Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Backup Amazon S3

Panoramica di

AWS Backup supporta il backup e il ripristino centralizzati delle applicazioni che archiviano i dati solo in S3 o insieme ad altri AWS servizi per database, archiviazione ed elaborazione. Sono disponibili molte funzionalità per i backup S3, incluso Backup Audit Manager.

È possibile utilizzare un'unica policy di backup per AWS Backup automatizzare centralmente la creazione di backup dei dati delle applicazioni. AWS Backup organizza automaticamente i backup su diversi AWS servizi e applicazioni di terze parti in un'unica posizione centralizzata e crittografata (nota come backup vault) in modo da poter gestire i backup dell'intera applicazione attraverso un'esperienza centralizzata. Per S3, puoi creare backup continui e ripristinare i dati delle applicazioni archiviati in S3, nonché ripristinare i backup in un point-in-time con un singolo clic.

Punti di accesso di backup

AWS Backup consente di accedere ai dati di backup S3 direttamente tramite i punti di accesso S3, senza avviare un ripristino. Per ulteriori informazioni, consulta Access point.

Backup su più livelli

Amazon S3 è l'unica risorsa che supporta il backup su più livelli su un livello di storage caldo a basso costo. Per ulteriori informazioni, consulta Backup su più livelli.

Prerequisiti per i backup S3

Autorizzazioni e policy per il backup e il ripristino di Amazon S3

Per eseguire il backup, la copia e il ripristino delle risorse S3, è necessario disporre delle policy corrette nel proprio ruolo. Per aggiungere queste policy, passa a Policy gestite da AWS. Aggiungi AWSBackupServiceRolePolicyForS3Backupe AWSBackupServiceRolePolicyForS3Restoreai ruoli che intendi utilizzare per il backup e il ripristino dei bucket S3.

Se non disponi di autorizzazioni sufficienti, richiedi al responsabile dell'account amministrativo (amministratore) dell'organizzazione di aggiungere le policy ai ruoli previsti.

Per ulteriori informazioni, consulta Policy gestite e policy inline nella Guida per l'utente IAM.

Backup e controllo delle versioni

È necessario abilitare il controllo delle versioni S3 sul bucket S3 da utilizzare per Amazon AWS Backup S3.

Ti consigliamo di impostare un periodo di scadenza del ciclo di vita per le versioni S3.

Tutti gli oggetti (incluse tutte le versioni) presenti nel bucket all'inizio del backup verranno archiviati nel punto di ripristino (backup completato). Questi possono includere la versione corrente di ogni oggetto, le versioni precedenti, i marker di eliminazione e le azioni del ciclo di vita degli oggetti in sospeso.

Il costo di archiviazione verrà calcolato per tutti gli oggetti del backup, inclusi gli oggetti programmati per l'eliminazione (oggetti con scadenza). È possibile utilizzare la CLI o gli script per rimuovere l'inclusione di oggetti pianificati per la scadenza.

Per ulteriori informazioni sulla configurazione delle policy del ciclo di vita di S3, segui le istruzioni in questa pagina.

Considerazioni sui backup di Amazon S3

Quando si esegue il backup di risorse S3, occorre tenere presenti le considerazioni seguenti:

Tipi, quantità e dimensioni degli oggetti di bucket supportati

AWS Backup supporta operazioni di backup e ripristino per oggetti S3 di qualsiasi dimensione, fino alla dimensione massima degli oggetti supportata da Amazon S3.

AWS Backup supporta il backup e il ripristino di bucket S3 per uso generico. I bucket di directory non sono supportati in questo momento.

AWS Backup supporta tutti i bucket S3 per uso generico nel tuo account, corrispondenti alla quota di bucket Amazon S3 che hai configurato. Per informazioni sulle quote dei bucket S3, consulta Quote Amazon S3.

Classi di storage S3 supportate

AWS Backup consente di eseguire il backup dei dati S3 archiviati nelle seguenti classi di storage S3:

I backup di un oggetto nella classe di archiviazione S3 Intelligent-Tiering (INT) accedono a tali oggetti. Questo accesso consente a S3 di Intelligent-Tiering spostare automaticamente tali oggetti su Frequent Access.

I backup che accedono ai livelli Infrequent Access, incluse le Zone-IA classi S3 Standard - Infrequent Access (IA) e S3 One, rientrano nella tariffa di storage S3 di Frequent Access (applicabile ai livelli Infrequent Access o Archive Instant Access).

