先决条件

定义先决条件

• 中央备份账户—中央备份账户可存储您的 AWS Control Tower 备份保管库和备份。该文件库是在 AWS 控制塔管理的所有 AWS 区域 账户中创建的。 Cross-account 副本存储在此账户中，以防账户遭到入侵并需要恢复数据。

• 备份管理员账户—备份管理员账户是 AWS Control Tower 中 AWS Backup 服务的委派管理员账户。该账户可存储 Backup Audit Manager (BAM) 报告计划。该账户汇总所有备份监控数据，例如还原作业和复印作业。数据需存储在 Amazon S3 存储桶中。有关更多信息，请参阅《AWS Backup 开发者指南》中的使用 AWS Backup 控制台创建报告计划。

• 针对多区域 AWS KMS 密钥的策略要求

  您的 AWS KMS 密钥需要密钥策略。考虑一个与该策略类似的密钥策略，该策略限制拥有与贵组织管理账户相关权限的主体（用户和角色）的访问权限：

  JSON

  {
      "Version":"2012-10-17",
      "Id": "KMS key policy",
      "Statement": [
          {
              "Sid": "Enable IAM User Permissions",
              "Effect": "Allow",
              "Principal": {
                  "AWS": "arn:aws:iam::111122223333:root"
              },
              "Action": "kms:*",
              "Resource": "*"
          },
          {
              "Sid": "Allow use of the KMS key for organization",
              "Effect": "Allow",
              "Principal": {
                  "AWS": "*"
              },
              "Action": [
                  "kms:Decrypt",
                  "kms:DescribeKey",
                  "kms:GenerateDataKey*",
                  "kms:Encrypt",
                  "kms:ReEncrypt*",
                  "kms:GetKeyPolicy",
                  "kms:CreateGrant",
                  "kms:ListGrants",
                  "kms:RevokeGrant"
              ],
              "Resource": "*",
              "Condition": {
                  "StringEquals": {
                      "aws:PrincipalOrgID": "ORGANIZATION-ID"
                  }
              }
          }
      ]
  }