Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

Amazon Backup 中的备份加密

独立 加密

Amazon Backup 为支持完全 Amazon Backup 管理的资源类型提供独立加密。独立加密意味着您通过 Amazon Backup 创建的恢复点（备份）可以采用与源资源加密所决定的加密方法不同的加密方法。例如，您对 Amazon S3 存储桶的备份可以采用与使用 Amazon S3 加密选项加密的源存储桶不同的加密方法。这种加密通过存储备份的备份保管库中的 Amazon KMS 密钥配置进行控制。

未完全由 Amazon Backup 管理的资源类型的备份通常会从其源资源继承加密设置。您可以根据该服务的说明（例如《Amazon EBS User Guide》中的 Amazon EBS encryption）配置这些加密设置。

您的 IAM 角色必须能够访问用于备份和还原对象的 KMS 密钥。否则，作业虽然会成功，但不会备份或还原对象。IAM 策略和 KMS 密钥策略中的权限必须一致。有关更多信息，请参阅《Amazon Key Management Service 开发人员指南》中的在 IAM 策略声明中指定 KMS 密钥。

下表列出了每种受支持的资源类型、如何为备份配置加密以及是否支持独立的备份加密。当 Amazon Backup 独立加密备份时，它会使用行业标准的 AES-256 加密算法。有关 Amazon Backup 中加密的更多信息，请参阅跨区域和跨账户备份。

对备份到不同账户或 Amazon Web Services 区域的副本的加密

当您跨账户或区域复制备份时，即使原始备份未加密，Amazon Backup 也会自动加密大多数资源类型的这些副本。Amazon Backup 使用目标保管库的 KMS 密钥加密副本。

在将备份从一个账户复制到另一个账户（跨账户复制作业）或将备份从一个区域复制到另一个区域（跨区域复制作业）之前，请注意以下条件，其中许多条件取决于备份（恢复点）中的资源类型是完全由 Amazon Backup 管理还是未完全由该服务管理。

Amazon Backup 权限、授权和拒绝语句

为了帮助避免作业失败，您可以检查 Amazon KMS 密钥策略以确保其具有所需的权限并且没有任何阻止成功操作的拒绝语句。

作业可能会因对 KMS 密钥应用一个或多个拒绝语句或者撤消对密钥的授权而失败。

AWSBackupFullAccess 等 Amazon 托管访问策略中包含允许 Amazon Backup 与 Amazon KMS 交互以在备份、复制和存储操作过程中代表客户对 KMS 密钥创建授权。

密钥策略至少需要以下权限：

如果需要使用拒绝策略，则需要将备份和还原操作所需的角色列入允许列表。

这些元素可能如下所示：

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
      {
          "Sid": "KmsPermissions",
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::123456789012:user/root"
          },
          "Action": [
              "kms:ListKeys",
              "kms:DescribeKey",
              "kms:GenerateDataKey",
              "kms:ListAliases"
          ],
          "Resource": "*"
      },
      {
          "Sid": "KmsCreateGrantPermissions",
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::123456789012:user/root"
          },
          "Action": [
              "kms:CreateGrant"
          ],
          "Resource": "*",
          "Condition": {
              "ForAnyValue:StringEquals": {
                  "kms:EncryptionContextKeys": "aws:backup:backup-vault"
              },
              "Bool": {
                  "kms:GrantIsForAWSResource": true
              },
              "StringLike": {
                  "kms:ViaService": "backup.*.amazonaws.com"
              }
          }
      }
    ]
}

无论是 Amazon 托管式密钥还是客户自主管理型密钥，这些权限都必须是密钥的一部分。

此外，与启动跨区域复制作业的角色关联的密钥必须在 DescribeKey 权限中包含 "kms:ResourcesAliases": "alias/aws/backup"。