액세스 제어 - AWS Backup
리소스 및 작업리소스 소유권정책 요소 지정: 작업, 효과, 보안 주체정책에서 조건 지정API 권한 준거태그 복사 권한액세스 정책

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

액세스 제어

요청을 인증하는 데 유효한 자격 증명이 있을 수 있지만 적절한 권한이 없으면 백업 볼트와 같은 AWS Backup 리소스에 액세스할 수 없습니다. 또한 Amazon Elastic Block Store(Amazon EBS) 볼륨과 같은 AWS 리소스는 백업할 수 없습니다.

모든 AWS 리소스는에서 소유하며 AWS 계정리소스 생성 또는 액세스 권한은 권한 정책에 의해 관리됩니다. 계정 관리자는 AWS Identity and Access Management (IAM) 자격 증명(즉, 사용자, 그룹 및 역할)에 권한 정책을 연결할 수 있습니다. 일부 서비스에서도 리소스에 권한 정책 연결을 지원합니다.

계정 관리자(또는 관리자 사용자)는 관리자 권한이 있는 사용자입니다. 자세한 내용은 IAM 사용 설명서의 IAM 모범 사례 단원을 참조하세요.

권한을 부여하려면 권한을 부여 받을 사용자, 권한 대상이 되는 리소스, 해당 리소스에 허용되는 특정 작업을 결정합니다.

다음 단원에서는 액세스 정책의 작동 방식과 액세스 정책을 사용하여 백업을 보호하는 방법에 대해 설명합니다.

리소스 및 작업

리소스는 서비스 내에 존재하는 객체입니다. AWS Backup 리소스에는 백업 계획, 백업 볼트 및 백업이 포함됩니다. 백업은에 존재하는 다양한 유형의 백업 리소스를 가리키는 일반적인 용어입니다 AWS. 예를 들어 Amazon EBS 스냅샷, Amazon Relational Database Service(Amazon RDS) 스냅샷, Amazon DynamoDB 백업은 모두 백업 리소스 유형입니다.

에서는 AWS Backup백업을 복구 시점이라고도 합니다. 를 사용할 때는 Amazon EBS 볼륨 또는 DynamoDB 테이블과 같이 보호하려는 다른 AWS 서비스의 리소스 AWS Backup도 사용합니다. 이러한 리소스에는 고유한 Amazon 리소스 이름(ARN)이 연결됩니다. ARNs AWS 리소스를 고유하게 식별합니다. IAM 정책 또는 API 호출과 같은 모든 AWS에서 리소스를 명료하게 지정해야 하는 경우 ARN이 필요합니다.

다음 표에는 리소스, 하위 리소스, ARN 형식 및 고유 ID 예제가 나와 있습니다.

AWS Backup 리소스 ARNs
리소스 유형 ARN 형식 고유 ID 예제
백업 계획 arn:aws:backup:region:account-id:backup-plan:*
백업 저장소 arn:aws:backup:region:account-id:backup-vault:*
Amazon EBS의 복구 시점 arn:aws:ec2:region::snapshot/* snapshot/snap-05f426fd8kdjb4224
Amazon EC2 이미지의 복구 시점 arn:aws:ec2:region::image/ami-* image/ami-1a2b3e4f5e6f7g890
Amazon RDS의 복구 시점 arn:aws:rds:region:account-id:snapshot:awsbackup:* awsbackup:job-be59cf2a-2343-4402-bd8b-226993d23453
Aurora의 복구 시점 arn:aws:rds:region:account-id:cluster-snapshot:awsbackup:* awsbackup:job-be59cf2a-2343-4402-bd8b-226993d23453
Storage Gateway의 복구 시점 arn:aws:ec2:region::snapshot/* snapshot/snap-0d40e49137e31d9e0
DynamoDB의 복구 시점(고급 DynamoDB 백업 없음) arn:aws:dynamodb:region:account-id:table/*/backup/* table/MyDynamoDBTable/backup/01547087347000-c8b6kdk3
DynamoDB의 복구 시점(고급 DynamoDB 백업 활성화됨) arn:aws:backup:region:account-id:recovery-point:* 12a34a56-7bb8-901c-cd23-4567d8e9ef01
Amazon EFS의 복구 시점 arn:aws:backup:region:account-id:recovery-point:* d99699e7-e183-477e-bfcd-ccb1c6e5455e
Amazon FSx의 복구 시점 arn:aws:fsx:region:account-id:backup/backup-* backup/backup-1a20e49137e31d9e0
가상 머신의 복구 시점 arn:aws:backup:region:account-id:recovery-point:* 1801234a-5b6b-7dc8-8032-836f7ffc623b
Amazon S3 연속 백업의 복구 시점 arn:aws:backup:region:account-id:recovery-point:* amzn-s3-demo-bucket-5ec207d0
S3 정기 백업의 복구 시점 arn:aws:backup:region:account-id:recovery-point:* amzn-s3-demo-bucket-20211231900000-5ec207d0
Amazon DocumentDB의 복구 시점 arn:aws:rds:region:account-id:cluster-snapshot:awsbackup:* awsbackup:job-ab12cd3e-4567-8901-fg1h-234567i89012
Neptune의 복구 시점 arn:aws:rds:region:account-id:cluster-snapshot:awsbackup:* awsbackup:job-ab12cd3e-4567-8901-fg1h-234567i89012
Amazon Redshift의 복구 시점 arn:aws:redshift:region:account-id:snapshot:resource/awsbackup:* awsbackup:job-ab12cd3e-4567-8901-fg1h-234567i89012
Amazon Timestream의 복구 시점 arn:aws:backup:region:account-id:recovery-point:* recovery-point:1a2b3cde-f405-6789-012g-3456hi789012_beta
AWS CloudFormation 템플릿의 복구 시점 arn:aws:backup:region:account-id:recovery-point:* recovery-point:1a2b3cde-f405-6789-012g-3456hi789012
Amazon EC2 인스턴스의 SAP HANA 데이터베이스에 대한 복구 시점 arn:aws:backup:region:account-id:recovery-point:* recovery-point:1a2b3cde-f405-6789-012g-3456hi789012

