액세스 제어 - AWS Backup
리소스 및 작업리소스 소유권정책 요소 지정: 작업, 효과, 보안 주체정책에서 조건 지정API 권한 참조 문서태그 복사 권한액세스 정책

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

액세스 제어

요청을 인증하는 데 유효한 보안 인증 정보가 있을 수 있지만 적절한 권한이 없는 한 백업 볼트와 같은 AWS Backup 리소스에 액세스할 수 없습니다. Amazon Elastic Block Store(Amazon EBS) 볼륨과 같은 AWS 리소스도 백업할 수 없습니다.

모든 AWS 리소스는 에서 소유 AWS 계정하며, 리소스를 생성하거나 액세스할 수 있는 권한은 권한 정책에 의해 관리됩니다. 계정 관리자는 AWS Identity and Access Management (IAM) 자격 증명(즉, 사용자, 그룹 및 역할)에 권한 정책을 연결할 수 있습니다. 일부 서비스에서도 리소스에 권한 정책 연결을 지원합니다.

계정 관리자(또는 관리자 사용자)는 관리자 권한이 있는 사용자입니다. 자세한 내용은 IAM 사용 설명서의 IAM 모범 사례를 참조하세요.

권한을 부여하려면 권한을 부여 받을 사용자, 권한 대상이 되는 리소스, 해당 리소스에 허용되는 특정 작업을 결정합니다.

다음 단원에서는 액세스 정책의 작동 방식과 액세스 정책을 사용하여 백업을 보호하는 방법에 대해 설명합니다.

리소스 및 작업

리소스는 서비스 내에 존재하는 객체입니다. AWS Backup 리소스에는 백업 계획, 백업 볼트 및 백업이 포함됩니다. 백업은 에 존재하는 다양한 유형의 백업 리소스를 가리키는 일반적인 용어입니다 AWS. 예를 들어 Amazon EBS 스냅샷, Amazon Relational Database Service(Amazon RDS) 스냅샷 및 Amazon DynamoDB 백업은 모두 백업 리소스의 유형입니다.

에서는 AWS Backup백업을 복구 시점이라고도 합니다. 를 사용할 때는 Amazon EBS 볼륨 또는 DynamoDB 테이블과 같이 보호하려는 다른 AWS 서비스의 리소스 AWS Backup도 사용합니다. 이러한 리소스에는 연결된 고유한 Amazon 리소스 이름(ARNs)이 있습니다. ARNs AWS 리소스를 고유하게 식별합니다. IAM 정책 또는 API 호출 AWS과 같이 모든 에서 리소스를 명확하게 지정해야 하는 ARN 경우 가 있어야 합니다.

다음 표에는 리소스, 하위 리소스, ARN 형식 및 예제 고유 ID가 나열되어 있습니다.

AWS Backup 리소스 ARNs
리소스 유형 ARN 형식 고유 ID 예제
백업 계획 arn:aws:backup:region:account-id:backup-plan:*
백업 저장소 arn:aws:backup:region:account-id:backup-vault:*
Amazon의 복구 시점 EBS arn:aws:ec2:region::snapshot/* snapshot/snap-05f426fd8kdjb4224
Amazon EC2 이미지의 복구 시점 arn:aws:ec2:region::image/ami-* image/ami-1a2b3e4f5e6f7g890
Amazon의 복구 시점 RDS arn:aws:rds:region:account-id:snapshot:awsbackup:* awsbackup:job-be59cf2a-2343-4402-bd8b-226993d23453
Aurora의 복구 시점 arn:aws:rds:region:account-id:cluster-snapshot:awsbackup:* awsbackup:job-be59cf2a-2343-4402-bd8b-226993d23453
Storage Gateway의 복구 시점 arn:aws:ec2:region::snapshot/* snapshot/snap-0d40e49137e31d9e0
DynamoDB의 복구 시점(고급 DynamoDB 백업 없음) arn:aws:dynamodb:region:account-id:table/*/backup/* table/MyDynamoDBTable/backup/01547087347000-c8b6kdk3
DynamoDB의 복구 시점(고급 DynamoDB 백업 활성화됨) arn:aws:backup:region:account-id:recovery-point:* 12a34a56-7bb8-901c-cd23-4567d8e9ef01
Amazon의 복구 시점 EFS arn:aws:backup:region:account-id:recovery-point:* d99699e7-e183-477e-bfcd-ccb1c6e5455e
Amazon의 복구 시점 FSx arn:aws:fsx:region:account-id:backup/backup-* backup/backup-1a20e49137e31d9e0
가상 머신의 복구 시점 arn:aws:backup:region:account-id:recovery-point:* 1801234a-5b6b-7dc8-8032-836f7ffc623b
Amazon S3 연속 백업의 복구 시점 arn:aws:backup:region:account-id:recovery-point:* amzn-s3-demo-bucket-5ec207d0
S3 정기 백업의 복구 시점 arn:aws:backup:region:account-id:recovery-point:* amzn-s3-demo-bucket-20211231900000-5ec207d0
Amazon DocumentDB의 복구 시점 arn:aws:rds:region:account-id:cluster-snapshot:awsbackup:* awsbackup:job-ab12cd3e-4567-8901-fg1h-234567i89012
Neptune의 복구 시점 arn:aws:rds:region:account-id:cluster-snapshot:awsbackup:* awsbackup:job-ab12cd3e-4567-8901-fg1h-234567i89012
Amazon Redshift의 복구 시점 arn:aws:redshift:region:account-id:snapshot:resource/awsbackup:* awsbackup:job-ab12cd3e-4567-8901-fg1h-234567i89012
Amazon Timestream의 복구 시점 arn:aws:backup:region:account-id:recovery-point:* recovery-point:1a2b3cde-f405-6789-012g-3456hi789012_beta
AWS CloudFormation 템플릿의 복구 시점 arn:aws:backup:region:account-id:recovery-point:* recovery-point:1a2b3cde-f405-6789-012g-3456hi789012
Amazon EC2 인스턴스의 SAP HANA 데이터베이스 복구 시점 arn:aws:backup:region:account-id:recovery-point:* recovery-point:1a2b3cde-f405-6789-012g-3456hi789012

