逻辑上受物理隔离的保管库

从控制台创建逻辑气隙保管库

1. 打开 AWS Backup 控制台，网址为：https://console.aws.amazon.com/backup。

2. 在导航窗格中，选择保管库。

3. 将显示两种类型的保管库。选择创建新保管库。

4. 输入备份保管库的名称。您对保管库的命名可以体现出将要存储在其中的内容，或者便于搜索您所需的备份。例如，您可以将其命名为 FinancialBackups。

5. 选择逻辑上受物理隔离的保管库所对应的单选按钮。

6. 设置最短保留期。

   此值（以天、月或年为单位）是可以在此保管库中保留备份的最短时间。无法将保留期短于此值的备份复制到此保管库。

   允许的最小值为 7 天。月数和年数的值满足这一最低要求。

7. 设置最长保留期。

   此值（以天、月或年为单位）是可以在此保管库中保留备份的最长时间。无法将保留期大于此值的备份复制到此保管库。

8. （可选）添加标签，以帮助您搜索和识别逻辑气隙保管库。例如，您可以添加 BackupType:Financial 标签。

9. 选择创建保管库。

10. 检查设置。如果所有设置都按预期显示，请选择创建逻辑气隙保管库。

11. 控制台将带您进入新保管库的详细信息页面。验证保管库详细信息是否符合预期。

12. 选择保管库以查看您账户中的保管库。此时将显示逻辑上受物理隔离的保管库。KMS 密钥将在保管库创建后大约 1 到 3 分钟内可用。刷新页面以查看关联的密钥。一旦密钥可见，保管库即处于可用状态，可供使用。

1. 打开 AWS Backup 控制台，网址为：https://console.aws.amazon.com/backup。

2. 从左侧导航窗格中，选择保管库。

3. 保管库描述下方将显示两个列表，即该账户拥有的保管库和与该账户共享的保管库。选择所需的选项卡以查看保管库。

4. 在保管库名称下，单击保管库名称以打开详细信息页面。您可以查看摘要、恢复点、受保护的资源、账户共享、访问策略和标签详细信息。

   详细信息的显示视账户类型而定：拥有保管库的账户可以查看账户共享；不拥有保管库的账户将无法查看账户共享。

1. 打开 AWS Backup 控制台，网址为：https://console.aws.amazon.com/backup。

2. 从左侧导航窗格中，选择保管库。

3. 在保管库详细信息页面中，将显示该保管库中的所有恢复点。在要复制的恢复点旁边打勾标记。

4. 选择操作，然后选择下拉菜单中的复制。

5. 在下一个屏幕上，输入目的地详细信息。

   1. 指定目标区域。

   2. 目的地备份保管库下拉菜单显示符合条件的目的地保管库。按类型 logically air-gapped vault 选择一个

6. 将所有详细信息设置为首选项后，选择复制。

1. 打开 AWS Backup 控制台，网址为：https://console.aws.amazon.com/backup。

2. 从左侧导航窗格中，选择保管库。

3. 保管库描述下方将显示两个列表，即该账户拥有的保管库和与该账户共享的保管库。该账户拥有的保管库有资格进行共享。

4. 在保管库名称下，选择逻辑气隙保管库的名称以打开详细信息页面。

5. 账户共享窗格显示正在与哪些账户共享保管库。

6. 要开始与其他账户共享或编辑已共享的账户，请选择管理共享。

7. 选择管理共享后，AWS RAM 控制台将打开。有关使用 AWS RAM 共享资源的步骤，请参阅《AWS RAM 用户指南》中的在 AWS RAM 中创建资源共享。

8. 受邀接受共享邀请的账户有 12 小时的时间接受邀请。请参阅《AWS RAM 用户指南》中的接受和拒绝资源共享邀请。

9. 如果共享步骤已完成并被接受，则保管库摘要页面将显示在账户共享 =“已共享 - 参见下面的账户共享表”下方。

1. 登录所属账户，或者请求您组织中具有足够凭证的用户访问源账户，完成这些步骤。

   1. 如果之前创建了资源共享，且您希望向其添加其他资源，请使用 CLI associate-resource-share，而不是新保管库的 ARN。

2. 获取具有足够权限的角色的凭证，以便通过 RAM 进行共享。将这些输入到 CLI 中。

   1. 此过程需要权限 ram:CreateResourceShare。策略 AWSResourceAccessManagerFullAccess 包含所有 RAM 相关权限。

3. 使用 create-resource-share。

   1. 包括逻辑气隙保管库的 ARN。

   2. 输入示例：

      aws ram create-resource-share
      --name MyLogicallyAirGappedVault
      --resource-arns arn:aws:backup:us-east-1:123456789012:backup-vault:test-vault-1
      --principals 123456789012
      --region us-east-1

   3. 示例输出：

      {
         "resourceShare":{
            "resourceShareArn":"arn:aws:ram:us-east-1:123456789012:resource-share/12345678-abcd-09876543",
            "name":"MyLogicallyAirGappedVault",
            "owningAccountId":"123456789012",
            "allowExternalPrincipals":true,
            "status":"ACTIVE",
            "creationTime":"2021-09-14T20:42:40.266000-07:00",
            "lastUpdatedTime":"2021-09-14T20:42:40.266000-07:00"
         }
      }

4. 在输出中复制资源共享 ARN（后续步骤需要这样做）。将 ARN 交给您邀请接收共享的账户操作员。

5. 获取资源共享 ARN

   1. 如果您没有执行第 1 步到第 4 步，请从任何执行过这些操作的人员那里获取 resourceShareArn。

   2. 示例：arn:aws:ram:us-east-1:123456789012:resource-share/12345678-abcd-09876543

6. 在 CLI 中，假设接收账户的凭证。

7. 通过 get-resource-share-invitations 获取资源共享邀请。有关更多信息，请参阅《AWS RAM 用户指南》中的接受和拒绝邀请。

8. 在目的地（恢复）账户中接受邀请。

   1. 使用 accept-resource-share-invitation（也可使用 reject-resource-share-invitation）。