AWS Backup备份EFS文件系统为空问题排查求助

1. EFS备份的目录恢复特性：AWS Backup对EFS的恢复默认会将数据写入EFS的.awsbackup/restore-<恢复点ID>目录，而非直接覆盖根目录，这会导致你看到新EFS"为空"，实际数据存在于备份子目录中。
2. BackupSizeInBytes显示为0的可能原因：
   • 备份计划配置了错误的目录过滤规则，比如ExcludePaths设为/*，导致所有文件被排除在备份范围外。
   • AWS Backup对EFS的BackupSizeInBytes字段统计的是增量备份大小，若首次备份后没有数据变更，后续增量备份会显示0；但首次备份显示0则说明备份未捕获到任何数据。
   • EFS文件系统在备份时无活跃挂载，或Backup服务无法通过VPC访问EFS挂载目标，导致无法读取数据。
   • IAM角色存在隐性权限缺失（即使使用托管权限，也可能因信任关系或细粒度权限限制导致数据读取失败）。

1. 确认备份实际内容 #

• 登录挂载原EFS的EC2实例，查看.awsbackup目录下是否存在备份快照的挂载点或恢复目录，验证数据是否已被备份。
• 执行aws backup describe-recovery-point --backup-vault-name prometheus_eu_central_1_dev --recovery-point-arn <恢复点ARN>，查看EfsMetadata字段，确认EFS备份元数据是否正确关联目标文件系统。
• 进入AWS控制台EFS服务页面，查看对应文件系统的快照列表，检查快照大小是否与原EFS实际占用空间匹配。

2. 检查备份计划配置 #

• 执行aws backup get-backup-plan --backup-plan-id <备份计划ID>，查看AdvancedBackupSettings中的EFS配置，确认是否存在错误的ExcludePaths或IncludePaths规则。
• 验证备份计划的资源选择器是否正确选中目标EFS文件系统，无资源排除规则。

3. 验证EFS访问与状态 #

• 确认EFS文件系统处于可用状态，且挂载目标的安全组允许Backup服务所在VPC的流量访问（可临时开放安全组至VPC内所有IP进行测试）。
• 检查EFS的访问控制列表（ACL），确保Backup服务使用的IAM角色对应的EC2实例（Backup服务会临时创建EC2实例进行备份）有权限读取EFS数据。

4. 排查IAM角色问题 #

• 进入CloudTrail控制台，筛选事件源为backup.amazonaws.com和elasticfilesystem.amazonaws.com，搜索StartBackupJob和CreateSnapshot操作，查看是否存在AccessDenied或其他权限错误日志。
• 确认IAM角色的信任策略包含backup.amazonaws.com作为可信实体，策略示例：

  {
    "Effect": "Allow",
    "Principal": {
      "Service": "backup.amazonaws.com"
    },
    "Action": "sts:AssumeRole"
  }
  

5. 手动备份调试 #

• 执行带--debug参数的手动备份命令，查看详细API调用日志：

  aws backup start-backup-job --backup-vault-name prometheus_eu_central_1_dev --resource-arn arn:aws:elasticfilesystem:eu-central-1:<账号ID>:file-system:<文件系统ID> --debug
  

• 进入Backup控制台的任务详情页面，查看备份任务的日志输出，排查是否有未显示的警告或错误。

6. 恢复验证 #

• 恢复EFS时，选择"恢复到原始位置"选项，或在恢复配置中设置RestoreToOriginalFileSystem为true，验证数据是否能正确恢复至根目录。若需手动恢复，可登录挂载新EFS的EC2实例，将.awsbackup目录下的数据复制到根目录。

内容的提问来源于stack exchange，提问作者doublethink13