전체 AWS Backup 관리를 지원하는 리소스에는 모두 형식의 복구 시점이 arn:aws:backup:region:account-id::recovery-point:*있으므로 권한 정책을 더 쉽게 적용하여 복구 시점을 보호할 수 있습니다. 전체 AWS Backup 관리를 지원하는 리소스를 확인하려면 리소스별 기능 가용성 표의 해당 섹션을 참조하세요.

AWS Backup 는 AWS Backup 리소스 작업을 위한 작업 세트를 제공합니다. 사용 가능한 작업 목록은 AWS Backup 작업 섹션을 참조하십시오.

리소스 소유권

는 리소스를 생성한 사용자에 관계없이 계정에서 생성된 리소스를 AWS 계정 소유합니다. 특히 리소스 소유자는 리소스 생성 요청을 인증하는 보안 주체 엔터티(즉, AWS 계정 루트 사용자, IAM 사용자 또는 IAM 역할) AWS 계정 의 입니다. 다음의 예제에서는 이러한 작동 방법을 설명합니다.

  • 의 AWS 계정 루트 사용자 자격 증명을 사용하여 백업 볼트를 AWS 계정 생성하는 경우 AWS 계정 는 볼트의 소유자입니다.

  • 에서 IAM 사용자를 생성하고 해당 사용자에게 백업 저장소를 생성할 수 있는 권한을 AWS 계정 부여하는 경우 사용자는 백업 저장소를 생성할 수 있습니다. 하지만 백업 저장소 리소스는 그 사용자가 속한 AWS 계정이 소유합니다.

  • 백업 볼트를 생성할 수 있는 권한이 AWS 계정 있는에서 IAM 역할을 생성하는 경우 해당 역할을 수임할 수 있는 사람은 누구나 볼트를 생성할 수 있습니다. 역할 AWS 계정이 속한이 백업 볼트 리소스를 소유합니다.

정책 요소 지정: 작업, 효과, 보안 주체

각 AWS Backup 리소스( 참조리소스 및 작업)에 대해 서비스는 API 작업 세트를 정의합니다( 참조작업). 이러한 API 작업에 대한 권한을 부여하기 위해는 정책에서 지정할 수 있는 일련의 작업을 AWS Backup 정의합니다. API 작업을 실시하려면 둘 이상의 작업에 대한 권한이 필요할 수 있습니다.

다음은 가장 기본적인 정책 요소입니다.

  • 리소스 – 정책에서 Amazon 리소스 이름(ARN)을 사용하여 정책을 적용할 리소스를 식별합니다. 자세한 내용은 리소스 및 작업 단원을 참조하십시오.

  • 조치 – 조치 키워드를 사용하여 허용 또는 거부할 리소스 작업을 식별합니다.

  • 결과 – 사용자가 특정 작업을 요청하는 경우의 결과를 지정합니다. 이는 허용 또는 거부 중에 하나가 될 수 있습니다. 명시적으로 리소스에 대한 액세스 권한을 부여(허용)하지 않는 경우, 액세스는 묵시적으로 거부됩니다. 다른 정책에서 액세스 권한을 부여하는 경우라도 사용자가 해당 리소스에 액세스할 수 없도록 하기 위해 리소스에 대한 권한을 명시적으로 거부할 수도 있습니다.

