跨多个管理 Amazon Backup 资源 Amazon Web Services 账户

在中创建管理账户 Amazon Organizations 并添加账户

• 有关说明，请参阅《Amazon Organizations 用户指南》中的教程：创建和配置组织。

启用跨账户管理

1. 打开网址为 Amazon Backup 控制台 https://console.aws.amazon.com/backup/。您必须使用您的管理账户凭证登录。

2. 在左侧导航窗格中，选择设置以打开跨账户管理页面。

3. 在备份策略部分中，选择启用。

   这使您可以访问所有账户，并允许您创建策略以便同时自动管理组织中的多个账户。

4. 在跨账户监控部分中，选择启用。

   这使您能够从管理账户监控组织中所有账户的备份、复制和还原活动。

1. 打开网址为 Amazon Backup 控制台 https://console.aws.amazon.com/backup/。您必须使用您的管理账户凭证登录。

2. 在控制台左侧导航栏的我的账户下，选择设置。

3. 在委托管理员窗格中，单击注册委托管理员或添加委托管理员。

4. 在注册委托管理员页面上，选择要注册的账户，然后选择注册账户。

1. 打开网址为 Amazon Backup 控制台 https://console.aws.amazon.com/backup/。您必须使用您的管理账户凭证登录。

2. 在控制台左侧导航栏的我的账户下，选择设置。

3. 在委托管理员部分，单击注销账户。

4. 选择要注销的账户。

5. 在注销账户对话框中，查看安全隐患，然后键入 confirm 以完成注销。

6. 选择Deregister account。

通过 Amazon Backup 控制台创建备份策略

1. 在左侧导航窗格中，选择备份策略。在备份策略页上，选择创建备份策略。

2. 在详细信息部分中，输入备份策略名称并提供描述。

3. 在备份计划详细信息部分中，选择可视编辑器选项卡，然后执行以下操作：

   1. 对于备份计划名称，输入名称。

   2. 对于区域，从列表中选择一个区域。

4. 在备份规则配置部分中，选择添加备份规则。

   每个备份计划的最大规则数为 10。如果计划包含的规则超过 10 条，则备份计划将被忽略，并且不会根据该计划创建备份。

   1. 对于规则名称，输入规则的名称。规则名称区分大小写，只能包含字母数字字符或连字符。

   2. 对于计划，请在频率列表中选择备份频率，然后选择备份时段选项之一。建议您选择使用备份时段默认值 - 推荐。

5. 对于生命周期，请选择所需的生命周期设置。

6. 对于备份保管库名称，输入一个名称。这是将存储由备份创建的恢复点的备份保管库。

   确保您的所有账户中都存在备份保管库。 Amazon Backup 不检查这个。

7. （可选）如果要将备份复制到另一个区域，请从列表中选择目标区域 Amazon Web Services 区域，然后添加标签。无论跨区域复制设置如何，您都可以为创建的恢复点选择标签。您还可以添加更多规则。

8. 在资源分配部分，提供 Amazon Identity and Access Management (IAM) 角色的名称。要使用 Amazon Backup 服务角色，请提供service-role/AWSBackupDefaultServiceRole。

   Amazon Backup 在每个账户中担任此角色是为了获得执行备份和复制任务的权限，包括加密密钥权限（如果适用）。 Amazon Backup 还使用此角色执行生命周期删除。

   注意

   Amazon Backup 不验证该角色是否存在或是否可以担任该角色。

   对于跨账户管理创建的备份计划， Amazon Backup 将使用管理账户中的选择加入设置并覆盖特定账户的设置。

   对于要添加备份策略的每个账户，您必须自行创建保管库和 IAM 角色。

9. 添加标签以选择要备份的资源。允许的最大标签数为 30。

   Amazon Organizations 如果备份计划是通过 Organizations 策略创建的，则策略最多允许指定 30 个标签。通过使用多个资源分配或参与多个备份计划，可以包含其他标签。

   如果在同一个备份选择中标签的数量超过 30 个，无论是通过修改现有选择还是使用@@append，备份计划都将失效，并将从本地帐户中删除。

10. 如果您要备份的资源正在 Amazon EC2 实例上运行 Microsoft Windows，请在高级设置部分选择 Windows VSS。这样，您将能够创建与应用程序保持一致的 Windows VSS 备份。

    注意

    Amazon Backup 目前仅支持在 Amazon EC2 上运行的资源的应用程序一致性备份。Windows VSS 备份并非支持所有实例类型或应用程序。有关更多信息，请参阅 创建 Windows VSS 备份。

