本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

邏輯氣隙隔離保存庫的主要備份

概觀

邏輯氣隙隔離保存庫主要備份功能可讓您針對排程和隨需備份任務，將邏輯氣隙隔離保存庫指定為相同帳戶中的主要備份目的地。這不需要在標準備份文件庫和邏輯氣隙隔離文件庫中維護單獨的副本，降低成本並簡化工作流程，同時保留邏輯氣隙隔離的安全優勢。

您可以指派邏輯氣隙隔離保存庫做為備份計畫、全組織政策或隨需備份的主要目標。先前，若要備份到邏輯氣隙隔離保存庫，您必須先在備份保存庫中建立備份，然後將其複製到邏輯氣隙隔離保存庫。使用此功能，視資源類型而定， AWS Backup 可以直接在邏輯氣隙隔離保存庫中建立備份，或自動管理臨時備份，這些備份會複製到邏輯氣隙隔離保存庫，然後刪除。

行為取決於兩個因素：

此功能沒有新的定價。您只需支付存放在邏輯氣隙隔離保存庫中的備份，以及以現行費率存放適用資源的臨時快照 （在其系統中的保留期間） 的費用。如需詳細資訊，請參閱AWS Backup 定價。

運作方式

您可以更新現有的備份計畫或建立新的備份計畫，並將邏輯氣隙隔離保存庫 ARN （欄位名稱：TargetLogicallyAirGappedBackupVaultArn) 新增為主要備份目標，以加入此功能。您可以透過 AWS Backup 主控台或 CLI AWS Backup 命令執行此操作。

"TargetLogicallyAirGappedBackupVaultArn": "arn:aws:backup:us-east-1:123456789012:backup-vault:AirGappedVault",

當您同時指定備份保存庫和邏輯氣隙隔離保存庫做為備份任務的目標時， 會根據資源類型和加密組態來 AWS Backup 決定適當的工作流程。

支援將主要備份到邏輯氣隙隔離保存庫的資源

若要檢視邏輯氣隙隔離保存庫支援的完整資源清單，請參閱 AWS Backup 功能可用性。使用此功能時，支援邏輯氣隙隔離保存庫的所有資源都遵循僅維護一個備份複本的原則，而不是存放兩個單獨的複本。

考量事項和限制：

支援完整 AWS Backup 管理的資源

有些支援完整 AWS Backup 管理的資源類型，例如 Amazon EFS、Amazon S3、Amazon DynamoDB 和AWS Backup 進階功能等，可以直接備份到邏輯氣隙隔離保存庫。您的備份文件庫中不會建立任何復原點，也不需要複製操作。備份計畫中的任何排程複製動作都會使用邏輯氣隙隔離保存庫中的復原點做為來源。

支援連續備份的資源，例如 Amazon S3，也可以直接對邏輯氣隙隔離保存庫執行連續備份。

如需支援完整 AWS Backup 管理和邏輯氣隙隔離保存庫的資源類型清單，請參閱「完整管理」和「邏輯氣隙隔離保存庫」欄中資源的功能可用性。

資源不支援完整 AWS Backup 管理

Amazon EBS/EC2、Amazon Aurora 和 Amazon FSx 等資源無法直接備份到邏輯氣隙隔離保存庫。對於這些資源類型， 會在備份保存庫中 AWS Backup 建立暫時復原點，然後自動將其複製到邏輯氣隙隔離保存庫。

暫時復原點具有稱為 的特殊生命週期設定DELETE_AFTER_COPY。複製到邏輯氣隙隔離保存庫成功完成後， AWS Backup 會自動刪除暫時復原點。備份計畫中的所有其他排程複製動作會與複製到邏輯氣隙隔離保存庫並行開始，不會影響您目前的複製體驗。

如果複製到邏輯氣隙隔離保存庫失敗，會根據您指定的保留期間，暫時復原點會保留在您的備份保存庫中。這可確保備份任務完成後，您隨時都有可用的復原點。如果復原點稍後手動複製到邏輯氣隙隔離保存庫，則會根據DELETE_AFTER_COPY規則自動清除。

