原生复制
对受支持的状态使用服务自带的复制路径。示例：新推送的 ECR 映像、S3 对象复制或经批准的数据库副本。
查看模式 →恢复策略
选择合适的恢复路径。
覆盖每个 AWS 组件。
了解映像、证书、网络控制、密钥、数据和基础设施如何协同。这些图示展示 Dockfield 的恢复设计；每个客户实施都会单独界定范围并进行测试。
按服务和恢复目标选择
七类策略，一个恢复蓝图。
一个工作负载可能结合多种策略。容器服务需要同时准备映像、网络、身份、密钥和数据。配置恢复与应用数据恢复各自需要不同的证据和时间安排。
事件驱动镜像
捕获变更事件、检查当前配置，并在 DR 中协调映射后的对应资源。SG 和 NACL 需要自定义协调器。
查看模式 →声明式重建
根据恢复蓝图按依赖顺序重建受支持的基础设施。例如：VPC、负载均衡器、ECS 和 EKS。
查看模式 →备份与时间点恢复
使用服务原生备份路径，从经批准的恢复点恢复状态。例如：RDS、Aurora 和受支持的 AWS Backup 资源。
查看模式 →重新签发或重新创建
创建有效的目标资源并映射其新标识。例如：目标账户和区域中的 ACM 证书。
查看模式 →共享恢复控制平面
协调受保护环境之间的路由决策。ARC 路由控制作用于 Route 53 运行状况检查。
查看模式 →组织治理
通过委派管理和服务专属的区域设置，集中管理适用的控制项。
查看模式 →映像 · 回填 + 持续原生复制
ECR：保护映像，然后重建服务。
现有映像与未来推送使用不同路径。在 ECS 或 EKS 启动恢复的工作负载前，目标映像必须可用。
准备目标环境
配置原生复制规则和目标注册表权限。现有内容需要单独的复制路径；请检查目标摘要和经批准的版本。
需要检查存储库控制项
加密、标签不可变性、权限和生命周期规则需要在目标端配置或使用合适的创建模板。原生映像复制不会传播源端删除。
AWS 参考： ECR 复制
证书 · 重新签发 / 重新导入
ACM：新建目标证书并映射 ARN。
记录证书需求：名称、类型、验证方式和工作负载关联。在目标账户和区域申请或导入证书，然后将其 ARN 映射到恢复的侦听器。
区域决定身份
源 ACM ARN 不是目标证书。请在恢复演练前准备签发和 DNS 验证，并检查目标侦听器关联。
私密材料受到保护
发现过程不需要私钥。任何导入都使用经批准的安全密钥路径。即使应用位于其他位置，CloudFront 证书也使用 us-east-1。
网络控制 · 协调变更 + 暂停风险操作
安全组和 NACL：安全地镜像意图。
这些服务不提供跨账户 SG/NACL 原生复制。Dockfield 协调器将变更事件用作信号，读取当前配置，映射引用并应用经批准的目标规则。定期协调可补充遗漏或延迟的事件。
| 控制项 | 安全组 | 网络 ACL |
|---|---|---|
| 位置 | 资源 / 网络接口 | 子网关联 |
| 流量行为 | 有状态；跟踪允许的响应 | 无状态；允许所需的返回路径 |
| 规则模型 | 允许规则；映射引用的 SG ID | 按顺序排列的允许 / 拒绝规则；保留规则编号 |
| 目标映射 | 目标 VPC、SG 引用和经批准的 CIDR | 目标子网关联、CIDR 以及入站 / 出站规则 |
事件是信号，并非完整状态
使用受支持的 CloudTrail 写入事件并启用跟踪。重新读取权威配置，以幂等方式处理重试，并跟踪协调证据。
撤销权限也可能带来风险
策略审查既涵盖访问和关联变更，也涵盖整个资源的删除。暂缓变更需要审核者关注；保留访问权限是一项有意识的临时决定。
AWS 参考： 通过 CloudTrail 使用 EventBridge · 网络 ACL 行为
敏感状态 · 与发现过程分开
Secrets Manager：不要将值放入蓝图。
发现过程会盘点密钥元数据和依赖关系，但不会调用 GetSecretValue。密钥的运行保护采用单独的授权路径，处理加密值、KMS 权限、轮换和目标端点。
同一账户，多区域
原生区域副本会传播密钥更新和轮换。使用适合目标区域的 KMS 密钥，并确认连接设置指向预期恢复的服务。
独立账户需要单独设计
原生区域复制不等于跨账户复制。请选择受控同步路径或经授权的共享访问；仅共享访问不会创建隔离副本。跨账户访问需要资源、身份和客户管理的 KMS 权限。
有状态数据恢复 · 副本 / 备份 / PITR
将数据恢复到可信的时间点。
数据路径应与基础设施蓝图分开选择。RDS 和 Aurora 使用适合服务的恢复或复制模式；DynamoDB、EBS、EFS 和 FSx 则需要各自受支持的保护路径。恢复点选择、目标访问和保留策略都要明确测试。
测量 RTO 和 RPO
基础设施捕获间隔并不是应用数据 RPO。恢复时长、复制延迟、保留的恢复点和经过测试的工作负载共同构成实际恢复证据。
其他有状态服务
除新对象复制外，现有 S3 对象可能还需要单独进行 Batch Replication。EFS、FSx 和卷快照使用所选服务、账户和区域支持的机制。
声明式恢复 · 依赖顺序
重建相互关联的服务。
蓝图描述受支持的配置和目标映射。原生状态保护提供映像和数据；基础设施自动化则按依赖顺序重建相关服务。
解析目标身份
源账户 ID、区域、证书 ARN、KMS 密钥、映像位置和端点引用都需要目标映射。
平台期望状态很重要
对于 Kubernetes，应恢复工作负载规范和持久数据，而不是临时 Pod ID。除了控制平面健康外，服务还需要实际的应用检查。
Dockfield 设计模式：在评估期间定义受支持服务范围和依赖映射。
流量 · 就绪 → 批准 → 路由操作
恢复就绪后，由 ARC 控制流量。
路由控制会影响 Route 53 运行状况检查和 DNS 流量。Dockfield 的人工批准与验证门是应用控制；配置好的 ARC 安全规则可与之配合。恢复引擎先构建工作负载，之后路由操作才具备条件。
具备条件不代表实时故障切换
UI 显示已批准状态，并不能证明路由控制已发生变化。请记录控制操作，并确认恢复后服务及 DNS 的行为。
安全与回滚
配置适当的安全规则，演练经批准的切换与回滚，并考虑 DNS 缓存和客户端行为。
组织控制 · 集中配置
统一治理。逐一验证恢复边界。
Control Tower、AWS Config、Security Hub 和 GuardDuty 的组织与区域配置模型各不相同。请采用适用的集中管理模式，然后在每个 DR 账户和区域中验证覆盖范围、聚合与权限。IAM 信任和 KMS 访问仍是明确的依赖项。
服务专属覆盖范围
集中管理员并不意味着每个目标都自动获得覆盖。请记录所需的已启用区域、成员账户和证据来源。
蓝图是一份恢复契约
对于每个资源，请记录策略、目标映射、负责人、批准规则、保护证据和最近一次成功的恢复测试。
恢复蓝图应记录哪些内容？
- 源服务及依赖关系
- 目标账户和区域、映射后的身份与端点
- 保护策略、先决条件和最近一次协调
- 恢复点策略、测得的 RTO / RPO 和验证证据
- 破坏性变更处理、批准负责人和回滚路径