11. 选择添加备份计划以将其添加到策略中，然后选择创建备份策略。

    创建备份策略不会保护您的资源，直到您将其附加到账户。您可以选择您的策略名称并查看详细信息。

    以下是创建备份计划的 Amazon Organizations 策略示例。如果启用 Windows VSS 备份，则必须添加允许您创建应用程序一致性备份的权限，如策略的 advanced_backup_settings 部分所示。

    {
      "plans": {
        "PiiBackupPlan": {
          "regions": {
            "@@append":[
              "us-east-1",
              "eu-north-1"
            ]
          },
          "rules": {
            "Hourly": {
              "schedule_expression": {
                "@@assign": "cron(0 0/1 ? * * *)"
              },
              "start_backup_window_minutes": {
                "@@assign": "60"
              },
              "complete_backup_window_minutes": {
                "@@assign": "604800"
              },
              "target_backup_vault_name": {
                "@@assign": "FortKnox"
              },
              "recovery_point_tags": {
                "owner": {
                  "tag_key": {
                    "@@assign": "Owner"
                  },
                  "tag_value": {
                    "@@assign": "Backup"
                  }
                }
              },
              "lifecycle": {
                "delete_after_days": {
                  "@@assign": "365"
                },
                "move_to_cold_storage_after_days": {
                  "@@assign": "180"
                }
              },
              "copy_actions": {
                "arn:aws:backup:eu-north-1:$account:backup-vault:myTargetBackupVault" : {
                "target_backup_vault_arn" : {
                "@@assign" : "arn:aws:backup:eu-north-1:$account:backup-vault:myTargetBackupVault"  },
                  "lifecycle": {
                    "delete_after_days": {
                      "@@assign": "365"
                    },
                    "move_to_cold_storage_after_days": {
                      "@@assign": "180"
                    }
                  }
                }
              }
            }
          },
          "selections": {
            "tags": {
              "SelectionDataType": {
                "iam_role_arn": {
                  "@@assign": "arn:aws:iam::$account:role/MyIamRole"
                },
                "tag_key": {
                  "@@assign": "dataType"
                },
                "tag_value": {
                  "@@assign": [
                    "PII",
                    "RED"
                  ]
                }
              }
            }
          },
          "backup_plan_tags": {
            "stage": {
              "tag_key": {
                "@@assign": "Stage"
              },
              "tag_value": {
                "@@assign": "Beta"
              }
            }
          }
        }
      }
    }

12. 在目标部分中，选择要将策略附加到的组织单位或账户，然后选择附加。此策略也可以添加到各个组织单位或账户中。

    注意

    确保验证您的策略，并确保在策略中包含所有必需的字段。如果策略的某些部分无效，则 Amazon Backup 忽略这些部分，但策略的有效部分将按预期工作。目前， Amazon Backup 不验证 Amazon Organizations 策略的正确性。

    如果您对管理账户应用一种策略，对成员账户应用不同的策略，并且它们存在冲突（例如，备份保留期不同），则这两个策略将毫无问题地运行（也就是说，这些策略将针对每个账户独立运行）。例如，如果管理账户策略每天备份一次 Amazon EBS 卷，而本地策略每周备份一次 EBS 卷，则这两个策略都将运行。

    如果将应用于某个账户的有效策略中缺少必需的字段（可能是由于不同策略之间的合并所致），则 Amazon Backup 根本不会将该策略应用于该账户。如果某些设置无效，则对其 Amazon Backup 进行调整。

    在根据备份策略创建的备份计划中，无论成员账户中的选择加入设置如何，都 Amazon Backup 将使用组织管理账户中指定的选择加入设置。

    当您将策略附加到组织单位时，加入此组织单位的每个账户都会自动获取此策略，从组织单位中删除的每个账户都会失去此策略。相应的备份计划将自动从该账户中删除。

监控多个账户

1. 打开网址为 Amazon Backup 控制台 https://console.aws.amazon.com/backup/。您必须使用您的管理账户凭证登录。

2. 在左侧导航窗格中，选择设置以打开跨账户管理页面。

3. 在跨账户监控部分中，选择启用。

   这样，您可以从管理账户监控组织中所有账户的备份和还原活动。

4. 在左侧导航窗格中，选择跨账户监控。

5. 在跨账户监控页面上，选择备份作业、还原作业或复制作业选项卡，以查看在所有账户中创建的所有作业。您可以通过 Amazon Web Services 账户 ID 查看这些作业，也可以查看特定账户中的所有作业。

6. 在搜索框中，您可以按账户 ID、状态或作业 ID 筛选作业。

   例如，您可以选择备份作业选项卡并查看在您的所有账户中创建的所有备份作业。您可以按账户 ID 筛选列表，并查看在该账户中创建的所有备份作业。