Le classi di storage archiviate S3 Glacier Flexible Retrieval e S3 Glacier Deep Archive non sono supportate.

Per ulteriori informazioni sui prezzi di storage per Amazon S3, consulta la pagina dei prezzi di Amazon S3.

Tipi di backup S3

Con AWS Backup, puoi creare i seguenti tipi di backup dei tuoi bucket S3, inclusi dati di oggetti, tag, elenchi di controllo di accesso (ACL) e metadati definiti dall'utente:

Cross-account e sono disponibili copie interregionali per i backup S3, ma le copie dei backup continui non dispongono di funzionalità di ripristino point-in-time.

I backup continui e periodici di bucket S3 devono risiedere entrambi nello stesso vault di backup.

AWS Backup per S3 si basa sulla ricezione di eventi S3 tramite Amazon. EventBridge Se questa impostazione è disabilitata nelle impostazioni di notifica dei bucket S3, i backup continui verranno interrotti per tali bucket con l'impostazione disattivata. Per ulteriori informazioni, consulta EventBridge Dipendenza da Amazon per i backup continui di S3.

La disattivazione AWS Backup della EventBridge regola Amazon comporterà anche l'interruzione continua del backup. Se disponi di un piano di backup attivo con una regola di backup continuo, quando tale regola si riattiva, AWS Backup ricreerà la EventBridge regola Amazon e verrà creato un nuovo backup continuo.

Per entrambi i tipi di backup, il primo backup è un backup completo, mentre i backup successivi sono incrementali a livello di oggetto.

EventBridge Dipendenza da Amazon per i backup continui di S3

AWS Backup utilizza Amazon EventBridge per ricevere eventi relativi agli oggetti S3 che guidano le operazioni di backup. AWS Backup supporta due metodi di configurazione degli EventBridge eventi Amazon:

In entrambi i metodi, la regola gestita sottoscrive i seguenti eventi S3 e li inoltra al servizio: AWS Backup

Questi eventi consentono di AWS Backup mantenere la finestra di ripristino continua (ripristino point-in-time).

AWS Backup Per ricevere questi eventi, S3 deve essere configurato per pubblicarli sul bus di EventBridge eventi Amazon predefinito. Questo è controllato dall'impostazione di EventBridge notifica Amazon del bucket, che è indipendente dalla regola AWS Backup-managed.

Verifica che Amazon EventBridge sia abilitato sul tuo bucket

Console: apri la console S3, seleziona il tuo bucket, scegli la scheda Proprietà, scorri fino a Notifiche eventi e verifica che Amazon EventBridge indichi On.

CLI:

aws s3api get-bucket-notification-configuration --bucket amzn-s3-demo-bucket

Interpreta la risposta come segue:

Abilita EventBridge le notifiche Amazon

Console: apri la console S3, seleziona il tuo bucket, scegli Proprietà, scorri fino a Notifiche eventi EventBridge, scegli Amazon, scegli Modifica, attiva e scegli Salva.

CLI:

aws s3api put-bucket-notification-configuration \
    --bucket amzn-s3-demo-bucket \
    --notification-configuration '{"EventBridgeConfiguration": {}}'

Cosa succede se Amazon EventBridge è disabilitato su un bucket con backup continuo?

Rileva le modifiche alle impostazioni di EventBridge notifica di Amazon

Poiché AWS Backup non è in grado di rilevare quando Amazon a livello di bucket EventBridge è disabilitato, valuta la possibilità di configurare un monitoraggio proattivo per avvisarti quando le impostazioni di notifica cambiano. Puoi utilizzare uno o entrambi i seguenti approcci:

EventBridge Autorizzazioni Amazon richieste per il ruolo di backup

Il ruolo IAM utilizzato per i job di backup continuo (PITR) di S3 deve disporre delle seguenti EventBridge autorizzazioni Amazon AWS Backup per consentire la gestione di: AwsBackupManagedRule

{
  "Sid": "EventBridgePermissionsForAwsBackupManagedRule",
  "Effect": "Allow",
  "Action": [
    "events:DeleteRule",
    "events:PutTargets",
    "events:DescribeRule",
    "events:EnableRule",
    "events:PutRule",
    "events:RemoveTargets",
    "events:ListTargetsByRule",
    "events:DisableRule"
  ],
  "Resource": [
    "arn:aws:events:*:*:rule/AwsBackupManagedRule*"
  ]
},
{
  "Sid": "EventBridgeListRulesPermissions",
  "Effect": "Allow",
  "Action": "events:ListRules",
  "Resource": "*"
}

La policy AWS gestita include AWSBackupServiceRolePolicyForS3Backup già queste autorizzazioni. Se utilizzi un ruolo IAM personalizzato, devi aggiungerlo in modo esplicito.

Autorizzazioni richieste per la configurazione degli eventi basata su tag di sistema

Per utilizzare la configurazione degli eventi basata su tag di sistema e proteggere più di 1.000 bucket S3, il ruolo IAM utilizzato per i job di backup S3 deve disporre della seguente autorizzazione:

{
  "Sid": "S3BucketTagReadPermissions",
  "Effect": "Allow",
  "Action": [
    "s3:ListTagsForResource"
  ],
  "Resource": "arn:aws:s3:::*"
}

La policy AWS gestita include questa autorizzazioneAWSBackupServiceRolePolicyForS3Backup. Se utilizzi un ruolo IAM personalizzato, devi aggiungerlo esplicitamente. Senza questa autorizzazione, AWS Backup torna alla configurazione ARN-based bucket-event, che supporta fino a 1.000 bucket.

AWS Backup applica e rimuove automaticamente il tag aws:backup:enabled di sistema sui bucket S3. L'etichettatura e la rimozione dei tag di sistema non richiedono autorizzazioni IAM aggiuntive nel ruolo di backup.

Re-enable copertura di backup continua

Re-enable Amazon a livello di bucket EventBridge utilizzando i passaggi della console o della CLI precedenti. S3 riprenderà a pubblicare gli eventi e la regola gestita riprenderà a inoltrarli a. AWS Backup Le modifiche apportate mentre Amazon EventBridge era disattivato non verranno acquisite retroattivamente. Il punto di ripristino continuo esistente e la cronologia di backup precedente rimangono validi.

Controlli continui dell'integrità del backup S3

Con i backup continui di S3, AWS Backup monitora le modifiche al tuo bucket tramite Amazon Events. EventBridge Per completare questo approccio basato sugli eventi, esegue AWS Backup periodicamente un controllo di integrità che confronta il bucket di origine con i dati di backup continuo utilizzando Amazon S3 Inventory. Se il controllo di integrità identifica delle discrepanze, le riconcilia. AWS Backup Non è richiesta alcuna configurazione o consenso esplicito.

Se non è possibile eseguire il backup di un oggetto durante la riconciliazione, ad esempio a causa di una bucket policy o di una policy KMS key, AWS Backup segue lo stesso percorso di notifica delle normali operazioni di backup. L'oggetto viene nuovamente identificato alla successiva esecuzione del controllo di integrità. Per evitare errori ripetuti, risolvi la restrizione di accesso. Gli oggetti nelle classi di storage S3 Glacier Flexible Retrieval o S3 Glacier Deep Archive non vengono elaborati. Quando viene riconciliato un punto di ripristino continuo, anche la successiva istantanea periodica scattata da quel punto di ripristino riflette lo stato aggiornato.

AWS Backup emette CloudTrail eventi all'avvio, al completamento o all'esito negativo dei controlli di integrità. Per l'elenco dei nomi degli eventi, vedereRegistrazione dei log AWS Backup Chiamate API con CloudTrail.

Se si utilizza la politica AWS gestita AWSBackupServiceRolePolicyForS3Backup, non è richiesta alcuna azione. Se utilizzi una policy IAM personalizzata per il tuo ruolo di backup, aggiungi le s3:GetInventoryConfiguration autorizzazioni s3:PutInventoryConfiguration and.

{
  "Sid": "S3InventoryPermissionsForIntegrityChecks",
  "Effect": "Allow",
  "Action": [
    "s3:PutInventoryConfiguration",
    "s3:GetInventoryConfiguration"
  ],
  "Resource": "arn:aws:s3:::*"
}

Non sono previsti costi aggiuntivi per il controllo di integrità. Per i report di Amazon S3 Inventory generati durante il processo si applicano le tariffe standard di Amazon S3.

