Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

跨创建备份副本 Amazon Web Services 账户

使用 Amazon Backup，您可以按需备份多个 Amazon Web Services 账户 ，也可以作为定时备份计划的一部分自动备份。如果您出于运营或安全原因想要将备份安全地复制到组织 Amazon Web Services 账户 中的一个或多个账户，请使用跨账户备份。如果原始备份被无意中删除，则可以将备份从目的地账户复制到其源账户，然后开始还原。在执行此操作之前，您必须在 Amazon Organizations 服务中拥有两个属于同一组织的账户。有关更多信息，请参阅《Organizations 用户指南》中的教程：创建和配置组织。

在目的地账户中，您必须创建备份保管库。然后，您可以分配客户托管密钥来加密目标账户中的备份，并分配基于资源的访问策略 Amazon Backup 以允许访问您要复制的资源。在源账户中，如果您的资源使用客户托管密钥进行加密，则必须与目的地账户共享此客户托管密钥。然后，您可以创建备份计划并选择在 Amazon Organizations中属于您的组织单位的目的地账户。

首次将备份复制到跨账户时，会完整 Amazon Backup 复制备份。通常，如果某项服务支持增量备份，则同一账户中该备份的后续副本是增量备份。 Amazon Backup 使用目标保管库的客户托管密钥重新加密您的副本。

设置跨账户备份

有关安全的信息，请参阅跨账户备份的安全注意事项。

要使用跨账户备份，必须启用跨账户备份功能。然后，必须“允许”通过访问策略 backup:CopyIntoBackupVault 访问您的目的地备份保管库。

安排跨账户备份

您可以使用定时备份计划跨 Amazon Web Services 账户复制备份。

执行按需跨账户备份

您可以根据需要将备份复制到其他 Amazon Web Services 账户 备份。

加密密钥和跨账户副本

跨账户副本加密密钥取决于资源类型。已全面 Amazon Backup 管理使用源备份存储库加密密钥的资源。客户托管的 KMS 密钥可用于对这些资源类型进行跨账户副本加密。

未完全由管理的资源类型 Amazon Backup 具有相同的源 KMS 密钥和资源 KMS 密钥。对于这些未完全 Amazon 由管理的资源类型，不支持使用托管 KMS 密钥进行 Amazon Backup跨账户复制。

有关解决跨账户复制失败的其他帮助，请参阅Amazon 知识中心。

在跨账户复制期间，源账户 KMS 密钥策略必须允许目标账户使用 KMS 密钥策略。

将备份从一个恢复 Amazon Web Services 账户 到另一个备份

Amazon Backup 不支持从一个资源恢复 Amazon Web Services 账户 到另一个资源。但是，您可以将备份从一个账户复制到另一个账户，然后在该账户中进行还原。例如，您无法将账户 A 中的备份还原到账户 B，但可以将账户 A 中的备份复制到账户 B，然后在账户 B 中还原备份。

将备份从一个账户还原到另一个账户分为两步。

与其他 Amazon 账户共享备份保管库

Amazon Backup 允许您与一个或多个账户共享备份保管库，或者与您的整个组织共享备份保管库 Amazon Organizations。您可以与源 Amazon 账户、用户或 IAM 角色共享目的地备份保管库。

您可以使用 IAM 策略共享您的备份保管库。

与 Amazon Web Services 账户 或 IAM 角色共享目的地备份保管库

以下策略与账号 4444555566666 和账号 111122223333 中的 IAM 角色 SomeRole 共享备份保管库。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":{
        "AWS":[
          "arn:aws:iam::444455556666:root",
          "arn:aws:iam::111122223333:role/SomeRole"
        ]
      },
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*"
    }
  ]
}

将目标备份存储库与组织单位共享 Amazon Organizations

以下策略使用 PrincipalOrgPaths 与组织单位共享备份保管库。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":"*",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "ForAnyValue:StringLike":{
          "aws:PrincipalOrgPaths":[
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/ou-jkl0-awsddddd/*"
          ]
        }
      }
    }
  ]
}

与中的组织共享目标备份保管库 Amazon Organizations

以下策略与 PrincipalOrgID 为“o-a1b2c3d4e5”的组织共享备份保管库。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":"*",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "StringEquals":{
          "aws:PrincipalOrgID":[
            "o-a1b2c3d4e5"
          ]
        }
      }
    }
  ]
}

将账户配置为目的地账户

当您首次使用 Amazon Organizations 管理账户启用跨账户备份时，任何成员账户的用户都可以将其账户配置为目标账户。我们建议在 Amazon Organizations 中设置一个或多个服务控制策略 (SCP)，以限制您的目的地账户。要了解有关将服务控制策略附加到 Amazon Organizations 节点的更多信息，请参阅附加和分离服务控制策略。

使用标签限制目的地账户

当关联到 Amazon Organizations 根账户、OU 账户或个人账户时，此策略将来自该根、OU 或账户的复制目标限制为仅限那些带有您标记DestinationBackupVault的备份保管库的账户。权限 "backup:CopyIntoBackupVault" 控制备份保管库的行为方式，在此例中还控制哪些目的地备份保管库有效。使用此策略以及应用于已批准的目的地保管库的相应标签，可以控制跨账户复制的目的地仅为已批准的账户和备份保管库。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "Null":{
          "aws:ResourceTag/DestinationBackupVault":"true"
        }
      }
    }
  ]
}

使用账号和保管库名称限制目的地账户

当关联到 Amazon Organizations 根账户、OU 账户或个人账户时，此政策将来自该根账户、OU 或账户的副本限制为仅限两个目标账户。权限 "backup:CopyFromBackupVault" 控制备份保管库中恢复点的行为方式，在此例中还控制您可以将该恢复点复制到的目的地。只有当一个或多个目的地备份保管库名称以 cab- 开头时，源保管库才允许将副本复制到第一个目的地账户 (112233445566)。只有当目的地是单个名为 fort-knox 的备份保管库时，源保管库才允许将副本复制到第二个目的地账户 (123456789012)。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyFromBackupVault",
      "Resource":"arn:aws:ec2:*:snapshot/*",
      "Condition":{
        "ForAllValues:ArnNotLike":{
          "backup:CopyTargets":[
            "arn:aws:backup:*:112233445566:backup-vault:cab-*",
            "arn:aws:backup:us-west-1:123456789012:backup-vault:fort-knox"
          ]
        }
      }
    }
  ]
}

使用中的组织单位限制目标帐户 Amazon Organizations

当关联到包含您的源账户的 Amazon Organizations 根账户或 OU 时，或者关联到您的源账户时，以下策略将目标账户限制为两个指定 OU 中的账户。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyFromBackupVault",
      "Resource":"*",
      "Condition":{
        "ForAllValues:StringNotLike":{
          "backup:CopyTargetOrgPaths":[
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/ou-jkl0-awsddddd/*"
          ]
        }
      }
    }
  ]
}

跨账户备份的安全注意事项

在 Amazon Backup中执行跨账户备份时，请注意以下事项：