  • 보안 주체 – ID 기반 정책(IAM 정책)에서 정책이 연결되는 사용자는 암시적인 보안 주체입니다. 리소스 기반 정책의 경우, 사용자, 계정, 서비스 또는 권한의 수신자인 기타 개체를 지정합니다(리소스 기반 정책에만 해당).

IAM 정책 구문 및 설명에 대해 자세히 알아보려면 IAM 사용 설명서의 IAM JSON 정책 참조 단원을 참조하세요.

모든 AWS Backup API 작업을 보여주는 표는 섹션을 참조하세요API 권한: 작업, 리소스 및 조건 참조.

정책에서 조건 지정

권한을 부여할 때 IAM 정책 언어를 사용하여 정책이 적용되는 조건을 지정할 수 있습니다. 예를 들어, 특정 날짜 이후에만 정책을 적용할 수 있습니다. 정책 언어에서의 조건 지정에 관한 자세한 내용은 IAM 사용 설명서의 조건을 참조하세요.

AWS 는 전역 조건 키와 서비스별 조건 키를 지원합니다. 모든 전역 조건 키를 보려면 IAM 사용 설명서의 AWS 전역 조건 컨텍스트 키를 참조하세요.

AWS Backup 는 자체 조건 키 세트를 정의합니다. AWS Backup 조건 키 목록을 보려면 서비스 승인 참조의에 대한 조건 키를 AWS Backup 참조하세요.

API 권한: 작업, 리소스 및 조건 참조

액세스 제어을 설정하고 IAM 자격 증명에 연결할 수 있는 권한 정책(자격 증명 기반 정책)을 작성할 때 다음 테이블 을 참조로 사용할 수 있습니다. 표 목록 목록에. AWS Backup AWS 정책의 Action필드에서 작업을 지정하고, 정책의 Resource필드에서 리소스 값을 지정합니다. Resource 필드가 비어 있는 경우 와일드카드(*)를 사용하여 모든 리소스를 포함할 수 있습니다.

AWS Backup 정책에서 AWS전체 조건 키를 사용하여 조건을 표시할 수 있습니다. AWS전체 키의 전체 목록은 IAM 사용 설명서의 사용 가능한 키를 참조하세요.

스크롤 막대를 사용하여 표의 나머지 부분을 확인합니다.

1 기존 저장소 액세스 정책을 사용합니다.

2 리소스별 복구 시점 ARN에 대해서는 AWS Backup 리소스 ARNs을 참조하십시오.

3 StartRestoreJob에는 리소스의 메타데이터에 키-값 페어가 있어야 합니다. 리소스의 메타데이터를 가져오려면 GetRecoveryPointRestoreMetadata API를 호출합니다.

4 백업에 원본 리소스 태그를 포함하거나 백업에 추가 태그를 추가하려는 경우, 특정 리소스 유형은 백업을 수행하는 역할이 특정 태그 지정 권한인 backup:TagResource를 갖기를 요구합니다. arn:aws:backup:region:account-id:recovery-point:로 시작하는 ARN이 있는 백업 또는 연속적인 백업에는 이 권한이 필요합니다. backup:TagResource 권한은 "resourcetype": "arn:aws:backup:region:account-id:recovery-point:*"에 적용되어야 합니다.

자세한 내용은 서비스 권한 부여 참조에서 AWS Backup에 사용되는 작업, 리소스 및 조건 키를 참조하세요.

태그 복사 권한

가 백업 또는 복사 작업을 AWS Backup 수행하면 소스 리소스(또는 복사의 경우 복구 시점)에서 복구 시점으로 태그를 복사하려고 시도합니다.

참고

AWS Backup 는 복원 작업 중에 태그를 기본적으로 복사하지 않습니다. 복원 작업 중에 태그를 복사하는 이벤트 기반 아키텍처는 AWS Backup 복원 작업에 리소스 태그를 유지하는 방법을 참조하세요.

백업 또는 복사 작업 중에는 백업 계획(또는 복사 계획 또는 온디맨드 백업)에 지정한 태그를 소스 리소스의 태그와 AWS Backup 집계합니다. 그러나는 리소스당 50개의 태그를 AWS 적용하며,이 제한은를 초과할 AWS Backup 수 없습니다. 백업 또는 복사 작업이 계획과 소스 리소스의 태그를 집계할 때 총 50개가 넘는 태그를 발견할 수 있으며, 이 경우 작업을 완료할 수 없고 작업이 실패합니다. 이는 AWS전체 태그 지정 모범 사례와 일치합니다.

