Zusammenfassung

  • Nach Ablauf der Schonfrist lässt sich ein Vault Lock im Compliance-Modus bei vorhandenen Wiederherstellungspunkten selbst durch root nicht entfernen. Für die Schließung des Kontos gilt eine andere Regel: Nach 90 Tagen ohne Wiedereröffnung löscht AWS den Tresorinhalt.
  • Die Stilllegung eines Produkts braucht eine gesonderte Entscheidung über seine Unterlagen. Eine geprüfte Kopie in einem weitergeführten Konto und ein benannter Verantwortlicher machen die Übergabe belastbar.

Die letzte Kostenstelle hat noch Akten

Für das Controlling ist ein eingestelltes Produkt erst dann richtig eingestellt, wenn seine letzten Ausgaben verschwinden. Für die Abteilung, die später eine alte Lieferung erklären muss, kann die Arbeit gerade erst beginnen. Dazwischen liegt ein Cloud-Konto, das in der einen Tabelle als Restkostenblock und in der anderen als Gedächtnis dient.

AWS macht diese Doppelrolle besonders anschaulich. Laut Vault-Lock-Dokumentation bleiben Backups nach einer Kontoschließung während einer 90-tägigen Suspendierung erhalten. Wird das Konto in dieser Zeit nicht wieder eröffnet, löscht AWS den Tresorinhalt auch bei eingerichtetem Vault Lock.

Eine Firma kann also Löschrechte sorgfältig beschränken und anschließend den Träger dieser Beschränkung auflösen. Das Schloss hält. Der Mietvertrag für den Raum endet.

Selbstbeschränkung ist eine Leistung

Vault Lock bietet unterschiedliche Eingriffsmöglichkeiten. Im Governance-Modus können entsprechend berechtigte Nutzer den Schutz ändern. Der Compliance-Modus entzieht nach der Schonfrist auch root und AWS die Möglichkeit, den Lock zu verändern oder zu entfernen, solange Wiederherstellungspunkte im Tresor liegen.

Diese Einschränkung kann den Kauf rechtfertigen. Ein Administrator soll alte Daten nicht aus Bequemlichkeit beseitigen können. Ein Angreifer mit hohen Rechten soll auf eine zusätzliche Schranke treffen. Die Firma entscheidet sich dafür, eine spätere spontane Entscheidung zu erschweren.

Dazu muss sie allerdings den Ort weiterführen, an dem die Schranke gilt. Wenn die Aufbewahrungsdauer länger ist als die Lebenszeit des Produkts, braucht das Konto einen Auftrag über das Produktende hinaus. Der Backup-Verantwortliche kann diesen Auftrag nicht allein durch Auswahl einer langen Frist erteilen.

Erhaltene Daten sind noch kein verfügbarer Auskunftsdienst

Die AWS-Regeln zur Kontoschließung werten die Schließung als Kündigungsmitteilung zum Kundenvertrag dieses Kontos. Während der folgenden 90 Tage erfordert der Zugriff auf Inhalte und Dienste die Wiedereröffnung. Nach der endgültigen Schließung lässt sich das Konto nicht zurückholen; auch seine Kennung ist nicht wiederverwendbar.

Der Inhalt kann folglich noch vorhanden sein, während die Fachabteilung bereits vor einer geschlossenen Tür steht. Für eine dringende Rückfrage über einen alten Vorgang zählt die Zeit bis zur nutzbaren Auskunft. Ein Hinweis auf unversehrte Bytes beendet die Rückfrage selten.

Man stelle sich die Abwicklung einer Sparte vor: Beschäftigte wechseln, Budgets werden geschlossen, die technische Mannschaft arbeitet die Restliste ab. Die Person, die später Unterlagen braucht, besitzt womöglich weder die Zugangsmittel noch einen Ansprechpartner. Öffentliche Unterlagen enthalten kein Kundeninventar und keine Wiederherstellungstests, mit denen sich ein konkreter Schaden beziffern ließe; diese Nachweise muss die Firma selbst beibringen.

Für die Rückkehr reicht ein Termin im Kalender nicht

Die aktuelle Anleitung zur Wiedereröffnung erlaubt Selbstbedienung, wenn der Kunde das Konto selbst geschlossen hat und bei Schließung kein offener Saldo bestand. Erforderlich sind die root-Identität, der Antrag innerhalb von 90 Tagen und ein gültiges Zahlungsmittel. Ein IAM-Nutzer oder eine Rolle kann root dabei nicht ersetzen.

Bei durch AWS geschlossenen Konten verlangt die beschriebene Route die Begleichung offener Beträge innerhalb von 30 Tagen ab Schließung und Kontakt zum Support. Eine pauschale Wiedervorlage am Ende der 90 Tage würde eine vorgelagerte Bedingung übersehen.

Auch nach erfolgreicher Wiedereröffnung laufen manche Ressourcen nicht automatisch. AWS nennt etwa das Starten gestoppter EC2-Instanzen und die Wiederherstellung von RDS-Datenbanken aus den bei Schließung erzeugten Snapshots. Ein aktiver Kontostatus ist der Beginn der Funktionsprüfung.

Sogar die Kontaktadresse kann Teil der stillgelegten Konstruktion sein. Die Schließungsdokumentation warnt vor einer root-Mailadresse auf einer Route-53-Domain im selben Konto: Die Domain-Suspendierung kann den Mailzugang unterbrechen. Wer das Büro für verlorene Schlüssel abschafft, sollte vorher prüfen, ob dort der einzige Ersatzschlüssel liegt.

Eine Übergabe hat einen Empfänger

Mit kontenübergreifenden Kopien in AWS Backup lässt sich eine Kopie in ein Zielkonto bringen und dort wiederherstellen. Quell- und Zielkonto müssen derselben AWS-Organizations-Organisation angehören. Unterstützte Ressourcen und Regionen, Zugriffsregeln und geeignete Schlüssel gehören zu den Voraussetzungen. Kontenübergreifende Kopien in kalte Speicherschichten werden nicht unterstützt.

Die Kopie wird mit dem Schlüssel des Zieltresors neu verschlüsselt. Bloße Zugriffsrechte eines anderen Kontos auf das Original verlegen dessen Aufbewahrungsort nicht. Die Übergabe braucht eine abgeschlossene Kopie und eine tatsächlich geprüfte Wiederherstellung am Ziel.

Beide Konten können weiter derselben Stilllegungsentscheidung unterliegen. Der zusätzliche Kontoname schafft noch keinen unabhängigen Auftrag. Ein Aufbewahrungskonto braucht eine definierte Aufgabe, einen finanzierten Zeitraum und jemanden, der seiner nächsten Schließung zustimmen müsste.

Das Ende der Aufbewahrung darf bewusst gewählt werden. Eine Firma muss nicht jeden Rest für immer tragen. Sie sollte jedoch den Nutzen der Unterlagen beurteilen, bevor eine Kostenstellenbereinigung das Urteil stillschweigend übernimmt.