Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon S3 备份

概述

Amazon Backup 支持将数据单独存储在 S3 中或与其他数据库、存储和计算 Amazon 服务一起存储数据的应用程序的集中备份和恢复。许多功能可用于进行 S3 备份，包括 Backup Audit Manager。

您可以在中使用单一备份策略 Amazon Backup 来集中自动创建应用程序数据的备份。 Amazon Backup 自动将不同 Amazon 服务和第三方应用程序的备份组织到一个集中的加密位置（称为备份保管库），以便您可以通过集中式体验管理整个应用程序的备份。对于 S3，您可以创建连续备份，还原存储在 S3 中的应用程序数据，并且只需单击一下即可将备份还原到某个时间点。

Backup 分层

Amazon S3 是唯一支持将备份分层到成本较低的温存储层的资源。有关更多信息，请参阅 Backup 分层。

S3 备份的先决条件

Amazon S3 备份和还原权限和策略

要备份、复制和还原 S3 资源，您的角色中必须有正确的策略。要添加这些策略，请转到 Amazon 托管策略。将AWSBackupServiceRolePolicyForS3Backup和AWSBackupServiceRolePolicyForS3Restore添加到您打算用来备份和恢复 S3 存储桶的角色中。

如果您没有足够的权限，需请求贵组织管理（管理员）账户的经理将这些策略添加到目标角色。

有关更多信息，请参阅《IAM 用户指南》中的托管策略与内联策略。

备份和版本控制

您必须在 S3 存储桶上启用 S3 版本控制才能用 Amazon Backup 于 Amazon S3。

建议您为 S3 版本设置生命周期过期时段。

备份开始时，存储桶中的所有对象（包括所有版本）都将存储在恢复点（已完成的备份）中。这些对象可能包括每个对象的当前版本、旧版本、删除标记和待执行生命周期操作的对象。

亚马逊将计算备份中所有对象的存储成本，包括计划删除的对象（即将到期的对象）。您可以使用 CLI 或脚本从备份中删除计划到期的对象。

要了解有关设置 S3 生命周期策略的更多信息，请按照本页上的说明进行操作。

Amazon S3 备份的注意事项

在备份 S3 资源时，应考虑以下几点：

支持的存储桶类型、数量和对象大小

Amazon Backup 支持对任何大小（不超过 Amazon S3 支持的最大对象大小）的 S3 对象进行备份和还原操作。

Amazon Backup 支持通用型 S3 存储桶的备份和恢复。目前，不支持目录存储桶。

Amazon 账户中允许的资源（例如存储桶）数量的上限（称为配额）取决于服务。Amazon S3 配额与 Amazon Backup 配额不同。

默认情况下，在每个 Amazon 账户中，您最多可以为 100 个存储桶创建备份。您可以请求将配额提高到 1000 个存储桶。

超过 1000 个存储桶的账户受配额限制；当请求超出配额时，可能会导致作业失败。最佳实践是将账户限制在 1000 个存储桶以内。

支持的 S3 存储类

Amazon Backup 允许您备份存储在以下 S3 存储类中的 S3 数据：

存储类别 S3 Intelligent-Tiering (INT) 中的对象的备份可以访问这些对象。此访问会触发 S3 Intelligent-Tiering 自动将这些对象移至 “频繁访问”。

访问不频繁访问层（包括 S3 标准-不频繁访问 (IA) 和 S3 One Zone-IA 类别）的备份将按频繁访问的 S3 存储费用收取（适用于不频繁访问或存档即时访问层）。

不支持归档存储类别 S3 Glacier Flexible Retrieval 和 S3 Glacier Deep Archive。

有关 Amazon S3 存储定价的更多信息，请参阅 Amazon S3 定价。

S3 备份类型

使用 Amazon Backup，您可以为 S3 存储桶创建以下类型的备份，包括对象数据、标签、访问控制列表 (ACL) 和用户定义的元数据：

Cross-account 跨区域副本可用于 S3 备份，但连续备份的副本不具有时间点还原功能。

S3 存储桶的连续和定期备份必须位于同一个备份保管库中。

Amazon Backup 因为 S3 依赖于通过亚马逊接收 S3 事件 EventBridge。如果在 S3 存储桶通知设置中禁用此设置，则在关闭此设置的情况下，将停止对这些存储桶的连续备份。有关更多信息，请参阅 Amazon 对 S3 连续备份的 EventBridge 依赖关系。

