AWS Backup
统一管理 EC2、RDS、S3、DynamoDB 等多个 AWS 服务的备份，并通过策略实现自动化的服务
概述
AWS Backup 是一项全托管服务，可统一管理和自动化 AWS 资源的备份。支持 EC2 实例 (EBS 快照)、RDS 数据库、DynamoDB 表、EFS 文件系统、S3 存储桶、FSx 文件系统等 20 多种 AWS 服务。通过备份计划定义调度、保留期限和生命周期 (迁移到冷存储)，可在整个组织中应用一致的备份策略。还支持与 AWS Organizations 联动的跨账户备份，以及复制到其他区域的灾难恢复方案。
备份计划与保管库设计
AWS Backup 的核心概念是备份计划 (调度和保留规则的定义) 和备份保管库 (备份数据的存储位置)。在备份计划中，可以组合多个规则来满足合规要求，如日备份保留 30 天、周备份保留 1 年、月备份保留 7 年。保管库使用 KMS 密钥加密，可通过保管库访问策略限制删除操作。成本优化的要点是通过生命周期规则设置从热存储到冷存储的迁移。冷存储的费用约为热存储的四分之一，但最低保留期为 90 天，因此不适合短期备份。
Vault Lock 防勒索软件方案
Vault Lock 功能通过启用 WORM (Write Once Read Many) 模式，使得即使是管理员也无法删除备份或缩短保留期限。即使勒索软件夺取了管理员权限，也能保护备份数据，确保可靠的恢复点。费用基于备份存储量和恢复量按量计费，与 Azure Backup 的受保护实例固定费用 + 存储费用的计费模式不同。数据保护相关书籍 (Amazon) 可供学习备份策略的全貌。
Organizations 联动的多账户统一管理
AWS Backup 实务导入中最有效的是与 Organizations 备份策略的结合。在管理账户中定义备份计划并自动应用到组织内所有账户，即使添加新账户也会立即应用备份策略。跨账户备份通过 Organizations 联动原生支持，多账户环境的统一管理非常便捷。在灾难恢复方面，推荐将生产区域的备份自动复制到其他区域，并定期执行恢复测试。如果忽视恢复测试，在真正需要恢复时可能会遇到备份数据损坏或恢复流程未建立的情况，因此最佳实践是每季度进行一次恢复演练。