Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Creazione di copie di backup in tutto Account AWS

Utilizzando AWS Backup, è possibile eseguire il backup di più copie Account AWS su richiesta o automaticamente come parte di un piano di backup pianificato. Utilizza un backup su più account se desideri copiare in modo sicuro i backup su uno o più Account AWS account dell'organizzazione per motivi operativi o di sicurezza. Se il backup originale viene eliminato inavvertitamente, puoi copiare il backup dall'account di destinazione all'account di origine e quindi avviare il ripristino. Prima di farlo, devi disporre di due account appartenenti alla stessa organizzazione nel servizio AWS Organizations . Per ulteriori informazioni, consulta Tutorial: creazione e configurazione di un'organizzazione nella Guida per l'utente di .

Un vault di backup deve essere creato nell'account di destinazione. Quindi, assegni una chiave gestita dal cliente per crittografare i backup nell'account di destinazione e una politica di accesso basata sulle risorse per consentire AWS Backup l'accesso alle risorse che desideri copiare. Nell'account di origine, se le risorse sono crittografate con una chiave gestita dal cliente, questa deve essere condivisa con l'account di destinazione. Puoi quindi creare un piano di backup e scegliere un account di destinazione che fa parte dell'unità organizzativa in AWS Organizations.

Quando copi un backup su più account per la prima volta, copia il backup per intero. AWS Backup In generale, se un servizio supporta i backup incrementali, le copie successive di quel backup nello stesso account sono incrementali. AWS Backup cripta nuovamente la copia utilizzando la chiave gestita dal cliente del vault di destinazione.

Configurazione del backup tra account

Per ulteriori informazioni sulla sicurezza, consulta Considerazioni di sicurezza per il backup tra account.

Per utilizzare il backup tra account, è necessario abilitare la funzionalità di backup tra account. Quindi, è necessario "Consentire" la policy di accesso backup:CopyIntoBackupVault nel vault di backup di destinazione.

Pianificazione del backup tra account

Puoi utilizzare un piano di backup pianificato per copiare i backup in più Account AWS.

Esecuzione di backup tra account on demand

È possibile copiare un backup su un altro su richiesta. Account AWS

Chiavi di crittografia e copie tra account

La chiave di crittografia delle copie tra account dipende dal tipo di risorsa. Risorse che hanno Gestione completa AWS Backup utilizzato la chiave di crittografia dell'archivio di backup di origine. KMSLe chiavi gestite dal cliente possono essere utilizzate per la crittografia delle copie tra account diversi di questi tipi di risorse.

I tipi di risorse che non sono completamente gestiti da AWS Backup hanno la stessa chiave di origine e la stessa KMS chiave di risorsaKMS. La copia su più account con KMS chiavi AWS gestite non è supportata per questi tipi di risorse che non sono completamente gestite da AWS Backup.

Per ulteriore assistenza nella risoluzione degli errori di copia su più account, consulta il AWS Knowledge Center.

Durante una copia su più account, la politica relativa alle KMS chiavi dell'account di origine deve consentire all'account di destinazione di utilizzare la KMS politica chiave.

Ripristino di un backup da uno all'altro Account AWS

AWS Backup non supporta il ripristino delle risorse da una Account AWS all'altra. Tuttavia, puoi copiare un backup da un account a un account differente e ripristinarlo in tale account. Ad esempio, non è possibile ripristinare un backup dall'account A all'account B, ma è possibile copiare un backup dall'account A all'account B e quindi ripristinarlo nell'account B.

Il ripristino di un backup da un account a un altro è un processo in due fasi.

Condivisione di un vault di backup con un account AWS diverso

AWS Backup consente di condividere un vault di backup con uno o più account o con l'intera organizzazione. AWS OrganizationsÈ possibile condividere un archivio di backup di destinazione con un AWS account, un utente o IAM un ruolo di origine.

È possibile utilizzare IAM le policy per condividere il proprio archivio di backup.