禁用 Amazon Backup的 Amazon EventBridge 规则还会导致您的持续备份停止。如果您有一个带有持续备份规则的有效备份计划，则当该规则重新触发时， Amazon Backup 将重新创建 Amazon EventBridge 规则并创建新的连续备份。

对于这两种备份类型，第一次备份是完整备份，而后续备份是对象级别的增量备份。

Amazon 对 S3 连续备份的 EventBridge 依赖关系

当您在 Amazon Backup 连续备份中注册 S3 存储桶时，会在您的账户（名为AwsBackupManagedRule-N）中 Amazon Backup 自动创建一个 Amazon EventBridge 托管规则。此规则订阅存储桶上的以下 S3 事件并将其转发给服务： Amazon Backup

这些事件 Amazon Backup 允许保持连续（时间点恢复）恢复窗口。

Amazon Backup 要接收这些事件，必须将 S3 配置为将其发布到默认 Amazon EventBridge 事件总线。这由存储桶的 Amazon EventBridge 通知设置控制，该设置独立于 Amazon Backup托管规则。

验证您的存储桶 EventBridge 已启用亚马逊

控制台：打开 S3 控制台，选择您的存储桶，选择 “属性” 选项卡，滚动到 “事件通知”，然后确认 Amazon EventBridge 显示为 “开启”。

CLI：

aws s3api get-bucket-notification-configuration --bucket amzn-s3-demo-bucket

按如下方式解释响应：

启用亚马逊 EventBridge 通知

控制台：打开 S3 控制台，选择您的存储桶，选择 “属性”，滚动到 “事件通知”，选择 Amazon EventBridge，选择 “编辑”，打开，然后选择 “保存”。

CLI：

aws s3api put-bucket-notification-configuration \
    --bucket amzn-s3-demo-bucket \
    --notification-configuration '{"EventBridgeConfiguration": {}}'

如果在持续备份下对存储桶禁 EventBridge 用 Amazon 会发生什么

检测对亚马逊 EventBridge 通知设置的更改

由于 Amazon Backup 无法检测存储桶级别 A EventBridge mazon 何时被禁用，因此可以考虑设置主动监控，以便在通知设置更改时提醒您。您可以使用以下两种方法中的一种或两种：

备份角色所需的亚马逊 EventBridge 权限

用于 S3 连续备份 (PITR) 任务的 IAM 角色必须具有以下 Amazon EventBridge 权限 Amazon Backup 才能管理：AwsBackupManagedRule

{
  "Sid": "EventBridgePermissionsForAwsBackupManagedRule",
  "Effect": "Allow",
  "Action": [
    "events:DeleteRule",
    "events:PutTargets",
    "events:DescribeRule",
    "events:EnableRule",
    "events:PutRule",
    "events:RemoveTargets",
    "events:ListTargetsByRule",
    "events:DisableRule"
  ],
  "Resource": [
    "arn:aws:events:*:*:rule/AwsBackupManagedRule*"
  ]
},
{
  "Sid": "EventBridgeListRulesPermissions",
  "Effect": "Allow",
  "Action": "events:ListRules",
  "Resource": "*"
}

Amazon 托管策略AWSBackupServiceRolePolicyForS3Backup已包含这些权限。如果您使用自定义 IAM 角色，则必须明确添加它们。

Re-enable 持续的备份覆盖范围

Re-enable 使用上述控制台或 CLI 步骤进行存储桶级别 EventBridge Amazon。S3 将恢复发布事件，托管规则将恢复将其转发到 Amazon Backup。 EventBridge 在 Amazon 禁用期间所做的更改不会被追溯捕获。现有的持续恢复点和之前的备份历史记录仍然有效。