複製生命週期後刪除

暫時復原點有一個名為 的新生命週期屬性DeleteAfterEvent，值為 DELETE_AFTER_COPY。此屬性表示在所有複製任務完成後，或您指定的保留期之後，復原點將自動刪除，以先到者為準。

當下列所有條件都成立時，會刪除暫時復原點：

如果您需要防止在副本進行時手動刪除暫時復原點，請考慮使用鎖定的備份保存庫作為目標備份保存庫。

資源不支援完整 AWS Backup 管理的持續備份

對於 Amazon Aurora 等資源，如果您啟用連續備份， 會在備份文件庫中 AWS Backup 建立連續復原點，並拍攝臨時快照，該快照會複製到邏輯氣隙隔離文件庫。無論複製成功或失敗，暫時快照一律會在複製完成後刪除，因為您會在備份文件庫中保留持續復原點。

如果您不想在備份保存庫中為 Amazon Aurora 建立連續復原點，但希望在邏輯氣隙隔離保存庫中為 Amazon S3 建立連續復原點，則可以停用目前計畫中的連續備份 (EnableContinuousBackup) 設定，並從不同的計畫啟用 S3 連續。

您可以在了解 Amazon Aurora 備份儲存用量中進一步了解 Aurora 備份儲存。

不支援的資源

如果邏輯氣隙隔離保存庫不支援資源類型，或者如果非完全受管資源使用 AWS 受管金鑰加密，則 只會在您的備份保存庫中 AWS Backup 建立備份。不會嘗試複製到邏輯氣隙隔離保存庫。備份任務已成功完成，並顯示為什麼備份未前往邏輯氣隙隔離保存庫的訊息。

成本考量

設定邏輯氣隙隔離保存庫主要備份

您可以透過 AWS Backup 主控台 AWS CLI AWS CloudFormation、 或 備份政策，設定邏輯氣隙隔離保存庫主要 AWS Organizations 備份。

設定 Backup 計畫

Console

為備份計畫設定邏輯氣隙隔離保存庫主要備份

1. 在 https：//https://console.aws.amazon.com/backup 開啟 AWS Backup 主控台。

2. 在導覽窗格中，選擇備份計劃，然後選擇建立備份計劃或選取要編輯的現有備份計劃。

3. 在備份規則組態區段中，指定備份規則設定。

4. 對於備份文件庫，請選擇備份文件庫，其中將存放暫時復原點 （對於非完全受管資源），或者如果備份無法放置在邏輯氣隙隔離文件庫中，則選擇備份文件庫將存放的位置。

5. 針對邏輯氣隙隔離保存庫 （選用），選擇您要存放備份的邏輯氣隙隔離保存庫。

   注意

   邏輯氣隙隔離保存庫必須與備份保存庫位於相同的帳戶和區域。

6. 設定剩餘的備份規則設定，包括生命週期和複製選項。

7. 選擇建立計畫或儲存變更。

AWS CLI

使用 CLI 命令create-backup-plan建立新的計劃，或update-backup-plan更新現有的計劃，並在備份規則中包含 TargetLogicallyAirGappedBackupVaultArn 參數。

使用 JSON 文件建立備份計劃的範例 CLI 命令：

aws backup create-backup-plan --cli-input-json file://PATH-TO-FILE/test-backup-plan.json

直接在 CLI 中建立備份計畫的範例 CLI 命令：

aws backup create-backup-plan --backup-plan '{
  "BackupPlanName": "MyPlan",
  "Rules": [
    {
      "RuleName": "MyRule",
      "TargetBackupVaultName": "MyBackupVault",
      "TargetLogicallyAirGappedBackupVaultArn": "arn:aws:backup:us-east-1:123456789012:backup-vault:MyLagVault",
      "ScheduleExpression": "cron(0 1 ? * * *)",
      "ScheduleExpressionTimezone": "America/Los_Angeles",
      "StartWindowMinutes": 60,
      "CompletionWindowMinutes": 120,
      "Lifecycle": {
        "DeleteAfterDays": 35
      }
    }
  ]
}'

