Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Erstellen von Sicherungskopien auf AWS-Konten

Mithilfe AWS Backup können Sie bei Bedarf oder automatisch AWS-Konten im Rahmen eines geplanten Sicherungsplans mehrere sichern. Verwenden Sie ein kontoübergreifendes Backup, wenn Sie Ihre Backups aus betrieblichen oder Sicherheitsgründen sicher auf eines oder mehrere AWS-Konten in Ihrem Unternehmen kopieren möchten. Wenn Ihr ursprüngliches Backup versehentlich gelöscht wird, können Sie das Backup von seinem Zielkonto in das Quellkonto kopieren und dann die Wiederherstellung starten. Bevor Sie dies tun können, benötigen Sie zwei Konten, die zur selben Organisation im AWS Organizations -Dienst gehören. Weitere Informationen finden Sie unter Anleitung: Erstellen und Konfigurieren einer Organisation im Organisations-Benutzerhandbuch.

Sie müssen in Ihrem Zielkonto einen Backup-Tresor erstellen. Anschließend weisen Sie einen vom Kunden verwalteten Schlüssel zur Verschlüsselung von Backups im Zielkonto und eine ressourcenbasierte Zugriffsrichtlinie zu, die den Zugriff auf die Ressourcen ermöglicht AWS Backup , die Sie kopieren möchten. Wenn Ihre Ressourcen im Quellkonto mit einem vom Kunden verwalteten Schlüssel verschlüsselt sind, müssen Sie diesen vom Kunden verwalteten Schlüssel mit dem Zielkonto teilen. Anschließend können Sie einen Backup-Plan erstellen und ein Zielkonto auswählen, das in AWS Organizations Teil Ihrer Organisationseinheit ist.

Wenn Sie ein Backup zum ersten Mal in ein Cross-Account-Konto kopieren, wird das Backup AWS Backup vollständig kopiert. Wenn ein Dienst inkrementelle Backups unterstützt, sind nachfolgende Kopien dieser Sicherung in demselben Konto im Allgemeinen inkrementell. AWS Backup verschlüsselt Ihre Kopie erneut mit dem vom Kunden verwalteten Schlüssel Ihres Zieltresors.

Einrichten kontenübergreifender Backups

Weitere Informationen zu Sicherheit finden Sie unter Sicherheitsüberlegungen für kontoübergreifende Backups.

Um das kontoübergreifende Backup verwenden zu können, müssen Sie das kontoübergreifende Backup-Feature aktivieren. Dann müssen Sie die Zugriffsrichtlinie backup:CopyIntoBackupVault für Ihren Ziel-Backup-Tresor „zulassen“.

Planen kontenübergreifender Backups

Sie können einen geplanten Backup-Plan verwenden, um Backups über AWS-Konten hinweg zu kopieren.

Durchführen eines kontoübergreifenden On-Demand-Backups

Sie können ein Backup bei Bedarf auf ein anderes AWS-Konto kopieren.

Verschlüsselungsschlüssel und kontoübergreifende Kopien

Der Verschlüsselungsschlüssel für kontoübergreifende Kopien hängt vom Ressourcentyp ab. Ressourcen, die den Vollständige Verwaltung AWS Backup Verschlüsselungsschlüssel des Quell-Backup-Tresors verwendet haben. Vom Kunden verwaltete KMS Schlüssel können für die kontoübergreifende Kopierverschlüsselung dieser Ressourcentypen verwendet werden.

Ressourcentypen, die nicht vollständig verwaltet werden, AWS Backup haben denselben Quell KMS - und KMS Ressourcenschlüssel. Kontoübergreifendes Kopieren mit AWS verwalteten KMS Schlüsseln wird für diese Arten von Ressourcen, die nicht vollständig verwaltet AWS Backup werden, nicht unterstützt.

Weitere Hilfe zur Behebung von Fehlern beim kontenübergreifenden Kopieren finden Sie im AWS Knowledge Center.

Bei einer kontoübergreifenden Kopie muss die KMS Schlüsselrichtlinie für das Quellkonto das Zielkonto für die KMS Schlüsselrichtlinie zulassen.

Wiederherstellung eines Backups von einem AWS-Konto auf ein anderes

AWS Backup unterstützt nicht die Wiederherstellung von Ressourcen von einem AWS-Konto zum anderen. Sie können jedoch ein Backup von einem Konto auf ein anderes Konto kopieren und es dann in diesem Konto wiederherstellen. Sie können beispielsweise kein Backup von Konto A auf Konto B wiederherstellen, aber Sie können ein Backup von Konto A auf Konto B kopieren und es dann in Konto B wiederherstellen.

Das Wiederherstellen eines Backups von einem Konto bei einem anderen ist ein zweistufiger Prozess.

Freigeben eines Backup-Tresors für ein anderes AWS -Konto

AWS Backup ermöglicht es Ihnen, einen Backup-Tresor mit einem oder mehreren Konten oder Ihrer gesamten Organisation gemeinsam zu nutzen AWS Organizations. Sie können einen Ziel-Backup-Tresor mit einem AWS Quellkonto, einem Benutzer oder einer IAM Rolle teilen.

Sie können IAM Richtlinien verwenden, um Ihren Backup-Tresor gemeinsam zu nutzen.

