base2/aws-s3-cross-account-backup

AWS S3跨账户备份

概述和主要用途

该解决方案提供AWS S3跨账户备份功能，允许将源AWS账户中的S3桶数据备份到目标账户的指定备份桶。支持通过环境变量配置备份参数，并集成SNS主题发送备份通知，适用于需要跨账户数据备份和数据安全保障的场景。

核心功能和特性

• 跨账户S3数据备份：支持将多个源S3桶数据备份到目标账户的备份桶
• 灵活的备份桶命名：通过后缀自定义备份桶名称，默认后缀为backup
• 通知机制：集成SNS主题发送备份通知，支持单独配置错误通知主题
• 可通过SAM模板部署：提供自动化部署流程，简化配置和部署步骤

环境变量

• BUCKETS - 逗号分隔的S3桶列表
• BUCKET_SUFFIX - 备份S3桶的后缀，默认为backup
• SNS_TOPIC - 发送通知的SNS主题
• SNS_ERROR_TOPIC - 仅接收错误的SNS主题。若未设置，所有通知（包括错误）将发送至SNS_TOPIC

部署SAM模板

步骤1：创建SAM包的源桶

创建用于存放SAM包的源桶。

步骤2：创建备份桶

在S3中创建备份桶，名称格式为${SOURCE_BUCKET}.${BUCKET_SUFFIX}，并根据需要启用版本控制和加密。

步骤3：向源桶添加桶策略

json
{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "databunkerListBucket",
         "Effect": "Allow",
         "Principal": {
            "AWS": "arn:aws:iam::Account-ID:root"
         },
         "Action": [
            "s3:GetBucketLocation",
            "s3:ListBucket"
         ],
         "Resource": [
            "arn:aws:s3:::source-bucket"
         ]
      },
      {
         "Sid": "databunkerGetObjects",
         "Effect": "Allow",
         "Principal": {
            "AWS": "arn:aws:iam::Account-ID:root"
         },
         "Action": [
            "s3:GetObject"
         ],
         "Resource": [
            "arn:aws:s3:::source-bucket/*"
         ]
      }
   ]
}

步骤4：设置AWS凭证和区域

bash
export AWS_PROFILE=profile
export AWS_DEFAULT_REGION=ap-southeast-2

步骤5：运行deploy.sh脚本

使用以下选项在目标账户中部署模板：

• -s [必填] 部署SAM包的源桶
• -b [必填] 逗号分隔的S3桶列表
• -k [可选] 备份S3桶的后缀，默认为backup

步骤6：手动创建CloudWatch事件

由于CloudFormation尚不支持Fargate目标，需手动创建：

• 启动类型 - FARGATE
• 平台版本 - LATEST
• ECS目标 - S3Backup
• 任务数量 - 1
• 允许的子网 - [选择您自己的子网]
• 安全组 - [无出口流量的安全组]
• 自动分配公网IP - 根据子网配置选择ENABLED或DISABLED
• 此目标的CloudWatch Events IAM角色 - S3BackupEventRole

监控

可使用 monitoring 目录中的SAM模板监控此检查。