設定隨需備份

Console

為隨需備份設定邏輯氣隙隔離保存庫主要備份

1. 在 https：//https://console.aws.amazon.com/backup 開啟 AWS Backup 主控台。

2. 在導覽窗格中，選擇 Protected resources (受保護的資源)。

3. 在受保護的資源頁面上，選擇建立隨需備份。

4. 選取您要備份的資源類型和資源 ARN。

5. 針對備份保存庫，選擇備份保存庫。

6. 針對邏輯氣隙隔離保存庫 （選用），選擇您要存放備份的邏輯氣隙隔離保存庫。

7. 設定其餘設定，然後選擇建立隨需備份。

AWS CLI

使用 start-backup-job 命令搭配新--logically-air-gapped-backup-vault-arn參數：

aws backup start-backup-job \
  --backup-vault-name MyBackupVault \
  --logically-air-gapped-backup-vault-arn arn:aws:backup:us-east-1:123456789012:backup-vault:MyLagVault  \
  --resource-arn arn:aws:ec2:us-east-1:123456789012:volume/vol-abcd1234  \
  --iam-role-arn arn:aws:iam::123456789012:role/service-role/AWSBackupDefaultServiceRole  \
  --lifecycle DeleteAfterDays=35

監控邏輯氣隙隔離保存庫主要備份

您可以使用 AWS Backup 主控台 AWS CLI或 Amazon EventBridge 事件來監控備份和複製任務的狀態。

監控備份任務

監控備份任務狀態 (DescribeBackupJob)，以確保您的資源持續受到保護。失敗的備份任務表示未建立任何復原點。

監控複製任務

監控複製到邏輯氣隙隔離保存庫的複製任務 (ListCopyJobs) 是否有失敗。失敗的複製任務表示您的復原點會保留在您的標準備份保存庫中，而沒有邏輯氣隙隔離保存庫保護。

監控復原點

監控EXPIRED復原點 (ListRecoveryPointsByBackupVault)，這可能表示 AWS Backup 無法刪除它們 （可能由於缺少許可）。EXPIRED復原點可能會造成成本影響。

加入和遷移

如果您目前使用複製動作將備份複製到邏輯氣隙隔離保存庫，則可以遷移至邏輯氣隙隔離保存庫主要備份，以降低成本。您也可以將現有的 Amazon S3 連續備份從備份保存庫遷移到邏輯氣隙隔離保存庫。本指南說明遷移至邏輯氣隙隔離保存庫主要備份功能所需的先決條件和步驟。

先決條件和最佳實務

在有效使用邏輯氣隙隔離保存庫主要備份功能之前，有先決條件和建議的最佳實務。

先決條件

目前，作為主要備份目標的邏輯氣隙隔離保存庫僅支援與備份資源位於相同 AWS 帳戶和 AWS 區域內的備份。邏輯氣隙隔離保存庫備份本質上儲存在單獨的服務帳戶中，提供跨帳戶/跨組織隔離，而無需將副本複製到單獨的帳戶。如果您需要跨區域備份，請繼續使用邏輯氣隙隔離保存庫作為複製目的地。遷移至此功能之前，請確定您符合下列要求：

最佳實務

規劃您的遷移

支援完整 AWS Backup 管理遷移路徑的資源

對於全受管資源，您可以直接備份到邏輯氣隙隔離保存庫，而無需複製操作。

對於快照型備份

此程序適用於所有快照案例，無論您的備份保存庫是否已鎖定。遷移現有備份計劃或使用現有備份保存庫 （主要） 和邏輯氣隙隔離保存庫 （複製） 時，請在新的備份計劃中：

對於 Amazon S3 連續備份

邏輯氣隙隔離保存庫作為主要備份目標，支援 Amazon S3 的連續備份。不過，在單一保存庫中，每個資源只能維持一個作用中的連續復原點。如果您有現有的作用中 Amazon S3 持續復原點，您必須先取消關聯或刪除它，才能在不同的保存庫中建立新的復原點。使用現有的作用中 Amazon S3 持續復原點，將邏輯氣隙隔離保存庫目標 （來自相同帳戶） 新增至備份計畫，會導致連續備份任務失敗。

