Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon Backup 文件库锁

Amazon Backup Vault Lock 是备份保管库的一项可选功能，它有助于增强对备份库的安全性和控制力。当锁在合规模式下处于活动状态并且宽限期结束时，客户、账户/数据所有者或 Amazon无法更改或删除保管库配置。每个保管库可以有一个保管库锁。

Amazon Backup 确保您的备份在保留期到期之前一直可供您使用。如果任何用户（包括 root 用户）尝试删除已锁定文件库中的备份或更改其生命周期属性， Amazon Backup 则会拒绝该操作。

保管库锁定模式

创建保管库锁定时，您可以选择两种模式：治理模式或合规模式。治理模式旨在允许只有拥有充足 IAM 权限的用户才能管理保管库。治理模式可帮助组织满足治理要求，确保只有指定的人员才能对备份保管库进行更改。合规模式适用于在数据保留期结束之前永远不会删除或更改保管库（以及其内容）的备份保管库。合规模式下的保管库一旦被锁定，它就不可变，这意味着无法移除锁定。

拥有相应 IAM 权限的用户可以管理或删除在治理模式下锁定的保管库。

任何用户或 Amazon都无法更改或删除处于合规模式下的保管库锁定。合规模式下的保管库锁定在锁定并变为不可变之前具有您设置的宽限期。

保管库锁定的好处

Amazon Backup 文件库锁有多项好处，包括：

使用控制台锁定备份保管库

您可以使用 Backup 控制台向 Amazon Backup 保管库添加文件库锁。

如果步骤已成功完成，则控制台顶部将显示“成功”横幅。

以编程方式锁定备份保管库

要配置 Amazon Backup 文件库锁定，请使用 API PutBackupVaultLockConfiguration。要包含的参数将取决于您打算采用哪种保管库锁定模式。如果您想在治理模式下创建保管库锁定，请不要包含 ChangeableForDays。如果包含此参数，则将在合规模式下创建保管库锁定。

以下是创建合规模式保管库锁定的 CLI 示例：

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --changeable-for-days 3 \
        --min-retention-days 7 \
        --max-retention-days 30

以下是创建治理模式保管库锁定的 CLI 示例：

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --min-retention-days 7 \
        --max-retention-days 30

您可以配置四个选项。

查看备份保管库的保 Amazon Backup 管库锁定配置

您可以通过调用DescribeBackupVault或 ListBackupVaults API 随时查看 Amazon Backup 文件库的保管库锁定详细信息。

要确定您是否对备份保管库应用了保管库锁定，请调用 DescribeBackupVault 并查看 Locked 属性。如果"Locked": true像以下示例一样，您已将 Amazon Backup 文件库锁定应用于备份保管库。

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 1,
    "Locked": true,
    "MinRetentionDays": 7,
    "MaxRetentionDays": 30,
    "LockDate": "2021-09-30T10:12:38.089000-07:00"
}

上述输出确认了以下选项：

如果 "Locked":false 像以下示例一样，说明您尚未应用保管库锁定（或之前的保管库锁定已被删除）。

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 3,
    "Locked": false
}

在宽限期内移除保管库锁定（合规模式）

要在宽限期（锁定保管库之后但在锁定保管库之前的时间LockDate）使用 Amazon Backup 控制台删除文件库锁定，

成功完成所有步骤后，控制台屏幕顶部将显示“成功”横幅。

要在宽限期内使用 CLI 命令删除保管库锁定，请使用 DeleteBackupVaultLockConfiguration，如这个 CLI 示例所示：

aws backup delete-backup-vault-lock-configuration \
          --backup-vault-name my_vault_to_lock

Amazon Web Services 账户 用上锁的金库关闭

当您关闭 Amazon Web Services 账户 包含备份保管库的， Amazon 并在备份完好无损的情况下 Amazon Backup 暂停您的帐户 90 天。如果您在这 90 天内没有重新打开账户，即使保管库锁定已到位，也会 Amazon 删除备份 Amazon Backup 保管库中的内容。

其它安全注意事项

Amazon Backup Vault Lock 为您的数据保护防御深度增加了一层额外的安全保护。保管库锁定可以与其他安全功能结合使用：