本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

跨 建立備份複本 AWS 帳戶

使用 AWS Backup時，您可以 AWS 帳戶 隨需備份最多多個 ，或自動作為排程備份計畫的一部分。如果您想要基於操作或安全原因，將備份安全地複製到組織中的一個或多個備份 AWS 帳戶 ，請使用跨帳戶備份。如果不小心刪除您的原始備份，您可以將備份從其目的地帳戶複製到其來源帳戶，然後啟動還原。您必須在 AWS Organizations 服務中有兩個屬於同一組織的帳戶，才能執行這項操作。如需詳細資訊，請參閱《Organizations 使用指南》中的《教學課程：建立和設定組織》。

在您的目的地帳戶中，您必須建立備份保存庫。然後，您會指派客戶受管金鑰來加密目的地帳戶中的備份，以及資源型存取政策 AWS Backup ，以允許 存取您要複製的資源。在來源帳戶中，如果您的資源使用客戶自管金鑰加密，您必須與目的地帳戶共用此客戶自管金鑰。然後，您可以建立備份計畫，並選擇屬於 AWS Organizations中組織單位的目的地帳戶。

當您第一次將備份複製到跨帳戶時， 會完整 AWS Backup 複製備份。一般而言，如果服務支援增量備份，則相同帳戶中該備份的後續複本為增量。使用目的地保存庫的客戶受管金鑰 AWS Backup 重新加密您的複本。

設定跨帳戶備份

如需安全的資訊，請參閱《跨帳戶備份的安全考量》。

若要使用跨帳戶備份，您必須啟用跨帳戶備份功能。然後，您必須在目的地備份保存庫中「允許」存取政策 backup:CopyIntoBackupVault。

排程跨帳戶備份

您可以使用排程備份計畫跨 AWS 帳戶複製備份。

執行隨需跨帳戶備份

您可以將備份複製到不同的 AWS 帳戶 隨需備份。

加密金鑰和跨帳戶複本

跨帳戶複製加密金鑰取決於資源類型。完整 AWS Backup 管理 使用來源備份保存庫加密金鑰的資源。客戶受管KMS金鑰可用於這些資源類型的跨帳戶複製加密。

未完全由 管理的資源類型 AWS Backup 具有相同的來源KMS金鑰和資源KMS金鑰。未完全由 管理的這類資源不支援具有 AWS 受管KMS金鑰的跨帳戶複製 AWS Backup。

如需跨帳戶複製失敗疑難排解的其他說明，請參閱 AWS 知識中心 。

在跨帳戶複製期間，來源帳戶KMS金鑰政策必須允許KMS金鑰政策上的目的地帳戶。

將備份從備份還原 AWS 帳戶 到另一個備份

AWS Backup 不支援將資源從一個資源復原 AWS 帳戶 到另一個資源。不過，您可以將一個帳戶的備份複製到另一個帳戶，然後在該帳戶中還原備份。例如，您無法將帳戶 A 的備份還原至帳戶 B，但可以將帳戶 A 的備份複製到帳戶 B，然後在帳戶 B 中還原備份。

將一個帳戶的備份還原至另一個需要兩個步驟。

與其他 AWS 帳戶共用備份保存庫

AWS Backup 可讓您與一或多個帳戶或 中的整個組織共用備份保存庫 AWS Organizations。您可以與來源 AWS 帳戶、使用者或IAM角色共用目的地備份保存庫。

您可以使用IAM政策來共用備份保存庫。

與 AWS 帳戶 或 IAM角色共用目的地備份保存庫

下列政策會與帳戶號碼 4444555566666 和帳戶號碼 SomeRole中IAM的角色共用備份保存庫111122223333。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":{
        "AWS":[
          "arn:aws:iam::444455556666:root",
          "arn:aws:iam::111122223333:role/SomeRole"
        ]
      },
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*"
    }
  ]
}

在 中共用組織單位的目的地備份保存庫 AWS Organizations

下列政策會使用組織單位的 PrincipalOrgPaths 與其共用備份保存庫。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":"*",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "ForAnyValue:StringLike":{
          "aws:PrincipalOrgPaths":[
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/ou-jkl0-awsddddd/*"
          ]
        }
      }
    }
  ]
}

與 中的組織共用目的地備份保存庫 AWS Organizations

下列政策會與 PrincipalOrgID 為 "o-a1b2c3d4e5" 的組織共用備份保存庫。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":"*",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "StringEquals":{
          "aws:PrincipalOrgID":[
            "o-a1b2c3d4e5"
          ]
        }
      }
    }
  ]
}

將您的帳戶設定為目的地帳戶

當您第一次使用 AWS Organizations 管理帳戶啟用跨帳戶備份時，成員帳戶的任何使用者都可以將其帳戶設定為目的地帳戶。建議您在 中 AWS Organizations 設定下列一或多個服務控制政策 （SCPs），以限制目的地帳戶。若要進一步了解如何將服務控制政策連接至 AWS Organizations 節點，請參閱連接和分離服務控制政策 。

使用標籤限制目的地帳戶

當連接至 AWS Organizations 根、OU 或個別帳戶時，此政策會將目的地從該根、OU 或帳戶複製到只有您標記 的備份保存庫的帳戶DestinationBackupVault。許可 "backup:CopyIntoBackupVault" 可控制備份保存庫的運作方式，以及在此情況下，哪些目的地備份保存庫有效。使用此政策，搭配套用至已核准目的地保存庫的對應標籤，即可控制跨帳戶複製的目的地，僅限於已核准的帳戶和備份保存庫。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "Null":{
          "aws:ResourceTag/DestinationBackupVault":"true"
        }
      }
    }
  ]
}

使用帳戶號碼和保存庫名稱限制目的地帳戶

當連接至 AWS Organizations 根帳戶、OU 或個別帳戶時，此政策會將源自該根帳戶、OU 或帳戶的複本限制為僅兩個目的地帳戶。許可 "backup:CopyFromBackupVault" 可控制備份保存庫中復原點的運作方式，以及在此情況下，該復原點可複製到的目的地。只有在一或多個目的地備份保存庫的名稱開頭為 cab- 時，來源保存庫才允許複製到第一個目的地帳戶 (112233445566)。只有在目的地是名為 fort-knox 的單一備份保存庫時，來源保存庫才允許複製到第二個目的地帳戶 (123456789012)。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyFromBackupVault",
      "Resource":"arn:aws:ec2:*:snapshot/*",
      "Condition":{
        "ForAllValues:ArnNotLike":{
          "backup:CopyTargets":[
            "arn:aws:backup:*:112233445566:backup-vault:cab-*",
            "arn:aws:backup:us-west-1:123456789012:backup-vault:fort-knox"
          ]
        }
      }
    }
  ]
}

在 中使用組織單位限制目的地帳戶 AWS Organizations

連接至包含來源帳戶的 AWS Organizations 根或 OU 時，或連接至來源帳戶時，下列政策會將目的地帳戶限制在兩個指定 內的這些帳戶OUs。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyFromBackupVault",
      "Resource":"*",
      "Condition":{
        "ForAllValues:StringNotLike":{
          "backup:CopyTargetOrgPaths":[
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/ou-jkl0-awsddddd/*"
          ]
        }
      }
    }
  ]
}

跨帳戶備份的安全考量

在 AWS Backup中執行跨帳戶備份時，請注意下列事項：