管理多个Amazon Backup资源 Amazon Web Services 账户

在中创建管理账户Amazon Organizations并添加账户

• 有关说明，请参阅《Amazon Organizations用户指南》中的教程：创建和配置组织。

启用跨账户管理

1. 登录到 Amazon Web Services Management Console，然后通过以下网址打开 Amazon Backup 控制台：https://console.aws.amazon.com/backup。

   您只能通过管理账户执行此步骤。

2. 在左侧导航窗格中，选择设置以打开跨账户管理页面。

3. 在备份策略部分中，选择启用。

   这使您可以访问所有账户，并允许您创建策略以便同时自动管理组织中的多个账户。

4. 在跨账户监控部分中，选择启用。

   这使您能够通过管理帐户监控组织中所有帐户的备份、复制和恢复活动。

1. 使用您的管理账户的凭据@@ 登录Amazon Backup控制台Amazon Organizations。

2. 在控制台左侧导航栏的 “我的帐户” 下，选择 “设置”。

3. 在 “委派管理员” 窗格中，单击 “注册委派管理员” 或 “添加委派管理员”。

4. 在 “注册委托管理员” 页面上，选择要注册的账户，然后选择 “注册账户”。

1. 使用您的管理账户的凭据@@ 登录Amazon Backup控制台Amazon Organizations。

2. 在控制台左侧导航栏的 “我的帐户” 下，选择 “设置”。

3. 在 “委托管理员” 部分，单击 “注销账户”。

4. 选择您要注销的账户。

5. 在 “注销帐户” 对话框中，查看安全隐患，然后键入confirm以完成注销。

6. 选择 Deregister account。

创建备份策略

1. 在左侧导航窗格中，选择备份策略。在备份策略页上，选择创建备份策略。

2. 在详细信息部分中，输入备份策略名称并提供说明。

3. 在备份计划详细信息部分中，选择可视编辑器选项卡，然后执行以下操作：

   1. 对于备份计划名称，输入名称。

   2. 对于区域，从列表中选择一个区域。

4. 在备份规则配置部分中，选择添加备份规则。

   1. 对于规则名称，输入规则的名称。规则名称区分大小写，只能包含字母数字字符或连字符。

   2. 对于计划，请在频率列表中选择备份频率，然后选择备份时段选项之一。我们建议您选择 “使用默认备份窗口”（推荐）。

5. 对于生命周期，请选择所需的生命周期设置。

6. 对于备份保管库名称，输入一个名称。这是将存储由备份创建的恢复点的备份保管库。

   确保您的所有账户中都存在备份保管库。 Amazon Backup不检查这个。

7. （可选）如果要将备份复制到另一个区域，请从列表中选择目标区域Amazon Web Services 区域，然后添加标签。无论跨区域复制设置如何，您都可以为创建的恢复点选择标签。您还可以添加更多规则。

8. 在资源分配部分，提供 Amazon Identity and Access Management (IAM) 角色的名称。要使用Amazon Backup服务角色，请提供service-role/AWSBackupDefaultServiceRole。

   Amazon Backup在每个账户中担任此角色是为了获得执行备份和复制任务的权限，包括加密密钥权限（如果适用）。 Amazon Backup还使用此角色执行生命周期删除。

   注意

   Amazon Backup 不会验证角色是否存在或者是否可以代入角色。

   对于跨账户管理创建的备份计划，Amazon Backup将使用管理账户中的选择加入设置并覆盖特定账户的设置。

   对于要向其添加备份策略的每个账户，您必须自己创建文件库和 IAM 角色。

9. 如果需要，则将标签添加到备份计划。允许的最大标签数为 20。

10. 如果您要备份的资源在亚马逊 EC2 实例上运行 Micro soft Windows，请在 “高级设置” 部分中选择 Windows VS S。这使您能够进行应用程序一致的 Windows VSS 备份。

    注意

    Amazon Backup目前仅支持在 Amazon EC2 上运行的资源的应用程序一致性备份。并非所有实例类型或应用程序都支持 Windows VSS 备份。有关更多信息，请参阅创建 Windows VSS 备份：

    注意

    Amazon Organizations如果备份计划是通过 Organizations 策略创建的，则策略最多允许指定 20 个标签。通过使用多个资源分配或通过 JSON 参与多个备份计划，可以包含其他标签。

11. 选择添加备份计划以将其添加到策略中，然后选择创建备份策略。

    创建备份策略不会保护您的资源，直到您将其附加到账户。您可以选择您的策略名称并查看详细信息。

    以下是创建备份计划的Amazon Organizations策略示例。如果启用 Windows VSS 备份，则必须添加允许您进行应用程序一致性备份的权限，如策略advanced_backup_settings部分所示。