若要將 Amazon S3 持續復原點從解除鎖定的備份保存庫遷移至邏輯氣隙隔離保存庫：

若要將 Amazon S3 持續復原點從鎖定的備份保存庫遷移至邏輯氣隙隔離保存庫：

不支援完整 AWS Backup 管理遷移路徑的資源

非完全受管資源需要對邏輯氣隙隔離保存庫進行複製操作。程序會在您的標準備份保存庫中建立暫時復原點 （可計費），自動複製到邏輯氣隙隔離保存庫，然後在複製完成後刪除。當您更新備份計劃以包含邏輯氣隙隔離保存庫目標時：

疑難排解

備份或複製任務失敗，並發生生命週期不相容錯誤

備份任務的錯誤： Backup job failed because the lifecycle is outside the valid range for backup vault.

複製任務的錯誤： Copy job failed. The retention specified in the job is not within the range specified for the target Backup Vault.

可能原因：備份任務或複製任務失敗，因為保留期與邏輯氣隙隔離保存庫的最短或最長保留設定不相容。

解決方案：更新您的備份計畫，以指定在邏輯氣隙隔離保存庫設定的最短和最長保留期間內的保留期。

連續備份任務失敗並「已啟用連續備份」

錯誤：Bucket {bucket_name} already has continuous backup enabled for another vault Backup job failed.

可能原因：持續備份任務失敗，因為另一個保存庫中的資源已有持續復原點。

解決方案：每個資源只能有一個連續復原點。如果您的備份保存庫已解除鎖定，請使用 disassociate-recovery-point 命令取消現有持續復原點的關聯。如果您的備份保存庫已鎖定，請等待現有的持續復原點根據其生命週期過期。

備份任務以「問題完成」完成 - 不支援的資源類型

訊息：Backup job completed successfully to the target backup vault. This resource type is not supported by logically air-gapped backup vault.

可能原因：不支援的非完全受管資源的備份任務會顯示「已完成問題」，其中包含表示不支援資源的訊息。

解決方案：不支援的資源類型只會備份到備份保存庫。如果您想要將這些備份保留在備份文件庫中，則不需要採取任何動作。如果您不想將不支援的資源與邏輯氣隙隔離保存庫混合，您可以：

備份任務以「問題完成」完成 - 不支援的加密金鑰

訊息：Backup job completed successfully to the target backup vault. This resource is encrypted with an AWS managed key and cannot be copied to a logically air-gapped backup vault.

可能原因：不支援的非完全受管資源的備份任務會顯示「已完成問題」，並顯示訊息指出資源已使用 AWS 受管金鑰加密。

解決方案：使用受管金鑰加密的非完全 AWS 受管資源無法複製到邏輯氣隙隔離保存庫。如果您想要將這些備份保留在備份文件庫中，則不需要採取任何動作。如果您不想將不支援的資源與邏輯氣隙隔離保存庫混合，您可以：

復原點保持 EXPIRED 狀態

可能原因：暫時復原點會轉換為 EXPIRED 狀態，但不會刪除。

Resolution： AWS Backup 可能缺少刪除復原點的許可。確認您的備份角色具有必要的 IAM 許可。您可能需要手動刪除expired復原點。

由於高備份頻率，複製任務會排入佇列或失敗

可能原因：將任務複製到邏輯氣隙隔離保存庫正在排入佇列或失敗，因為備份排程的頻率高於複本可以完成的頻率。

解決方案：降低備份頻率或調整備份排程，以允許備份之間有更多的時間。如需並行複製限制的相關資訊，請參閱AWS Backup 配額文件。