本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

对中的备份进行加密 AWS Backup

独立 加密

AWS Backup 为支持全面 AWS Backup 管理的资源类型提供独立加密。独立加密意味着您创建的恢复点（备份） AWS Backup 可以采用除源资源加密确定的加密方法以外的加密方法。例如，您对 Amazon S3 存储桶的备份可以采用与使用 Amazon S3 加密选项加密的源存储桶不同的加密方法。这种加密通过存储备份的备份保管库中的 AWS KMS 密钥配置进行控制。

未完全由管理的资源类型的备份 AWS Backup 通常会继承其源资源的加密设置。您可以根据该服务的说明（例如《Amazon EBS 用户指南》中的 Amazon EBS 加密）配置这些加密设置。

您的 IAM 角色必须能够访问用于备份和还原对象的 KMS 密钥。否则，作业虽然会成功，但不会备份或还原对象。IAM 策略和 KMS 密钥策略中的权限必须一致。有关更多信息，请参阅《AWS Key Management Service 开发人员指南》中的在 IAM 策略声明中指定 KMS 密钥。

下表列出了每种受支持的资源类型、如何为备份配置加密以及是否支持独立的备份加密。当 AWS Backup 独立加密备份时，它使用行业标准的 AES-256 加密算法。有关加密的更多信息 AWS Backup，请参阅跨区域和跨账户备份。

加密备份到其他帐户的副本或 AWS 区域

当您跨账户或区域复制备份时，即使原始备份未加密，也会 AWS Backup 自动加密大多数资源类型的这些副本。 AWS Backup 使用目标保管库的 KMS 密钥对副本进行加密。

在将备份从一个账户复制到另一个账户（跨账户复制任务）或将备份从一个区域复制到另一个区域（跨区域复制任务）之前，请注意以下条件，其中许多条件取决于备份（恢复点）中的资源类型是否完全由 AWS Backup 托管。

AWS Backup 权限、授权和拒绝声明

为了帮助避免任务失败，您可以检查 AWS KMS 密钥策略以确保其具有所需的权限，并且没有任何阻止成功操作的拒绝语句。

作业可能会因对 KMS 密钥应用一个或多个拒绝语句或者撤消对密钥的授权而失败。

在 AWS 托管访问策略（例如）中 AWSBackupFullAccess，有 “允许” 操作允许与 AWS KMS 之交互，以便在备份、复制和存储操作中代表客户创建对 KMS 密钥的授权。 AWS Backup

密钥策略至少需要以下权限：

如果需要使用拒绝策略，则需要将备份和还原操作所需的角色列入允许列表。

这些元素可能如下所示：

JSON

{
    "Version":"2012-10-17",
    "Statement": [
      {
          "Sid": "KmsPermissions",
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::123456789012:root"
          },
          "Action": [
              "kms:ListKeys",
              "kms:DescribeKey",
              "kms:GenerateDataKey",
              "kms:ListAliases"
          ],
          "Resource": "*"
      },
      {
          "Sid": "KmsCreateGrantPermissions",
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::123456789012:root"
          },
          "Action": [
              "kms:CreateGrant"
          ],
          "Resource": "*",
          "Condition": {
              "ForAnyValue:StringEquals": {
                  "kms:EncryptionContextKeys": "aws:backup:backup-vault"
              },
              "Bool": {
                  "kms:GrantIsForAWSResource": true
              },
              "StringLike": {
                  "kms:ViaService": "backup.*.amazonaws.com"
              }
          }
      }
    ]
}

对于客户管理的密钥，请确保这些权限包含在密钥策略中。您可以使用以下步骤查看和更新密钥策略。

对于 AWS 托管密钥（例如aws/backup或aws/ebs），这些权限已包含在密钥策略中 AWS ，客户无法修改。

此外，与启动跨区域复制作业的角色关联的密钥必须在 DescribeKey 权限中包含 "kms:ResourceAliases": "alias/aws/backup"。