AWS Backupの設定
サービスのオプトイン
バックアップ対象の制御: オプトインを有効（オン）にしていないAWSサービスは、バックアッププランを正しく作成・割り当てしてもバックアップが実行されません。
Amazon DynamoDB バックアップの高度な機能 - 新規
デフォルト有効だけどRDSには関係ないです。あくまでDynamoDB用。
委任された管理者 - オプション (0) 情報
委任された管理者に登録されていなくても、各AWSアカウント単体でバックアップからの復元（リストア）は問題なく実行できます。
目的：組織全体のデータを守るために、「毎日AM2時にRDSをバックアップする」というルールを強制配置・監視する役割。
クロスアカウント管理
バックアップポリシーの一括配布（集中管理）
クロスアカウントコピー（DR対策・セキュリティ向上）
クロスアカウントモニタリング（一元監視）
リソース追跡
前提
AWS Backupの「リソース追跡」およびそれを利用する「AWS Backup Audit Manager」は、バックアップ設定や実行履歴のデータを収集・記録する基盤としてAWS Configの機能（レコーダー）をそのまま利用しています。そのため、対象のアカウントおよびリージョンでAWS Configが有効（記録が開始されている状態）になっていないと、リソース追跡は機能せず、Audit Managerも使用できません。
バックアッププラン
バックアップルール
ボルトロック
ボルトロック設定時は、バックアッププランの「保持期間（ライフサイクル）」で設定している日数と同じか、その日数が収まる範囲に指定されていれば完全にOKです。同じ日に設定しているほうが無難かな。
ボルトロックの管理権限
ボルトロックを管理（作成、変更、削除）するための専用のIAM管理権限（アクション）が存在します。
ボルトロックに関する主なIAM権限（アクション）以下の3つのアクションが、ボルトロックの管理権限にあたります。
backup:PutBackupVaultLockConfiguration（作成・変更）ボルトロックを新しく設定したり、保持期間（最小・最大）を変更したりする権限です。
backup:DeleteBackupVaultLockConfiguration（削除）設定されたボルトロックを解除・削除する権限です。
backup:GetBackupVaultLockConfiguration（確認）ボルトロックが現在どのように設定されているか、状態を閲覧する権限です。
ガバナンスモード版
json{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowGovernanceVaultLockFullAccess",
"Effect": "Allow",
"Action": [
"backup:PutBackupVaultLockConfiguration",
"backup:GetBackupVaultLockConfiguration",
"backup:DeleteBackupVaultLockConfiguration"
],
"Resource": "*"
}
]
}