Teilen Sie einen Ziel-Backup-Tresor mit einer AWS-Konto IAM Oder-Rolle

Die folgende Richtlinie teilt sich einen Backup-Tresor mit der Kontonummer 4444555566666 und der IAM Rolle SomeRole in der Kontonummer111122223333.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":{
        "AWS":[
          "arn:aws:iam::444455556666:root",
          "arn:aws:iam::111122223333:role/SomeRole"
        ]
      },
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*"
    }
  ]
}

Teilen Sie sich einen Ziel-Backup-Tresor mit einer Organisationseinheit AWS Organizations

Die folgende Richtlinie gibt einen Backup-Tresor für Organisationseinheiten, die ihre PrincipalOrgPaths verwenden, frei.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":"*",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "ForAnyValue:StringLike":{
          "aws:PrincipalOrgPaths":[
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/ou-jkl0-awsddddd/*"
          ]
        }
      }
    }
  ]
}

Teilen Sie einen Ziel-Backup-Tresor mit einer Organisation in AWS Organizations

Die folgende Richtlinie teilt gibt einen Backup-Tresor für die Organisation frei mit PrincipalOrgID „o-a1b2c3d4e5“.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":"*",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "StringEquals":{
          "aws:PrincipalOrgID":[
            "o-a1b2c3d4e5"
          ]
        }
      }
    }
  ]
}

Konfigurieren eines Kontos als Zielkonto

Wenn Sie zum ersten Mal kontenübergreifende Backups mit Ihrem AWS Organizations Verwaltungskonto aktivieren, kann jeder Benutzer eines Mitgliedskontos sein Konto als Zielkonto konfigurieren. Wir empfehlen, eine oder mehrere der folgenden Dienststeuerungsrichtlinien (SCPs) einzurichten AWS Organizations , um Ihre Zielkonten einzuschränken. Weitere Informationen zum Anhängen von Dienststeuerungsrichtlinien an AWS Organizations Knoten finden Sie unter Dienststeuerungsrichtlinien anhängen und trennen.

Beschränken von Zielkonten mithilfe von Tags

Wenn sie mit einem AWS Organizations Root-, OU- oder Einzelkonto verknüpft sind, beschränkt diese Richtlinie die Kopierziele von diesem Stammkonto, dieser Organisationseinheit oder diesem Konto nur auf die Konten mit Backup-Tresoren, die Sie markiert haben. DestinationBackupVault Die Berechtigung "backup:CopyIntoBackupVault" steuert, wie sich ein Backup-Tresor verhält und in diesem Fall, welche Ziel-Backup-Tresore gültig sind. Verwenden Sie diese Richtlinie zusammen mit dem entsprechenden Tag, das auf genehmigte Zieltresore angewendet wird, um die Ziele von kontenübergreifenden Kopien zu kontrollieren, die nur an genehmigte Konten und Backup-Tresore gesendet werden.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "Null":{
          "aws:ResourceTag/DestinationBackupVault":"true"
        }
      }
    }
  ]
}

Beschränken der Zielkonten mithilfe von Kontonummern und Tresornamen

Wenn sie mit einem AWS Organizations Root-, OU- oder Einzelkonto verknüpft sind, beschränkt diese Richtlinie Kopien, die von diesem Root-, OU- oder Konto stammen, auf nur zwei Zielkonten. Die Berechtigung "backup:CopyFromBackupVault" steuert das Verhalten eines Wiederherstellungspunkts im Backup-Tresor und in diesem Fall die Ziele, an die Sie diesen Speicherort kopieren können. Der Quelltresor erlaubt nur Kopien auf das erste Zielkonto (112233445566), wenn ein oder mehrere Namen des Ziel-Backup-Tresors mit cab- beginnen. Der Quelltresor erlaubt nur Kopien auf das zweite Zielkonto (123456789012), wenn das Ziel der einzelne Backup-Tresor mit dem Namen fort-knox ist.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyFromBackupVault",
      "Resource":"arn:aws:ec2:*:snapshot/*",
      "Condition":{
        "ForAllValues:ArnNotLike":{
          "backup:CopyTargets":[
            "arn:aws:backup:*:112233445566:backup-vault:cab-*",
            "arn:aws:backup:us-west-1:123456789012:backup-vault:fort-knox"
          ]
        }
      }
    }
  ]
}

Beschränken Sie Zielkonten mithilfe von Organisationseinheiten in AWS Organizations

Wenn sie an ein AWS Organizations Stammkonto oder eine Organisationseinheit angehängt sind, die Ihr Quellkonto enthält, oder wenn sie mit Ihrem Quellkonto verknüpft sind, beschränkt die folgende Richtlinie die Zielkonten auf die Konten innerhalb der beiden angegebenen KontenOUs.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyFromBackupVault",
      "Resource":"*",
      "Condition":{
        "ForAllValues:StringNotLike":{
          "backup:CopyTargetOrgPaths":[
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/ou-jkl0-awsddddd/*"
          ]
        }
      }
    }
  ]
}

Sicherheitsüberlegungen für kontoübergreifende Backups

Beachten Sie Folgendes, wenn Sie kontoübergreifende Backups in AWS Backup ausführen: