Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Membuat salinan cadangan di seluruh Akun AWS

Dengan menggunakan AWS Backup, Anda dapat mencadangkan hingga beberapa Akun AWS sesuai permintaan atau secara otomatis sebagai bagian dari rencana pencadangan terjadwal. Gunakan cadangan lintas akun jika Anda ingin menyalin cadangan dengan aman ke satu atau lebih Akun AWS di organisasi Anda untuk alasan operasional atau keamanan. Jika cadangan asli Anda terhapus, Anda dapat menyalin cadangan dari akun tujuannya ke akun sumbernya, lalu memulai pemulihan. Sebelum Anda dapat melakukan ini, Anda harus memiliki dua akun milik organisasi yang sama dalam AWS Organizations layanan. Untuk informasi selengkapnya, lihat Tutorial: Membuat dan mengonfigurasi organisasi di Panduan Pengguna Organizations.

Di akun tujuan, Anda harus membuat brankas cadangan. Kemudian, Anda menetapkan kunci terkelola pelanggan untuk mengenkripsi cadangan di akun tujuan, dan kebijakan akses berbasis sumber daya untuk memungkinkan mengakses sumber daya yang ingin AWS Backup Anda salin. Di akun sumber, jika sumber daya Anda dienkripsi dengan kunci yang dikelola pelanggan, Anda harus membagikan kunci yang dikelola pelanggan ini dengan akun tujuan. Anda kemudian dapat membuat rencana cadangan dan memilih akun tujuan yang merupakan bagian dari unit organisasi Anda AWS Organizations.

Saat Anda menyalin cadangan ke akun silang untuk pertama kalinya, AWS Backup salin cadangan secara penuh. Secara umum, jika layanan mendukung pencadangan tambahan, salinan cadangan berikutnya di akun yang sama bersifat inkremental. AWS Backup mengenkripsi ulang salinan Anda menggunakan kunci terkelola pelanggan dari brankas tujuan Anda.

Menyiapkan cadangan lintas akun

Untuk informasi tentang keamanan, lihatPertimbangan keamanan untuk pencadangan lintas akun.

Untuk menggunakan cadangan lintas akun, Anda harus mengaktifkan fitur pencadangan lintas akun. Kemudian, Anda harus “Izinkan” kebijakan akses backup:CopyIntoBackupVault ke brankas cadangan tujuan Anda.

Menjadwalkan pencadangan lintas akun

Anda dapat menggunakan rencana pencadangan terjadwal untuk menyalin cadangan. Akun AWS

Melakukan pencadangan lintas akun sesuai permintaan

Anda dapat menyalin cadangan ke permintaan Akun AWS yang berbeda.

Kunci enkripsi dan salinan lintas akun

Kunci enkripsi salinan lintas akun bergantung pada jenis sumber daya. Sumber daya yang telah AWS Backup Manajemen penuh menggunakan kunci enkripsi dari brankas cadangan sumber. KMSKunci terkelola pelanggan dapat digunakan untuk enkripsi salinan lintas akun dari jenis sumber daya ini.

Jenis sumber daya yang tidak sepenuhnya dikelola oleh AWS Backup memiliki kunci sumber dan KMS kunci sumber daya KMS yang sama. Salinan lintas akun dengan KMS kunci AWS terkelola tidak didukung untuk jenis sumber daya ini yang tidak sepenuhnya dikelola oleh AWS Backup.

Untuk bantuan tambahan pemecahan masalah kegagalan penyalinan lintas akun, silakan lihat Pusat Pengetahuan.AWS

Selama penyalinan lintas akun, kebijakan KMS kunci akun sumber harus mengizinkan akun tujuan pada kebijakan KMS utama.

Memulihkan cadangan dari satu Akun AWS ke yang lain

AWS Backup tidak mendukung pemulihan sumber daya dari satu Akun AWS ke yang lain. Namun, Anda dapat menyalin cadangan dari satu akun ke akun lain dan kemudian mengembalikannya di akun itu. Misalnya, Anda tidak dapat memulihkan cadangan dari akun A ke akun B, tetapi Anda dapat menyalin cadangan dari akun A ke akun B, dan kemudian mengembalikannya di akun B.

Memulihkan cadangan dari satu akun ke akun lainnya adalah proses dua langkah.

Berbagi brankas cadangan dengan akun lain AWS

AWS Backup memungkinkan Anda berbagi brankas cadangan dengan satu atau beberapa akun, atau seluruh organisasi Anda. AWS Organizations Anda dapat membagikan brankas cadangan tujuan dengan sumber AWS Akun, pengguna, atau IAM peran.

Anda dapat menggunakan IAM kebijakan untuk membagikan brankas cadangan.

