本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

目标为逻辑上受物理隔离的保管库的主备份

概述

逻辑气隙保管库主备份功能使您可以选择在同一账户内将逻辑气隙保管库指定为定时和按需备份任务的主要备份目标。这样就无需在标准备份保管库和逻辑气隙保管库中维护单独的副本，从而降低了成本，简化了工作流程，同时保留了逻辑气隙的安全优势。

在备份计划、组织范围策略或按需备份中，您可以将逻辑上隔离的保管库指定为主要目标。以前，要备份到逻辑气隙保管库，首先必须在备份保管库中创建备份，然后将其复制到逻辑气隙保管库。使用此功能，根据资源类型， AWS Backup 可以直接在逻辑气隙保管库中创建备份，也可以自动管理临时备份，这些备份将复制到逻辑气隙保管库中然后删除。

该行为取决于两个因素：

此功能没有新的定价。您只需为存储在逻辑气隙保管库中的备份以及按现行费率为适用资源支付临时快照（在其保留期内）的费用。有关详细信息，请参阅AWS Backup 定价。

工作原理

您可以通过更新现有备份计划或创建新的备份计划并添加逻辑上气隙隔离的保管库 ARN（字段名称：TargetLogicallyAirGappedBackupVaultArn）作为主要备份目标来加入此功能。您可以通过 AWS Backup 控制台或 AWS Backup CLI 命令执行此操作。

"TargetLogicallyAirGappedBackupVaultArn": "arn:aws:backup:us-east-1:123456789012:backup-vault:AirGappedVault",

当您指定备份保管库和逻辑气隙保管库作为备份任务的目标时，将根据资源类型和加密配置 AWS Backup 确定相应的工作流程。

支持对逻辑气隙保管库进行主备份的资源

要查看逻辑气隙保管库支持资源的完整列表，请参阅功能可用性。 AWS Backup所有支持逻辑气隙保管库的资源都遵循的原则，即在使用此功能时，只保留一个备份副本，而不是存储两个单独的副本。

注意事项和限制：

资源全面支持 AWS Backup management

某些支持全面 AWS Backup 管理的资源类型，例如亚马逊 EFS、亚马逊 S3、具有AWS Backup 高级功能的亚马逊 DynamoDB 等，可以直接备份到您的逻辑气隙保管库中。您的备份保管库中未创建恢复点，也无需执行任何复制操作。备份计划中的任何预定复制操作均使用逻辑隔离保管库中的恢复点作为源。

支持持续备份的资源，例如 Amazon S3，也可以直接对逻辑上气隙隔离的保管库进行持续备份。

有关支持全面 AWS Backup 管理和逻辑气隙保管库的资源类型列表，请参阅 “完全管理” 和 “逻辑气隙保管库” 列中按资源划分的功能可用性。

资源不支持完整版 AWS Backup management

亚马逊 EBS/EC2、亚马逊 Aurora 和亚马逊 FSx 等资源无法直接备份到逻辑上存在气隙的保管库。对于这些资源类型，在备份保管库中 AWS Backup 创建一个临时恢复点，然后自动将其复制到您的逻辑气隙保管库。

临时恢复点有一个特殊的生命周期设置，名为DELETE_AFTER_COPY。成功完成对逻辑气隙保管库的复制后， AWS Backup 将自动删除临时恢复点。备份计划中的所有其他计划复制操作与复制到逻辑上气隙隔离的保管库并行开始，不会影响您当前的复制体验。

如果复制到您的逻辑气隙保管库失败，则临时恢复点将根据您指定的保留期限保留在备份保管库中。这可以帮助您确保在备份任务完成后始终有可用的恢复点。如果稍后手动将恢复点复制到逻辑气隙保管库，则会根据规则自动将其清除。DELETE_AFTER_COPY

在复制生命周期后删除

临时恢复点具有一个名为的新生命周期属性，其值为DeleteAfterEventDELETE_AFTER_COPY。此属性表示恢复点将在所有复印作业完成后或在您指定的保留期之后（以先到者为准）自动删除。

当满足以下所有条件时，临时恢复点将被删除：

如果您需要防止在复制过程中手动删除临时恢复点，请考虑使用锁定的备份保管库作为目标备份保管库。

资源的持续备份不支持完整备份 AWS Backup management

对于 Amazon Aurora 等资源，如果您启用持续备份，则会在备份保管库中 AWS Backup 创建一个持续恢复点，并拍摄临时快照并将其复制到您的逻辑气隙保管库。无论副本成功还是失败，都应在复制完成后自动删除临时快照，因为您在备份保管库中保留了持续恢复点。

如果您不想在备份保管库中为 Amazon Aurora 创建持续恢复点，但希望在逻辑气隙保管库中为 Amazon S3 创建持续恢复点，则可以在当前计划中禁用持续备份 (EnableContinuousBackup) 设置，并从其他计划启用 S3 连续恢复点。