  • 백업 작업 태그를 소스 리소스 태그로 집계한 후 리소스에 50개 이상의 태그가 있습니다.는 리소스당 최대 50개의 태그를 AWS 지원합니다.

  • 에 제공하는 IAM 역할에는 소스 태그를 읽거나 대상 태그를 설정할 수 있는 권한이 AWS Backup 없습니다. 자세한 내용 및 샘플 IAM 역할 정책은 관리형 정책을 참조하세요.

백업 계획을 사용하여 소스 리소스 태그와 모순되는 태그를 생성할 수 있습니다. 두 태그가 충돌하는 경우 백업 계획의 태그가 우선합니다. 소스 리소스의 태그 값을 복사하지 않으려면 이 방법을 사용하세요. 백업 계획을 사용하여 동일한 태그 키를 지정하되 다른 값 또는 빈 값을 지정합니다.

백업에 태그를 할당하는 데 필요한 사용 권한
리소스 유형 필수 권한
Amazon EFS 파일 시스템

elasticfilesystem:DescribeTags
Amazon FSx 파일 시스템

fsx:ListTagsForResource
Amazon RDS 데이터베이스 및 Amazon Aurora 클러스터

rds:AddTagsToResource

rds:ListTagsForResource
Storage Gateway 볼륨

storagegateway:ListTagsForResource
Amazon EC2 인스턴스 및 Amazon EBS 볼륨

EC2:CreateTags

EC2:DescribeTags

DynamoDB는 먼저 고급 DynamoDB 백업을 활성화하지 않는 한 백업에 태그 할당을 지원하지 않습니다.

Amazon EC2 백업이 이미지 복구 시점 및 스냅샷 세트를 생성하면 AWS Backup 는 생성된 AMI에 태그를 복사합니다. AWS Backup 또한는 Amazon EC2 인스턴스와 연결된 볼륨의 태그를 결과 스냅샷에 복사합니다.

액세스 정책

권한 정책은 누가 무엇에 액세스할 수 있는지를 나타냅니다. IAM 자격 증명에 연결된 정책을 자격 증명 기반 정책(IAM 정책)이라고 합니다. 리소스에 연결된 정책을 리소스 기반 정책이라고 합니다.는 자격 증명 기반 정책과 리소스 기반 정책을 모두 AWS Backup 지원합니다.

참고

이 섹션에서는 컨텍스트에서 IAM을 사용하는 방법에 대해 설명합니다 AWS Backup. IAM 서비스에 대한 자세한 정보는 다루지 않습니다. 전체 IAM 설명은 IAM 사용자 가이드에서 IAM이란 무엇인가?를 참조하십시오. IAM 정책 구문과 설명에 대한 자세한 내용은 IAM 사용 설명서의 IAM JSON Policy Reference를 참조하세요.

자격 증명 기반 정책(IAM 정책)

자격 증명 기반 정책은 사용자 또는 역할과 같은 IAM 자격 증명에 연결할 수 있는 정책입니다. 예를 들어 사용자가 AWS 리소스를 보고 백업할 수 있도록 허용하지만 백업을 복원할 수 없도록 하는 정책을 정의할 수 있습니다.

사용자, 그룹, 역할 및 권한에 대한 자세한 내용은 IAM 사용 설명서의 자격 증명(사용자, 그룹 및 역할)을 참조하세요.

IAM 정책을 사용하여 백업에 대한 액세스를 제어하는 방법에 대한 자세한 내용은 에 대한 관리형 정책 AWS Backup 단원을 참조하세요.

리소스 기반 정책

AWS Backup 는 백업 저장소에 대한 리소스 기반 액세스 정책을 지원합니다. 따라서 백업 저장소에 구성된 백업에 대해 어떤 사용자가 어떠한 종류의 권한을 갖는지를 제어하는 액세스 정책을 정의할 수 있습니다. 백업 저장소에 대한 리소스 기반 액세스 정책을 사용하면 백업에 대한 액세스를 쉽게 제어할 수 있습니다.

백업 볼트 액세스 정책은 AWS Backup APIs. Amazon Elastic Block Store(Amazon EBS) 및 Amazon Relational Dabase Service(Amazon RDS) 스냅샷과 같은 일부 백업 유형도 해당 서비스의 API를 사용하여 액세스할 수 있습니다. API에 대한 액세스를 제어하는 별도의 액세스 정책을 IAM에 생성하면 백업에 대한 액세스를 완전히 제어할 수 있습니다.

백업 저장소에 대한 액세스 정책을 생성하는 방법에 대한 자세한 내용은 볼트 액세스 정책 단원을 참조하세요.