Berbagi brankas cadangan tujuan dengan peran Akun AWS atau IAM

Kebijakan berikut membagikan brankas cadangan dengan nomor akun 4444555566666 dan IAM peran SomeRole dalam nomor 111122223333 akun.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":{
        "AWS":[
          "arn:aws:iam::444455556666:root",
          "arn:aws:iam::111122223333:role/SomeRole"
        ]
      },
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*"
    }
  ]
}

Bagikan brankas cadangan tujuan unit organisasi di AWS Organizations

Kebijakan berikut membagikan brankas cadangan dengan unit organisasi yang menggunakannya. PrincipalOrgPaths

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":"*",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "ForAnyValue:StringLike":{
          "aws:PrincipalOrgPaths":[
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/ou-jkl0-awsddddd/*"
          ]
        }
      }
    }
  ]
}

Bagikan brankas cadangan tujuan dengan organisasi di AWS Organizations

Kebijakan berikut membagikan brankas cadangan dengan organisasi dengan PrincipalOrgID “o-a1b2c3d4e5".

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":"*",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "StringEquals":{
          "aws:PrincipalOrgID":[
            "o-a1b2c3d4e5"
          ]
        }
      }
    }
  ]
}

Mengonfigurasi akun Anda sebagai akun tujuan

Saat Anda pertama kali mengaktifkan pencadangan lintas akun menggunakan akun AWS Organizations manajemen Anda, setiap pengguna akun anggota dapat mengonfigurasi akun mereka menjadi akun tujuan. Sebaiknya setel satu atau beberapa kebijakan kontrol layanan berikut (SCPs) AWS Organizations untuk membatasi akun tujuan Anda. Untuk mempelajari selengkapnya tentang melampirkan kebijakan kontrol layanan ke AWS Organizations node, lihat Melampirkan dan melepaskan kebijakan kontrol layanan.

Batasi akun tujuan menggunakan tag

Saat dilampirkan ke AWS Organizations root, OU, atau akun individual, kebijakan ini membatasi tujuan salinan dari root, OU, atau akun tersebut hanya ke akun dengan brankas cadangan yang telah Anda tag. DestinationBackupVault Izin "backup:CopyIntoBackupVault" mengontrol perilaku brankas cadangan dan, dalam hal ini, brankas cadangan tujuan mana yang valid. Gunakan kebijakan ini, bersama dengan tag terkait yang diterapkan pada brankas tujuan yang disetujui, untuk mengontrol tujuan salinan lintas akun hanya ke akun yang disetujui dan brankas cadangan.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "Null":{
          "aws:ResourceTag/DestinationBackupVault":"true"
        }
      }
    }
  ]
}

Batasi akun tujuan menggunakan nomor akun dan nama brankas

Saat dilampirkan ke akun AWS Organizations root, OU, atau individu, kebijakan ini membatasi salinan yang berasal dari root, OU, atau akun tersebut hanya ke dua akun tujuan. Izin "backup:CopyFromBackupVault" mengontrol bagaimana titik pemulihan di brankas cadangan berperilaku, dan, dalam hal ini, tujuan tempat Anda dapat menyalin titik pemulihan tersebut. Brankas sumber hanya akan mengizinkan salinan ke akun tujuan pertama (112233445566) jika satu atau beberapa nama brankas cadangan tujuan dimulai dengan. cab- Brankas sumber hanya akan mengizinkan salinan ke akun tujuan kedua (123456789012) jika tujuannya adalah brankas cadangan tunggal bernama. fort-knox

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyFromBackupVault",
      "Resource":"arn:aws:ec2:*:snapshot/*",
      "Condition":{
        "ForAllValues:ArnNotLike":{
          "backup:CopyTargets":[
            "arn:aws:backup:*:112233445566:backup-vault:cab-*",
            "arn:aws:backup:us-west-1:123456789012:backup-vault:fort-knox"
          ]
        }
      }
    }
  ]
}

Batasi akun tujuan menggunakan unit organisasi di AWS Organizations

Saat dilampirkan ke AWS Organizations root atau OU yang berisi akun sumber Anda, atau saat dilampirkan ke akun sumber Anda, kebijakan berikut membatasi akun tujuan ke akun tersebut dalam dua yang ditentukanOUs.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyFromBackupVault",
      "Resource":"*",
      "Condition":{
        "ForAllValues:StringNotLike":{
          "backup:CopyTargetOrgPaths":[
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/ou-jkl0-awsddddd/*"
          ]
        }
      }
    }
  ]
}

Pertimbangan keamanan untuk pencadangan lintas akun

Perhatikan hal-hal berikut saat menggunakan pencadangan lintas akun di: AWS Backup