您可以在了解亚马逊 Aurora 备份存储使用情况中了解有关 Aurora 备份存储的更多信息。

不支持的数据来源

如果逻辑气隙保管库不支持某种资源类型，或者使用托管密钥对非完全托管的资源进行加密，则仅在备份保 AWS 管库中 AWS Backup 创建备份。不会尝试复制到您的逻辑气隙保管库。备份任务成功完成，并显示一条消息，说明为什么备份没有进入您的逻辑气隙保管库。

成本注意事项

配置逻辑上隔空的保管库主备份

您可以通过 AWS Backup 控制台、、或 AWS Organizations 备份策略配置逻辑上气隙隔离的保管库主备份。 AWS CLI AWS CloudFormation

配置备份计划

Console

为备份计划配置逻辑隔离的保管库主备份

1. 在处打开 AWS Backup 控制台https://console.aws.amazon.com/backup。

2. 在导航窗格中，选择备份计划，然后选择创建备份计划或选择要编辑的现有备份计划。

3. 在备份规则配置部分中，指定您的备份规则设置。

4. 对于备份保管库，选择用于存储临时恢复点的备份保管库（对于非完全托管的资源），或者如果无法将备份放入逻辑气隙保管库中，则选择存储备份的位置。

5. 对于逻辑气隙保管库（可选），选择要存储备份的逻辑气隙保管库。

   注意

   逻辑上隔空的保管库必须与您的备份保管库位于相同的账户和区域中。

6. 配置剩余的备份规则设置，包括生命周期和复制选项。

7. 选择 “创建计划” 或 “保存更改” 。

AWS CLI

使用 CLI 命令create-backup-plan创建新计划或update-backup-plan更新现有计划，并将TargetLogicallyAirGappedBackupVaultArn参数包含在备份规则中。

使用 JSON 文档创建备份计划的 CLI 命令示例：

aws backup create-backup-plan --cli-input-json file://PATH-TO-FILE/test-backup-plan.json

直接在 CLI 中创建备份计划的 CLI 命令示例：

aws backup create-backup-plan --backup-plan '{
  "BackupPlanName": "MyPlan",
  "Rules": [
    {
      "RuleName": "MyRule",
      "TargetBackupVaultName": "MyBackupVault",
      "TargetLogicallyAirGappedBackupVaultArn": "arn:aws:backup:us-east-1:123456789012:backup-vault:MyLagVault",
      "ScheduleExpression": "cron(0 1 ? * * *)",
      "ScheduleExpressionTimezone": "America/Los_Angeles",
      "StartWindowMinutes": 60,
      "CompletionWindowMinutes": 120,
      "Lifecycle": {
        "DeleteAfterDays": 35
      }
    }
  ]
}'

配置按需备份

Console

为按需备份配置逻辑气隙保管库主备份

1. 在处打开 AWS Backup 控制台https://console.aws.amazon.com/backup。

2. 在导航窗格中，选择受保护的资源。

3. 在受保护的资源页面上，选择创建按需备份。

4. 选择要备份的资源类型和资源 ARN。

5. 对于备份保管库，选择备份保管库。

6. 对于逻辑气隙保管库（可选），选择要存储备份的逻辑气隙保管库。

7. 配置其余设置，然后选择创建按需备份。

AWS CLI

使用带有新参数的 start-backup-job 命令：--logically-air-gapped-backup-vault-arn

aws backup start-backup-job \
  --backup-vault-name MyBackupVault \
  --logically-air-gapped-backup-vault-arn arn:aws:backup:us-east-1:123456789012:backup-vault:MyLagVault  \
  --resource-arn arn:aws:ec2:us-east-1:123456789012:volume/vol-abcd1234  \
  --iam-role-arn arn:aws:iam::123456789012:role/service-role/AWSBackupDefaultServiceRole  \
  --lifecycle DeleteAfterDays=35

监控逻辑上断开的保管库主备份

您可以使用 AWS Backup 控制台或 Amazon EventBridge 事件监控备份和复制任务的状态。 AWS CLI

监控备份作业

监控备份任务状态 (DescribeBackupJob)，确保您的资源受到保护。备份任务失败表示未创建恢复点。

监控复印作业

监控复制任务 (ListCopyJobs) 到您的逻辑隔离保管库中是否存在故障。复制任务失败意味着您的恢复点仍保留在标准备份保管库中，而没有逻辑上的气隙保管库保护。

监控恢复点

监视EXPIRED恢复点 (ListRecoveryPointsByBackupVault)，这 AWS Backup 可能表明无法将其删除（可能是由于缺少权限）。EXPIRED恢复点可能会产生成本影响。

入职和迁移

如果您当前使用复制操作将备份复制到逻辑气隙隔离的保管库，则可以迁移到逻辑上气隙隔离的保管库主备份以降低成本。您还可以将现有的 Amazon S3 持续备份从备份保管库迁移到逻辑气隙保管库。本指南解释了迁移到逻辑上气隙隔离的保管库主备份功能所需的先决条件和步骤。

