AWS Backup 的集中备份管理 - 备份计划与跨区域保护
通过统一策略集中管理 EC2、RDS、DynamoDB 等多项服务的备份。介绍 Vault Lock 的 WORM 保护和恢复测试自动化。
AWS Backup 概述
AWS Backup 是集中管理多项 AWS 服务备份的服务。无需单独管理各服务特有的备份功能（EBS 快照、RDS 快照、DynamoDB 备份），可通过 AWS Backup 的单一备份计划统一管理。支持的服务包括 EC2、EBS、RDS、Aurora、DynamoDB、EFS、FSx、S3、Neptune、DocumentDB、Timestream、CloudFormation、SAP HANA on EC2 等 15 种以上。以策略为基础自动化备份的创建、保留、删除和跨区域复制。
备份计划的设计
备份计划由备份规则（计划、保留期、复制目标）和资源分配（目标资源的选择）构成。组合日备份保留 30 天和周备份保留 1 年两条规则是常见做法。资源分配基于标签进行，例如自动将带有 backup:daily 标签的资源纳入备份对象。在规则中添加跨区域复制后，备份创建的同时会向 DR 区域执行复制。复制目标区域的保留期可独立设置，可实现在 DR 区域仅保留最近 7 天的成本优化。跨账户备份通过 Organizations 集成，可将成员账户的备份集中到专用备份账户，即使源账户被入侵也能保护备份。
Vault Lock 与恢复测试
Backup Vault Lock 对备份保管库应用 WORM 策略，防止保留期内的备份被删除。排除勒索软件攻击中备份被删除的风险，满足法规要求（如 SEC 17a-4）。Vault Lock 有「治理模式」和「合规模式」两种，合规模式下包括 root 用户在内任何人都无法解除锁定，因此法规合规应选择合规模式。恢复测试自动化是定期验证从备份恢复是否实际成功的功能。在恢复测试计划中定义计划和目标资源，通过 CloudWatch 指标监控恢复的成功或失败。备份存在但无法恢复则毫无意义，因此定期执行恢复测试是 DR 策略的重要组成部分。 如需深入了解 AWS 备份策略，相关书籍 (Amazon) 也可供参考。
设计最佳实践与陷阱
整理 AWS Backup 运维中常见的陷阱。第一，忘记打标签：采用基于标签的分配时，创建新资源时忘记打标签会导致该资源从备份对象中遗漏。结合 AWS Config 规则（required-tags）或服务控制策略（SCP）强制必须标签可确保安全。第二，恢复测试后资源残留：恢复测试中创建的资源如果未被删除而持续存在，成本会不断累积。将验证期设为最短（数分钟），并确认验证完成后自动删除。第三，备份窗口冲突：多个备份计划在同一时间段执行备份时，可能影响 RDS 或 EFS 的 I/O 性能。在业务低负荷时段（深夜等）设置窗口，并在计划之间错开时间。第四，保留期与成本的关系：长期保留如不结合冷存储迁移（生命周期规则），温存储费用会持续累积。
S3 备份与时间点恢复
AWS Backup 也支持 S3 存储桶的备份，将对象存储的数据保护统一纳入集中管理。与 S3 版本控制或复制不同，AWS Backup 的 S3 备份提供时间点恢复功能，可以完全恢复特定时刻的存储桶状态。备份数据存储在 AWS Backup 保管库中，加密密钥管理、访问策略和保留期设置可与其他服务的备份统一管理。Backup Audit Manager 持续监控备份的合规状态（RPO/RTO 遵守、加密状态、跨区域复制的有无），并自动生成报告。检测到策略违规时可发送 SNS 通知，大幅减少审计响应的工作量。
通过 Organizations 集成实现多账户管理
AWS Organizations 与 AWS Backup 的集成可实现组织范围的备份治理。将备份策略应用到组织根或 OU 后，统一的备份计划会自动应用到成员账户的资源。这消除了各账户管理员单独配置备份的需要，防止配置遗漏和偏离标准。指定委托管理员（delegated administrator）后，可从管理账户以外的账户进行备份监控和管理，最小化管理账户的直接使用。Backup Audit Manager 持续监控备份的合规状态（RPO/RTO 遵守、加密状态、跨区域复制的有无），并自动生成报告。将审计报告输出到 S3 并与 AWS Config 评估结果集成，可以可视化整个组织的数据保护状况。
AWS Backup 的定价
AWS Backup 的定价由备份存储量构成。EBS 快照约每 GB 每月 0.05 美元，RDS 快照约每 GB 每月 0.095 美元，EFS 备份约每 GB 每月 0.05 美元。跨区域复制会追加目标区域的存储费用和数据传输费用。Vault Lock 的使用无额外费用。恢复测试会产生恢复资源运行期间的费用，因此在测试完成后及时删除资源的脚本非常重要。通过生命周期策略设置向冷存储的迁移，降低长期保留成本。冷存储迁移要求最低 90 天保留期，因此不适用于短期备份。
总结
AWS Backup 是通过统一策略集中管理多服务备份的服务。通过基于标签的资源分配减少管理工作量，通过 Vault Lock 满足合规要求，通过恢复测试验证备份的有效性。通过与 Organizations 的集成实现组织整体的备份治理，通过 Backup Audit Manager 自动化持续合规监控。