Condividi un archivio di backup di destinazione con un ruolo or Account AWS IAM

La seguente politica condivide un archivio di backup con il numero di account 4444555566666 e il IAM ruolo SomeRole nel numero di account. 111122223333

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":{
        "AWS":[
          "arn:aws:iam::444455556666:root",
          "arn:aws:iam::111122223333:role/SomeRole"
        ]
      },
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*"
    }
  ]
}

Condividi un archivio di backup di destinazione in cui risiede un'unità organizzativa AWS Organizations

La seguente policy condivide un vault di backup con le unità organizzative utilizzando PrincipalOrgPaths.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":"*",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "ForAnyValue:StringLike":{
          "aws:PrincipalOrgPaths":[
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/ou-jkl0-awsddddd/*"
          ]
        }
      }
    }
  ]
}

Condividi un archivio di backup di destinazione con un'organizzazione in AWS Organizations

La seguente policy condivide un vault di backup con l'organizzazione con PrincipalOrgID "o-a1b2c3d4e5".

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":"*",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "StringEquals":{
          "aws:PrincipalOrgID":[
            "o-a1b2c3d4e5"
          ]
        }
      }
    }
  ]
}

Configurazione dell'account come un account di destinazione

Quando abiliti per la prima volta i backup tra account utilizzando il tuo account di AWS Organizations gestione, qualsiasi utente di un account membro può configurare il proprio account come account di destinazione. Ti consigliamo di impostare una o più delle seguenti politiche di controllo del servizio (SCPs) AWS Organizations per limitare gli account di destinazione. Per ulteriori informazioni su come allegare le politiche di controllo del servizio ai AWS Organizations nodi, vedi Allegare e scollegare le politiche di controllo del servizio.

Limitazione degli account di destinazione utilizzando tag

Se collegata a un account AWS Organizations principale, a un'unità organizzativa o a un account individuale, questa politica limita le destinazioni delle copie da quell'unità organizzativa principale, unità organizzativa o account solo agli account con archivi di backup a cui hai assegnato i tag. DestinationBackupVault L'autorizzazione "backup:CopyIntoBackupVault" controlla il funzionamento di un vault di backup e, in questo caso, quali vault di backup di destinazione sono validi. Utilizza questa policy, insieme al tag corrispondente applicato ai vault di destinazione approvati, per controllare le destinazioni delle copie tra account ai soli account e vault di backup approvati.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "Null":{
          "aws:ResourceTag/DestinationBackupVault":"true"
        }
      }
    }
  ]
}

Limitazione degli account di destinazione utilizzando numeri di account e nomi dei vault

Se collegata a un account AWS Organizations principale, a un'unità organizzativa o a un account individuale, questa policy limita le copie provenienti da tale unità organizzativa, unità organizzativa o account a soli due account di destinazione. L'autorizzazione "backup:CopyFromBackupVault" controlla il funzionamento di un punto di ripristino nel vault di backup e, in questo caso, le destinazioni in cui è possibile copiare tale punto di ripristino. Il vault di origine consentirà copie nel primo account di destinazione (112233445566) solo se i nomi di uno o più vault di backup di destinazione iniziano con cab-. Il vault di origine consentirà copie nel secondo account di destinazione (123456789012) se la destinazione è un singolo vault di backup denominato fort-knox.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyFromBackupVault",
      "Resource":"arn:aws:ec2:*:snapshot/*",
      "Condition":{
        "ForAllValues:ArnNotLike":{
          "backup:CopyTargets":[
            "arn:aws:backup:*:112233445566:backup-vault:cab-*",
            "arn:aws:backup:us-west-1:123456789012:backup-vault:fort-knox"
          ]
        }
      }
    }
  ]
}

Limita gli account di destinazione utilizzando unità organizzative in AWS Organizations

Se collegati a un'unità organizzativa o AWS Organizations root che contiene l'account di origine o quando sono collegati all'account di origine, la seguente politica limita gli account di destinazione a quegli account compresi tra i due specificatiOUs.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyFromBackupVault",
      "Resource":"*",
      "Condition":{
        "ForAllValues:StringNotLike":{
          "backup:CopyTargetOrgPaths":[
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/ou-jkl0-awsddddd/*"
          ]
        }
      }
    }
  ]
}

Considerazioni di sicurezza per il backup tra account

Quando esegui i backup tra account in AWS Backup, tieni presente quando segue: