如何在 AWS Backup 保存庫中的所有復原點之間維持一致的加密？

解決方法

最佳實務是使用單一 AWS Key Management Service (KMS) 金鑰，以在所有 AWS Backup 復原點之間維持一致的加密。

若要將您的資源設定為使用與備份保存庫相同的 AWS KMS key，請完成下列步驟：

1. 開啟 AWS Backup console (AWS Backup 主控台)。
2. 在導覽窗格中，選擇 Vaults (保存庫)。
3. 在 Vaults created by this account (此帳戶建立的保存庫) 區段中，找出您的備份保存庫。接著，在 KMS encryption key ID (KMS 加密金鑰 ID) 欄中取得保存庫的加密金鑰。
4. 更新您的金鑰政策。
   **注意：**使用您的資源與 AWS Backup 的 AWS Identity and Access Management (IAM) 角色必須具有使用 AWS KMS key的權限。

**注意：**當您設定資源時，請確保為該資源指定 AWS KMS key。例如，如果您建立 Amazon Elastic Block Store (Amazon EBS) 磁碟區，請為新的磁碟區指定 AWS KMS key。

若要維持備份加密的一致性，請依是否為全受管服務與非全受管服務分離資源，然後為它們建立不同的保存庫。全受管的服務使用保存庫的加密，而非全受管的服務使用其自身的加密。

如果您必須為不同資源使用不同的 AWS KMS key，則請為每個加密金鑰建立個別的備份保存庫。或者，您可以將備份複製到設定為使用客戶自管金鑰的中央保存庫。您必須在與原保存庫所在相同的 AWS 帳戶與 AWS 區域中建立中央保存庫。

**注意：**並非所有 AWS 服務都支援 AWS Backup 的獨立加密。對於不支援的資源，AWS Backup 會維持與來源資源相同的加密設定。如果您建立備份複本，AWS Backup 會先解密備份，然後使用中央保存庫中的客戶自管金鑰重新加密複本。您可以使用以客戶自管金鑰加密的備份進行跨帳戶複製。

相關資訊

AWS Backup 中的備份加密

使用跨帳戶與跨區域備份保護以 AWS KMS 受管金鑰加密的 Amazon Relational Database Service (Amazon RDS) 資料庫執行個體

使用 AWS Backup 在跨帳戶與跨區域建立並共用加密備份

AWS Backup 中的加密運作方式