本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

跨创建备份副本 AWS 账户

使用 AWS Backup，您可以按需备份多个 AWS 账户 ，也可以作为定时备份计划的一部分自动备份。如果您出于运营或安全原因想要将备份安全地复制到组织 AWS 账户 中的一个或多个账户，请使用跨账户备份。如果原始备份被无意中删除，则可以将备份从目的地账户复制到其源账户，然后开始还原。在执行此操作之前，您必须在 AWS Organizations 服务中拥有两个属于同一组织的账户。有关更多信息，请参阅《Organizations 用户指南》中的教程：创建和配置组织。

在目的地账户中，您必须创建备份保管库。然后，您可以分配客户托管密钥来加密目标账户中的备份，并分配基于资源的访问策略 AWS Backup 以允许访问您要复制的资源。在源账户中，如果您的资源使用客户托管密钥进行加密，则必须与目的地账户共享此客户托管密钥。然后，您可以创建备份计划并选择在 AWS Organizations中属于您的组织单位的目的地账户。

首次将备份复制到跨账户时，会完整 AWS Backup 复制备份。通常，如果某项服务支持增量备份，则同一账户中该备份的后续副本是增量备份。 AWS Backup 使用目标保管库的客户托管密钥重新加密您的副本。

设置跨账户备份

有关安全的信息，请参阅跨账户备份的安全注意事项。

要使用跨账户备份，必须启用跨账户备份功能。然后，必须“允许”通过访问策略 backup:CopyIntoBackupVault 访问您的目的地备份保管库。

安排跨账户备份

您可以使用定时备份计划跨 AWS 账户复制备份。

执行按需跨账户备份

您可以根据需要将备份复制到其他 AWS 账户 备份。

加密密钥和跨账户副本

跨账户副本加密密钥取决于资源类型。已全面 AWS Backup 管理使用源备份存储库加密密钥的资源。客户托管KMS密钥可用于对这些资源类型进行跨账户副本加密。

未完全由管理的资源类型 AWS Backup 具有相同的源KMS密钥和资源KMS密钥。对于这些未完全 AWS 由管理的资源类型，不支持使用托管KMS密钥进行跨账户复制。 AWS Backup

有关解决跨账户复制失败的其他帮助，请参阅AWS 知识中心。

在跨账户复制过程中，源账户KMS密钥策略必须允许目标账户使用KMS密钥策略。

将备份从一个恢复 AWS 账户 到另一个备份

AWS Backup 不支持从一个资源恢复 AWS 账户 到另一个资源。但是，您可以将备份从一个账户复制到另一个账户，然后在该账户中进行还原。例如，您无法将账户 A 中的备份还原到账户 B，但可以将账户 A 中的备份复制到账户 B，然后在账户 B 中还原备份。

将备份从一个账户还原到另一个账户分为两步。

与其他 AWS 账户共享备份保管库

AWS Backup 允许您与一个或多个账户共享备份保管库，或者与您的整个组织共享备份保管库 AWS Organizations。您可以与源 AWS 账户、用户或IAM角色共享目标备份存储库。

您可以使用IAM策略共享您的备份保管库。

与 AWS 账户 或IAM角色共享目标备份存储库

以下策略共享一个带有账号4444555566666和账号SomeRole中的IAM角色的备份存储库111122223333。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":{
        "AWS":[
          "arn:aws:iam::444455556666:root",
          "arn:aws:iam::111122223333:role/SomeRole"
        ]
      },
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*"
    }
  ]
}

将目标备份存储库与组织单位共享 AWS Organizations

以下策略使用 PrincipalOrgPaths 与组织单位共享备份保管库。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":"*",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "ForAnyValue:StringLike":{
          "aws:PrincipalOrgPaths":[
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/ou-jkl0-awsddddd/*"
          ]
        }
      }
    }
  ]
}

与中的组织共享目标备份保管库 AWS Organizations

以下策略与 PrincipalOrgID 为“o-a1b2c3d4e5”的组织共享备份保管库。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":"*",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "StringEquals":{
          "aws:PrincipalOrgID":[
            "o-a1b2c3d4e5"
          ]
        }
      }
    }
  ]
}

将账户配置为目的地账户

当您首次使用 AWS Organizations 管理账户启用跨账户备份时，任何成员账户的用户都可以将其账户配置为目标账户。我们建议在中设置以下一项或多项服务控制策略 (SCPs) AWS Organizations ，以限制您的目标账户。要了解有关将服务控制策略附加到 AWS Organizations 节点的更多信息，请参阅附加和分离服务控制策略。

使用标签限制目的地账户

当关联到 AWS Organizations 根账户、OU 账户或个人账户时，此策略将来自该根、OU 或账户的复制目标限制为仅限那些带有您标记DestinationBackupVault的备份保管库的账户。权限 "backup:CopyIntoBackupVault" 控制备份保管库的行为方式，在此例中还控制哪些目的地备份保管库有效。使用此策略以及应用于已批准的目的地保管库的相应标签，可以控制跨账户复制的目的地仅为已批准的账户和备份保管库。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "Null":{
          "aws:ResourceTag/DestinationBackupVault":"true"
        }
      }
    }
  ]
}

使用账号和保管库名称限制目的地账户

当关联到 AWS Organizations 根账户、OU 账户或个人账户时，此政策将来自该根账户、OU 或账户的副本限制为仅限两个目标账户。权限 "backup:CopyFromBackupVault" 控制备份保管库中恢复点的行为方式，在此例中还控制您可以将该恢复点复制到的目的地。只有当一个或多个目的地备份保管库名称以 cab- 开头时，源保管库才允许将副本复制到第一个目的地账户 (112233445566)。只有当目的地是单个名为 fort-knox 的备份保管库时，源保管库才允许将副本复制到第二个目的地账户 (123456789012)。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyFromBackupVault",
      "Resource":"arn:aws:ec2:*:snapshot/*",
      "Condition":{
        "ForAllValues:ArnNotLike":{
          "backup:CopyTargets":[
            "arn:aws:backup:*:112233445566:backup-vault:cab-*",
            "arn:aws:backup:us-west-1:123456789012:backup-vault:fort-knox"
          ]
        }
      }
    }
  ]
}

使用中的组织单位限制目标帐户 AWS Organizations

当关联到包含您的源账户的 AWS Organizations 根账户或 OU 时，或者关联到您的源账户时，以下策略将目标账户限制为两个指定账户内的账户OUs。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyFromBackupVault",
      "Resource":"*",
      "Condition":{
        "ForAllValues:StringNotLike":{
          "backup:CopyTargetOrgPaths":[
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/ou-jkl0-awsddddd/*"
          ]
        }
      }
    }
  ]
}

跨账户备份的安全注意事项

在 AWS Backup中执行跨账户备份时，请注意以下事项：