Amazon EBS 加密与快照共享 - 跨账户和跨区域设计
从启用默认加密到快照的跨账户共享、通过跨区域复制实现灾难恢复设计的一体化介绍。
EBS 默认加密
在账户的区域设置中启用 EBS 默认加密后，该区域新创建的所有 EBS 卷和快照将自动加密。不影响现有的未加密卷。加密密钥可选择 AWS 托管密钥（aws/ebs）或客户托管密钥（CMK）。使用 CMK 可通过密钥策略控制访问，并启用密钥自动轮换。加密对性能的影响可忽略不计，在基于 Nitro 的实例上，硬件加速使加密开销几乎为零。
快照跨账户共享
EBS 快照可与其他 AWS 账户共享。未加密快照只需指定账户 ID 即可共享，但加密快照的共享需要额外配置。需要在加密所用 KMS 密钥的密钥策略中，为共享目标账户授予 kms:DescribeKey、kms:CreateGrant、kms:Decrypt 权限。使用 AWS 托管密钥（aws/ebs）加密的快照无法共享，因此如果需要跨账户共享，必须使用 CMK 加密。建议共享目标账户在从快照创建卷时，使用自己账户的 KMS 密钥重新加密。
跨区域复制与灾难恢复
快照跨区域复制是灾难恢复的基本手段。在 DLM 策略中启用跨区域复制后，每日快照创建的同时会自动复制到灾难恢复区域。可单独设置复制目标区域的保留代数，例如灾难恢复区域仅保留最近 3 代以优化成本。快照归档功能可将保留 90 天以上的快照迁移到低成本归档层，与标准存储相比最多可节省 75% 的成本。从归档恢复最长需要 72 小时，因此需要即时恢复的快照应保留在标准层。
EBS 快照费用
EBS 快照采用增量备份，仅保存变更的块。存储费用为每 GB 月费约 0.05 美元（截至 2026 年 8 月）。跨区域复制除了目标区域的存储费用外，还会产生区域间数据传输费用（每 GB 约 0.02 美元）。通过 DLM（Data Lifecycle Manager）自动化快照的创建和删除，并适当设置保留期来管理存储成本。EBS Snapshots Archive 每 GB 月费约 0.0125 美元，可将保留 90 天以上的快照成本降低 75%。
加密机制与密钥管理
EBS 加密会对保存在卷中的数据以及从卷获取的快照进行透明加密。加密和解密在后台自动进行，因此应用程序端无需特殊处理。用于加密的密钥在 KMS 中管理，并通过权限控制谁可以使用该密钥解密。如果在整个账户中启用默认加密，新创建的卷会自动加密，可以防止遗漏加密。合理设计密钥管理和访问控制，是保护存储数据的核心。
快照的运维与生命周期
手动获取和管理快照费时费力，容易出现漏建或漏删的情况。如果使用自动化快照生命周期的机制，可以按照规则执行定期创建以及旧快照的自动删除。由此，可以在保持既定备份代数的同时，防止因不需要的快照堆积而导致成本增加。如果使用加快恢复速度的功能，可以避免从快照创建卷时初期的性能下降。将创建、保留和删除自动化，并建立在紧急情况下能够迅速恢复的体制，有助于运维的稳定。
共享时的安全注意事项
与其他账户共享快照时，需要注意安全。要共享已加密的快照，还需要允许对方使用加密时所用的密钥，因此要慎重判断与谁共享。已加密的快照无法设为任何人都能访问的公开状态，因此可以防止机密数据意外泄露。共享时，如果让对方用其自身的密钥重新加密，就可以将密钥的管理分离。共享操作会被记录，之后可以追踪。将共享范围控制在最小，并将密钥的权限也纳入管理，是安全共享的前提。
融入备份策略
将 EBS 快照纳入整个组织的备份策略中，是有效的做法。如果使用集中管理备份的机制，不仅是 EBS，其他服务的备份也可以用通用的策略管理。根据可以容忍多少数据损失、需要多快恢复等目标，设计获取的频率和保留期限。在灾害对策中，将快照复制到其他区域或其他账户，以便也能应对区域规模的故障。不是逐个判断，而是从目标倒推的备份设计，为可靠的恢复提供支撑。
总结
EBS 加密和快照管理是数据保护与灾难恢复的基础。通过默认加密强制所有卷加密，使用 KMS 密钥控制访问。通过快照的跨账户共享和跨区域复制构建多账户、多区域备份策略，利用 EBS Snapshot Archive 将长期保存成本最多降低 75%。
参考资料（AWS 官方）
本页的第一手信息来源是 AWS 官方网站及官方文档。最新的规格与价格请以下列官方页面为准。
如本页内容与官方文档不一致，请以官方文档为准。