    {
      "plans": {
        "PiiBackupPlan": {
          "regions": {
            "@@append":[
              "us-east-1",
              "eu-north-1"
            ]
          },
          "rules": {
            "Hourly": {
              "schedule_expression": {
                "@@assign": "cron(0 0/1 ? * * *)"
              },
              "start_backup_window_minutes": {
                "@@assign": "60"
              },
              "complete_backup_window_minutes": {
                "@@assign": "604800"
              },
              "target_backup_vault_name": {
                "@@assign": "FortKnox"
              },
              "recovery_point_tags": {
                "owner": {
                  "tag_key": {
                    "@@assign": "Owner"
                  },
                  "tag_value": {
                    "@@assign": "Backup"
                  }
                }
              },
              "lifecycle": {
                "delete_after_days": {
                  "@@assign": "365"
                },
                "move_to_cold_storage_after_days": {
                  "@@assign": "180"
                }
              },
              "copy_actions": {
                "arn:aws:backup:eu-north-1:$account:backup-vault:myTargetBackupVault" : {
                "target_backup_vault_arn" : {
                "@@assign" : "arn:aws:backup:eu-north-1:$account:backup-vault:myTargetBackupVault"  },
                  "lifecycle": {
                    "delete_after_days": {
                      "@@assign": "365"
                    },
                    "move_to_cold_storage_after_days": {
                      "@@assign": "180"
                    }
                  }
                }
              }
            }
          },
          "selections": {
            "tags": {
              "SelectionDataType": {
                "iam_role_arn": {
                  "@@assign": "arn:aws:iam::$account:role/MyIamRole"
                },
                "tag_key": {
                  "@@assign": "dataType"
                },
                "tag_value": {
                  "@@assign": [
                    "PII",
                    "RED"
                  ]
                }
              }
            }
          },
          "backup_plan_tags": {
            "stage": {
              "tag_key": {
                "@@assign": "Stage"
              },
              "tag_value": {
                "@@assign": "Beta"
              }
            }
          }
        }
      }
    }

12. 在目标部分中，选择要将策略附加到的组织单位或账户，然后选择附加。此策略也可以添加到各个组织单位或账户中。

    注意

    请务必验证您的政策，并在策略中包含所有必填字段。如果策略的某些部分无效，则 Amazon Backup 忽略这些部分，但策略的有效部分将按预期工作。目前，Amazon Backup不验证Amazon Organizations策略的正确性。

    如果您对管理账户应用一种策略，对成员账户应用不同的策略，并且它们存在冲突（例如，备份保留期不同），则这两个策略将毫无问题地运行（也就是说，这些策略将针对每个账户独立运行）。例如，如果管理账户策略每天备份一次 Amazon EBS 卷，而本地策略每周备份一次 EBS 卷，则这两个策略都将运行。

    如果要应用于账户的有效政策中缺少必填字段（可能是由于不同政策之间的合并），则根本Amazon Backup不会将该政策应用于该账户。如果某些设置无效，则对其Amazon Backup进行调整。

    在根据备份策略创建的备份计划中，无论成员账户中的选择加入设置如何，都Amazon Backup将使用组织管理账户中指定的选择加入设置。

    当您将策略附加到组织单位时，加入此组织单位的每个账户都会自动获取此策略，从组织单位中删除的每个账户都会失去此策略。相应的备份计划将自动从该账户中删除。

监控多个账户

1. 登录到 Amazon Web Services Management Console，然后通过以下网址打开 Amazon Backup 控制台：https://console.aws.amazon.com/backup。

   您只能通过管理账户执行此操作。

2. 在左侧导航窗格中，选择设置以打开跨账户管理页面。

3. 在跨账户监控部分中，选择启用。

   这使您能够通过管理帐户监控组织中所有帐户的备份和还原活动。

4. 在左侧导航窗格中，选择跨账户监控。

5. 在跨账户监控页面上，选择备份作业、还原作业或复制作业选项卡，以查看在所有账户中创建的所有作业。您可以通过 Amazon Web Services 账户 ID 查看这些作业，也可以查看特定账户中的所有作业。

6. 在搜索框中，您可以按账户 ID、状态或作业 ID 筛选作业。

   例如，您可以选择备份作业选项卡并查看在您的所有账户中创建的所有备份作业。您可以按账户 ID 筛选列表，并查看在该账户中创建的所有备份作业。