比较 S3 备份类型

您的 S3 资源备份策略可以仅包括连续备份，也可以仅包括定期（快照）备份，或者两者兼而有之。以下信息可以帮助您选择最适合贵组织的方法：

仅连续备份：

仅定期（快照）备份（计划备份或按需备份）：

连续备份与 periodic/snapshot 备份相结合：

当针对 S3 存储桶运行连续备份作业时，您仍然可以启动定期（快照）备份作业。但是，以下行为适用：

下表显示了更改现有连续恢复点时何时需要 BackupOptions 进行全面扫描：

S3 备份完成窗口

下表显示了不同大小的存储桶示例，可帮助您估计 S3 存储桶初始完整备份的完成时间。备份时间将因每个存储桶的大小、内容、配置和设置而异。

S3 备份的最佳实践和成本考虑因素

大型存储桶最佳实践

对于对象数超过 3 亿的存储桶：

备份策略优化

对象生命周期和删除标记

存储类别成本注意事项

Amazon 服务成本优化

S3 备份消息

备份作业完成或失败时，您可能会看到以下消息。下表有助于您确定导致出现状态消息的可能原因。

Amazon S3 高级备份设置

Amazon Backup 提供高级设置来控制您的 Amazon S3 备份中包含哪些元数据。您可以选择排除访问控制列表（ACL）和对象标签，如果您的对象在设置时没有使用 ACL 和对象标签，这会很有用。换句话说，如果您不对 S3 资源使用 ACL 或对象标签，则可能会发现将其从备份中排除是有益的。

配置 ACL 和对象标签的备份

您可以通过 Amazon Backup 控制台或通过配置 ACL 和对象标签备份选项 Amazon CLI。

Console

使用控制台配置 ACL 和标签选项

1. 打开 Amazon Backup 控制台，网址为https://console.aws.amazon.com/backup/。

2. 在导航窗格中，选择备份计划，然后选择创建备份计划。

3. 在备份计划设置中，展开高级备份设置。

4. 对于 Amazon S3 资源，配置以下选项：

   • 备份 ACL：选中此复选框可包含 ACL，或者取消选中此复选框可排除 ACL。

     备份对象标签：选中此复选框可在备份中包含对象标签。

5. 完成备份计划配置，然后选择创建计划。

Amazon CLI

您可以选择使用以下备份选项在 Amazon S3 备份中包含或排除访问控制列表（ACL）和对象标签：

BackupACLs

控制备份中是否包含对象 ACL。设置为 disabled 可排除 ACL。默认值：enabled

BackupObjectTags

控制备份中是否包含对象标签。设置为 disabled 可排除标签。默认值：enabled

使用配置 ACL 和标记选项 Amazon CLI

要使用配置 ACL 和对象标签备份选项 Amazon CLI，请使用带有高级备份设置的update-backup-plan命令：

aws backup update-backup-plan \
    --backup-plan-id "your-backup-plan-id" \
    --backup-plan '{
        "BackupPlanName": "MyS3BackupPlan",
        "Rules": [{
            "RuleName": "MyS3BackupRule",
            "TargetBackupVaultName": "MyBackupVault",
            "ScheduleExpression": "cron(0 2 ? * * *)",
            "Lifecycle": {
                "DeleteAfterDays": 30
            },
            "RecoveryPointTags": {},
            "CopyActions": [],
            "EnableContinuousBackup": false
        }],
        "AdvancedBackupSettings": [{
            "ResourceType": "S3",
            "BackupOptions": {
                "BackupACLs": "disabled",
                "BackupObjectTags": "disabled"
            }
        }]
    }'
                

这些 BackupOptions 参数用于控制是否包含这些元数据：

• "BackupACLs": "disabled" – 从备份中排除 ACL

• "BackupObjectTags": "disabled" – 从备份中排除对象标签

• "BackupACLs": "enabled" – 在备份中包含 ACL（默认）

• "BackupObjectTags": "enabled" – 在备份中包含对象标签（默认）