中的備份加密 AWS Backup

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

獨立 加密

AWS Backup 為支援完整 AWS Backup 管理的資源類型提供獨立加密。獨立加密表示您透過 建立的復原點 （備份） AWS Backup 可以具有由來源資源加密決定的加密方法以外的加密方法。例如，您的 Amazon S3 儲存貯體備份可以有不同於使用 Amazon S3 加密所加密來源儲存貯體的加密方法。此加密是透過備份文件庫中的 AWS KMS 金鑰組態來控制，備份文件庫存放於 中。

未完全受 管理的資源類型備份 AWS Backup 通常會繼承其來源資源的加密設定。您可以根據該服務的指示來設定這些加密設定，例如 Amazon EBS 使用者指南中的 Amazon EBS 加密。

您的 IAM 角色必須能夠存取用來備份和還原物件的 KMS 金鑰。否則，任務會成功，但物件不會備份或還原。IAM 政策和 KMS 金鑰政策中的許可必須一致。如需詳細資訊，請參閱《 AWS Key Management Service 開發人員指南》中的在 IAM 政策陳述式中指定 KMS 金鑰。

下表列出了每個支援的資源類型、如何設定備份的加密，以及是否支援備份獨立的加密。當 AWS Backup 獨立加密備份時，會使用業界標準的 AES-256 加密演算法。如需 加密的詳細資訊 AWS Backup，請參閱跨區域和跨帳戶備份。

將備份複本加密至不同帳戶或 AWS 區域

當您跨帳戶或區域複製備份時， AWS Backup 會自動加密大多數資源類型的這些複本，即使原始備份未加密。

在您將備份從一個帳戶複製到另一個帳戶 （跨帳戶複製任務） 或將備份從一個區域複製到另一個區域 （跨區域複製任務） 之前，請注意以下條件，其中許多條件取決於備份中的資源類型 （復原點） 是否完全受管 AWS Backup。

AWS Backup 許可、授予和拒絕陳述式

為了協助避免任務失敗，您可以檢查 AWS KMS 金鑰政策，以確保其具有必要的許可，且沒有任何拒絕陳述式可阻止操作成功。

由於套用到 KMS 金鑰的一或多個拒絕陳述式，或因金鑰的授予撤銷，可能會發生失敗的任務。

在 等 AWS 受管存取政策中AWSBackupFullAccess，有允許 動作，允許 AWS Backup 與 界面 AWS KMS ，以代表客戶在 KMS 金鑰上建立授予，做為組件備份、複製和儲存操作。

金鑰政策至少需要下列許可：

如果需要拒絕政策，您將需要允許列出備份和還原操作所需的角色。

這些元素看起來會如下所示：

{
    "Sid": "KmsPermissions",
    "Effect": "Allow",
    "Action": [
        "kms:ListKeys",
        "kms:DescribeKey",
        "kms:GenerateDataKey",
        "kms:ListAliases"
    ],
    "Resource": "*"
},
{
    "Sid": "KmsCreateGrantPermissions",
    "Effect": "Allow",
    "Action": [
        "kms:CreateGrant"
    ],
    "Resource": "*",
    "Condition": {
        "ForAnyValue:StringEquals": {
            "kms:EncryptionContextKeys": "aws:backup:backup-vault"
        },
        "Bool": {
            "kms:GrantIsForAWSResource": true
        },
        "StringLike": {
            "kms:ViaService": "backup.*.amazonaws.com"
        }
    }
}

這些許可必須是金鑰的一部分，無論是 AWS 受管還是客戶受管。

此外，與啟動跨區域複製任務的角色相關聯的金鑰，必須在 DescribeKey許可"kms:ResourcesAliases": "alias/aws/backup"中具有 。