Confronto dei tipi di backup S3

La strategia di backup per le risorse S3 può includere solo backup continui, solo backup (snapshot) periodici o una combinazione di entrambi. Le informazioni riportate di seguito consentono di scegliere la soluzione migliore per l'organizzazione in uso:

Solo backup continui:

Solo backup (snapshot) periodici, pianificati o on demand:

Backup continui combinati con backup: periodic/snapshot

Quando è in esecuzione un processo di backup continuo per un bucket S3, puoi comunque avviare processi di backup periodici (snapshot). Tuttavia, si applica il seguente comportamento:

La tabella seguente mostra quando è necessaria una scansione completa quando si passa BackupOptions a punti di ripristino continui esistenti:

Finestre di completamento del backup S3

La tabella seguente mostra bucket di esempio di varie dimensioni che forniscono linee guida delle stime del tempo di completamento del backup completo iniziale di un bucket S3. I tempi di backup variano in base a dimensioni, contenuto, configurazione e impostazioni di ciascun bucket.

Procedure consigliate e considerazioni sui costi per i backup S3

Procedure consigliate per grandi gruppi

Per bucket con più di 300 milioni di oggetti:

Ottimizzazione della strategia di Backup

Ciclo di vita degli oggetti e marcatori di eliminazione

Considerazioni sui costi della classe di storage

AWS ottimizzazione dei costi del servizio

Messaggi di backup S3

Quando un processo di backup viene completato o fallito, è possibile che venga visualizzato il seguente messaggio. La tabella seguente può aiutarti a determinare la possibile causa del messaggio di stato.

Impostazioni di backup avanzate di Amazon S3

AWS Backup fornisce impostazioni avanzate per controllare quali metadati sono inclusi nei backup di Amazon S3. Facoltativamente, puoi escludere le liste di controllo degli accessi (ACL) e i tag degli oggetti, il che può essere utile se gli oggetti sono configurati senza ACL e tag di oggetto. In altre parole, se non utilizzi ACL o tag di oggetti per le tue risorse S3, potresti trovare utile escluderli dai tuoi backup.

Configurazione del backup degli ACL e dei tag degli oggetti

È possibile configurare le opzioni di backup degli ACL e dei tag degli oggetti tramite la AWS Backup console o tramite. AWS CLI

Console

Configura le opzioni ACL e tag utilizzando la console

1. Apri la AWS Backup console all'indirizzo https://console.aws.amazon.com/backup/.

2. Nel riquadro di navigazione, scegli Piani di backup, quindi scegli Crea piano di backup.

3. Nelle impostazioni del piano di backup, espandi Impostazioni di backup avanzate.

4. Per le risorse Amazon S3, configura le seguenti opzioni:

   • Acl di backup: seleziona la casella di controllo per includere gli ACL o lasciala deselezionata per escluderli.

     Backup dei tag degli oggetti: seleziona la casella di controllo per includere i tag degli oggetti nel backup.

5. Completa la configurazione del piano di backup e scegli Crea piano.

AWS CLI

Puoi includere o escludere selettivamente le liste di controllo degli accessi (ACL) e i tag degli oggetti dai tuoi backup di Amazon S3 utilizzando le seguenti opzioni di backup:

ACL di backup

Controlla se gli ACL degli oggetti sono inclusi nel backup. Imposta su per disabled escludere gli ACL. Impostazione predefinita: enabled

BackupObjectTags

Controlla se i tag degli oggetti sono inclusi nel backup. Imposta su disabled per escludere i tag. Impostazione predefinita: enabled

Configura le opzioni ACL e tag utilizzando AWS CLI

Per configurare le opzioni di backup ACL e object tag utilizzando il AWS CLI, usa il update-backup-plan comando con impostazioni di backup avanzate:

aws backup update-backup-plan \
    --backup-plan-id "your-backup-plan-id" \
    --backup-plan '{
        "BackupPlanName": "MyS3BackupPlan",
        "Rules": [{
            "RuleName": "MyS3BackupRule",
            "TargetBackupVaultName": "MyBackupVault",
            "ScheduleExpression": "cron(0 2 ? * * *)",
            "Lifecycle": {
                "DeleteAfterDays": 30
            },
            "RecoveryPointTags": {},
            "CopyActions": [],
            "EnableContinuousBackup": false
        }],
        "AdvancedBackupSettings": [{
            "ResourceType": "S3",
            "BackupOptions": {
                "BackupACLs": "disabled",
                "BackupObjectTags": "disabled"
            }
        }]
    }'
                

I BackupOptions parametri controllano l'inclusione dei metadati:

• "BackupACLs": "disabled"- Esclude gli ACL dai backup

• "BackupObjectTags": "disabled"- Esclude i tag degli oggetti dai backup

• "BackupACLs": "enabled"- Include gli ACL nei backup (impostazione predefinita)

• "BackupObjectTags": "enabled"- Include i tag degli oggetti nei backup (impostazione predefinita)