communes, les audite et les rend opposables. C'est souvent la première brique d'un plan de reprise sur AWS.

Ce que fait AWS Backup

AWS Backup orchestre la protection d'un large éventail de services : volumes EBS et instances EC2, bases RDS et Aurora, tables DynamoDB, systèmes de fichiers EFS et FSx, buckets S3, et d'autres encore selon la région. Il peut aussi protéger des machines virtuelles VMware sur site via une passerelle dédiée.

Son intérêt tient en trois mots : centralisation, politique et preuve. Une même règle définit la fréquence, la rétention et la destination des copies pour des centaines de ressources, et le service conserve la trace de ce qui a été sauvegardé ou non.

Fonctionnement et composants

• Backup plan : la politique elle-même — fréquence, fenêtre, durée de conservation, transitions vers un stockage froid, copies vers une autre destination.
• Resource assignment : l'affectation des ressources au plan, idéalement par tags, pour que toute nouvelle ressource taguée soit protégée sans intervention.
• Backup vault : le coffre qui stocke les points de restauration, chiffrés avec une clé KMS.
• Recovery point : la copie restaurable produite à chaque exécution.
• Vault Lock : le verrouillage du coffre en mode WORM. En mode compliance, même un administrateur ne peut ni raccourcir la rétention ni supprimer les copies avant échéance.
• Copies inter-régions et inter-comptes : une copie dans un autre compte AWS isole les sauvegardes d'un compte de production compromis.
• AWS Organizations : des politiques de sauvegarde imposées depuis le compte de gestion à toute l'organisation.
• Backup Audit Manager : des contrôles et rapports qui prouvent la conformité aux règles définies.
• Restore testing : des restaurations planifiées pour vérifier que les copies sont exploitables.

Points forts

• Aucune infrastructure à gérer : pas de serveur de sauvegarde, pas de médias, pas de catalogue à maintenir.
• Gouvernance à l'échelle : politiques par organisation, affectation par tags, rapports d'audit.
• Résistance aux ransomwares : Vault Lock et compte de sauvegarde séparé limitent l'impact d'identifiants volés.
• Intégration native : IAM, KMS, CloudTrail et EventBridge s'appliquent comme au reste du compte.

Points d'attention

• Périmètre AWS : le service protège d'abord AWS. Les postes de travail, les SaaS et une grande partie du parc sur site demandent un autre outil.
• Granularité : selon le service source, la restauration fine (un fichier, une table) est plus ou moins directe. À valider ressource par ressource.
• Coûts : stockage des points de restauration, copies inter-régions et restaurations se facturent. Une rétention généreuse sans tri devient vite coûteuse ; un regard FinOps aide à la calibrer.
• Erreur de verrouillage : Vault Lock en mode compliance est irréversible une fois la période de grâce écoulée. Il se teste avant d'être appliqué en production.
• Isolation réelle : laisser les sauvegardes dans le même compte que la production réduit fortement la protection en cas de compromission.

Missions et profils recherchés

Projets typiques :

• Mise en place d'une stratégie de sauvegarde multi-comptes avec AWS Organizations.
• Création d'un compte de sauvegarde isolé avec Vault Lock et copies inter-régions.
• Reprise d'un existant fait de snapshots et de scripts vers des plans centralisés.
• Industrialisation en infrastructure as code (Terraform, CloudFormation).
• Tests de restauration et documentation du PRA.

Compétences attendues : maîtrise des services AWS protégés, IAM et KMS, AWS Organizations, Terraform ou CloudFormation, notions de RPO et RTO, et une culture de la sauvegarde au-delà du cloud. Les profils viennent souvent de l'administration AWS ou de l'administration backup.

FAQ

AWS Backup remplace-t-il les snapshots EBS ? Il s'appuie dessus pour certains services, mais il ajoute la politique, la rétention, la copie et l'audit. Les snapshots isolés restent possibles, sans gouvernance commune.

Faut-il un compte AWS dédié aux sauvegardes ? C'est une bonne pratique : un compte séparé, avec des droits restreints et un coffre verrouillé, isole les copies d'une compromission de la production.

AWS Backup suffit-il pour un environnement hybride ? Rarement à lui seul. Les entreprises hybrides le combinent souvent avec une solution d'éditeur comme Veeam. Comparez aussi les clouds dans AWS Backup vs Azure Backup vs Google Cloud.

ForTeam IT à vos côtés

Vous structurez la sauvegarde de vos comptes AWS ou vous cherchez une mission sur le sujet ? ForTeam IT mobilise des consultants cloud et backup sélectionnés. Retrouvez notre panorama des solutions de sauvegarde d'entreprise, notre guide stratégie 3-2-1 et immutabilité et notre page Azure Backup.

Rejoindre la communauté