先决条件和最佳实践

在有效使用逻辑气隙保管库主备份功能之前，需要先满足先决条件和推荐的最佳实践。

先决条件

当前，作为主要备份目标的逻辑隔离保管库仅支持在与备份资源相同的 AWS 账户和 AWS 区域内进行备份。逻辑上隔绝的保管库备份本质上存储在单独的服务账户中，无需复制到单独的账户即可提供跨账户/跨组织隔离。如果您需要跨区域备份，请继续使用逻辑上的气隙保管库作为复制目的地。在迁移到此功能之前，请确保满足以下要求：

最佳实践

规划您的迁移

资源全面支持 AWS Backup 管理迁移路径

对于完全托管的资源，您可以直接备份到逻辑上隔空的保管库，而无需进行复制操作。

用于基于快照的备份

此过程适用于所有快照方案，无论您的备份保管库是否处于锁定状态。迁移现有备份计划或在新备份计划中使用现有备份保管库（主保管库）和逻辑气隙保管库（副本）时：

对于 Amazon S3 持续备份

作为主要备份目标的逻辑气隙保管库支持 Amazon S3 的持续备份。但是，在单个保管库中，每个资源只能维护一个有效的持续恢复点。如果您已有活跃的 Amazon S3 持续恢复点，则必须先取消关联或删除该恢复点，然后才能在其他保管库中创建新的持续恢复点。在备份计划中添加逻辑上存在气隙隔离的保管库目标（来自同一个账户），以及现有的活跃的 Amazon S3 持续恢复点，将导致持续备份任务失败。

要将您的 Amazon S3 持续恢复点从解锁的备份保管库迁移到您的逻辑气隙保管库，请执行以下操作：

要将您的 Amazon S3 持续恢复点从锁定的备份保管库迁移到您的逻辑气隙保管库，请执行以下操作：

资源不支持完整版 AWS Backup 管理迁移路径

Non-fully 托管资源需要对逻辑上的气隙保管库进行复制操作。该过程会在您的标准备份保管库中创建一个临时恢复点（可计费），该恢复点会自动复制到您的逻辑气隙保管库中，然后在复制完成后删除。当您更新备份计划以包括逻辑上存在气隙的保管库目标时：

问题排查

备份或复制作业因生命周期不兼容错误而失败

备份任务出错：Backup job failed because the lifecycle is outside the valid range for backup vault.

复印作业出错：Copy job failed. The retention specified in the job is not within the range specified for the target Backup Vault.

可能的原因：备份任务或复印任务失败，因为保留期与逻辑上气隙隔离的保管库的最小或最大保留设置不兼容。

解决方案：更新您的备份计划，指定保留期限应在为逻辑气隙保管库配置的最小和最大保留期之内。

连续备份任务因 “已启用连续备份” 而失败

错误：Bucket {bucket_name} already has continuous backup enabled for another vault Backup job failed.

可能的原因：持续备份任务失败，因为该资源在另一个保管库中已经有持续恢复点。

解决方案：每种资源只能有一个连续恢复点。如果您的备份保管库已解锁，请使用 disassociate-recovery-point 命令取消关联现有的持续恢复点。如果您的备份保管库已锁定，请等待现有持续恢复点根据其生命周期到期。

备份任务完成时显示 “已完成但存在问题”-不支持的资源类型

消息：Backup job completed successfully to the target backup vault. This resource type is not supported by logically air-gapped backup vault.

可能的原因：不受支持的非完全托管资源的备份任务显示 “已完成但存在问题”，并显示一条消息，表明该资源不受支持。

解决方案：不支持的资源类型只能备份到备份保管库。如果您想在备份保管库中保留这些备份，则无需执行任何操作。如果您不想将不支持的资源与逻辑上的气隙保管库混用，则可以：

备份任务完成，显示 “已完成但存在问题”-不支持的加密密钥

消息：Backup job completed successfully to the target backup vault. This resource is encrypted with an AWS managed key and cannot be copied to a logically air-gapped backup vault.

可能的原因：不受支持的非完全托管资源的备份任务显示 “已完成但存在问题”，并显示一条消息，表明该资源已使用 AWS 托管密钥加密。

解决方法：使用 Non-fully 托管密钥加密的 AWS 托管资源无法复制到逻辑气隙保管库中。如果您想在备份保管库中保留这些备份，则无需执行任何操作。如果您不想将不支持的资源与逻辑上的气隙保管库混用，则可以：

恢复点仍处于 “已过期” 状态

可能的原因：临时恢复点过渡到EXPIRED状态但未被删除。

解决方法： AWS Backup 可能缺乏删除恢复点的权限。验证您的备份角色是否具有必要的 IAM 权限。您可能需要手动删除expired恢复点。

由于备份频率高，拷贝任务排队或失败

可能的原因：将任务复制到逻辑气隙保管库中的任务正在排队或失败，因为备份的安排频率高于副本完成的频率。

解决方法：降低备份频率或调整备份计划，以便在两次备份之间留出更多时间。有关并发复制限制的信息，请参阅AWS Backup 配额文档。