本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
对中的备份进行加密 Amazon Backup
您可以为支持完全 Amazon Backup 管理的资源类型配置加密 Amazon Backup。如果资源类型不支持完全 Amazon Backup 管理,则必须按照该服务的说明配置其备份加密,例如《亚马逊EBS用户指南》中的 Amazon EBS 加密。要查看支持完全 Amazon Backup 管理的资源类型列表,请参阅按资源划分的功能可用性表格的 “完全 Amazon Backup 管理” 部分。
您的IAM角色必须有权访问用于备份和恢复对象的KMS密钥。否则,任务会成功,但不会备份或还原对象。IAM策略和KMS密钥策略中的权限必须一致。有关更多信息,请参阅《Amazon Key Management Service 开发人员指南》中的在IAM策略声明中指定KMS密钥。
注意
Amazon Backup A@@ udit Manager 可帮助您自动检测未加密的备份。
下表列出了每种受支持的资源类型、如何为备份配置加密以及是否支持独立的备份加密。 Amazon Backup 独立加密备份时,它使用行业标准的 AES -256 加密算法。有关加密的更多信息 Amazon Backup,请参阅中的跨区域和跨账户备份。
资源类型 | 如何配置加密 | 独立 Amazon Backup 加密 |
---|---|---|
Amazon Simple Storage Service (Amazon S3) | Amazon S3 备份使用与备份库关联的 Amazon KMS (Amazon Key Management Service) 密钥进行加密。 Amazon KMS密钥可以是客户管理的密钥,也可以是与服务关联的 Amazon托管密钥。 Amazon Backup Amazon Backup 即使源 Amazon S3 存储桶未加密,也会加密所有备份。 | 支持 |
VMware虚拟机 | 虚拟机备份始终经过加密。虚拟机备份的 Amazon KMS 加密密钥是在存储虚拟机备份的 Amazon Backup 保管库中配置的。 | 支持 |
启用高级 DynamoDB 备份后的 Amazon DynamoDB |
DynamoDB 备份始终加密。DynamoDB 备份的 Amazon KMS 加密密钥是在存储 DynamoDB 备份的文件库中 Amazon Backup 配置的。 |
支持 |
未启用高级 DynamoDB 备份的 Amazon DynamoDB |
DynamoDB 备份使用与用于加密源 DynamoDB 表的相同加密密钥自动进行加密。未加密的 DynamoDB 表的快照也不会加密。 Amazon Backup 要创建加密的 DynamoDB 表的备份,必须向用于备份IAM的角色添加 |
不支持 |
亚马逊 Elastic File System(亚马逊EFS) | Amazon EFS 备份始终经过加密。Amazon EFS 备份的 Amazon KMS 加密密钥是在存储亚马逊EFS备份 Amazon Backup 的文件库中配置的。 | 支持 |
亚马逊 Elastic Block Store(亚马逊EBS) | 默认情况下,Amazon EBS 备份要么使用用于加密源卷的密钥进行加密,要么未加密。在还原期间,您可以通过指定密KMS钥来选择覆盖默认的加密方法。 | 不支持 |
亚马逊弹性计算云(亚马逊EC2)AMIs | AMIs未加密。EBS快照按照EBS备份的默认加密规则进行加密(参见条目EBS)。EBS可以对数据和根卷的快照进行加密并附加到AMI。 | 不支持 |
亚马逊 Relational Database Service(亚马逊RDS) | Amazon RDS 快照会使用与加密源亚马逊RDS数据库相同的加密密钥自动加密。未加密的 Amazon RDS 数据库的快照也是未加密的。 | 不支持 |
Amazon Aurora | Aurora 集群快照使用与用于加密源 Amazon Aurora 集群相同的加密密钥自动进行加密。未加密的 Aurora 集群的快照也不会加密。 | 不支持 |
Amazon Storage Gateway | Storage Gateway 快照使用与用于加密源 Storage Gateway 卷相同的加密密钥自动进行加密。未加密的 Storage Gateway 卷的快照也不会加密。 您无需在所有服务中使用客户托管密钥即可启用 Storage Gateway。您只需要将 Storage Gateway 备份复制到配置了KMS密钥的保管库即可。这是因为 Storage Gateway 没有特定于服务的 Amazon KMS 托管密钥。 |
不支持 |
Amazon FSx | Amazon FSx 文件系统的加密功能因底层文件系统而异。要详细了解您的特定 Amazon FSx 文件系统,请参阅相应的FSx用户指南。 | 不支持 |
Amazon DocumentDB | Amazon DocumentDB 集群快照使用与用于加密源 Amazon DocumentDB 集群相同的加密密钥自动进行加密。未加密的 Amazon DocumentDB 集群的快照也不会加密。 | 不支持 |
Amazon Neptune | Amazon Neptune 集群快照使用与用于加密源 Amazon Neptune 集群相同的加密密钥自动进行加密。未加密的 Amazon Neptune 集群的快照也不会加密。 | 不支持 |
Amazon Timestream | Amazon Timestream 表快照备份始终加密。Amazon Timestream 备份的 Amazon KMS 加密密钥在存储 Timestream 备份的备份保管库中进行配置。 | 支持 |
Amazon Redshift | Amazon Redshift 集群快照使用与用于加密源 Amazon Redshift 集群相同的加密密钥自动进行加密。未加密的 Amazon Redshift 集群的快照也不会加密。 | 不支持 |
Amazon CloudFormation | CloudFormation 备份始终是加密的。备份的 CloudFormation 加密密钥是在存储 CloudFormation 备份的 CloudFormation 保管库中配置的。 CloudFormation | 支持 |
SAPHANAAmazon EC2 实例上的数据库 | SAPHANA数据库备份始终是加密的。SAPHANA数据库备份的 Amazon KMS 加密密钥是在存储数据库备份的 Amazon Backup 保管库中配置的。 | 支持 |
备份副本的加密
当您使用 Amazon Backup 跨账户或区域复制备份时,即使原始备份未加密,也会 Amazon Backup 自动加密大多数资源类型的副本。 Amazon Backup 使用目标保管库的KMS密钥加密您的副本。但是,未加密的 Aurora、Amazon DocumentDB 和 Neptune 集群的快照也未加密。
加密和备份副本
对于未完全 Amazon 由管理的资源,不支持使用托管KMS密钥进行跨账户复制。 Amazon Backup请参阅,全面 Amazon Backup 管理以确定哪些资源是完全托管的。
对于完全由管理的资源 Amazon Backup,使用备份库的加密密钥对备份进行加密。对于未完全由管理的资源 Amazon Backup,跨账户副本使用与源资源相同的KMS密钥。有关更多信息,请参阅 加密密钥和跨账户副本