전체 AWS Backup 관리를 지원하는 리소스에는 모두 형식의 복구 시점이 arn:aws:backup:region:account-id::recovery-point:*있으므로 권한 정책을 더 쉽게 적용하여 이러한 복구 시점을 보호할 수 있습니다. 전체 AWS Backup 관리를 지원하는 리소스를 확인하려면 리소스별 기능 가용성 표의 해당 섹션을 참조하세요.

AWS Backup 는 AWS Backup 리소스로 작업할 일련의 작업을 제공합니다. 사용 가능한 작업 목록은 AWS Backup 작업 섹션을 참조하십시오.

리소스 소유권

는 누가 리소스를 생성했는지에 관계없이 계정에서 생성된 리소스를 AWS 계정 소유합니다. 특히 리소스 소유자는 리소스 생성 요청을 인증하는 AWS 계정 보안 주체 엔터티(즉, AWS 계정 루트 사용자, IAM 사용자 또는 IAM 역할)의 입니다. 다음 예에서는 이러한 작동 방식을 설명합니다.

  • 의 AWS 계정 루트 사용자 자격 증명을 사용하여 백업 저장소를 AWS 계정 생성하는 경우 AWS 계정 는 저장소의 소유자입니다.

  • 에서 IAM 사용자를 생성하고 해당 사용자에게 백업 저장소를 생성할 수 있는 권한을 AWS 계정 부여하는 경우 사용자는 백업 저장소를 생성할 수 있습니다. 하지만 백업 볼트 리소스는 그 사용자가 속한 AWS 계정이 소유합니다.

  • 백업 볼트를 생성할 수 있는 권한이 AWS 계정 있는 에서 IAM 역할을 생성하는 경우 역할을 수임할 수 있는 모든 사용자가 볼트를 생성할 수 있습니다. 역할 AWS 계정이 속한 는 백업 볼트 리소스를 소유합니다.

정책 요소 지정: 작업, 효과, 보안 주체

각 AWS Backup 리소스( 참조리소스 및 작업)에 대해 서비스는 API 작업 집합을 정의합니다( 참조작업). 이러한 API 작업에 대한 권한을 부여하려면 는 정책에서 지정할 수 있는 일련의 작업을 AWS Backup 정의합니다. API 작업을 수행하려면 둘 이상의 작업에 대한 권한이 필요할 수 있습니다.

다음은 가장 기본적인 정책 요소입니다:

  • 리소스 - 정책에서 Amazon 리소스 이름(ARN)을 사용하여 정책이 적용되는 리소스를 식별합니다. 자세한 내용은 리소스 및 작업 단원을 참조하십시오.

  • 조치 – 조치 키워드를 사용하여 허용 또는 거부할 리소스 작업을 식별합니다.

  • 결과 – 사용자가 특정 작업을 요청하는 경우의 결과를 지정합니다. 이는 허용 또는 거부 중에 하나가 될 수 있습니다. 명시적으로 리소스에 대한 액세스 권한을 부여(허용)하지 않는 경우, 액세스는 묵시적으로 거부됩니다. 다른 정책에서 액세스 권한을 부여하는 경우라도 사용자가 해당 리소스에 액세스할 수 없도록 하기 위해 리소스에 대한 권한을 명시적으로 거부할 수도 있습니다.

  • 보안 주체 - 자격 증명 기반 정책(IAM 정책)에서 정책이 연결된 사용자는 암시적 보안 주체입니다. 리소스 기반 정책의 경우, 사용자, 계정, 서비스 또는 권한의 수신자인 기타 개체를 지정합니다(리소스 기반 정책에만 해당).

IAM 정책 구문 및 설명에 대한 자세한 내용은 IAM 사용 설명서의 IAM JSON 정책 참조를 참조하세요.

모든 작업을 보여주는 표는 섹션을 참조하세요 AWS Backup APIAPI 권한: 작업, 리소스 및 조건 참조.

정책에서 조건 지정

권한을 부여하면 IAM 정책 언어를 사용하여 정책이 적용되는 조건을 지정할 수 있습니다. 예를 들어, 특정 날짜 이후에만 정책을 적용할 수 있습니다. 정책 언어로 조건을 지정하는 방법에 대한 자세한 내용은 IAM 사용 설명서의 조건을 참조하세요.

AWS 는 전역 조건 키 및 서비스별 조건 키를 지원합니다. 모든 전역 조건 키를 보려면 IAM 사용 설명서의 AWS 전역 조건 컨텍스트 키를 참조하세요.

AWS Backup 는 자체 조건 키 세트를 정의합니다. AWS Backup 조건 키 목록을 보려면 서비스 승인 참조의 에 대한 조건 키를 AWS Backup 참조하세요.

API 권한: 작업, 리소스 및 조건 참조

IAM 자격 증명에 연결할 수 있는 권한 정책(자격 증명 기반 정책)을 설정하고 액세스 제어 작성할 때 다음 테이블 참조로 사용할 수 있습니다. 표 목록 목록에. AWS Backup API AWS 정책의 Action필드에서 작업을 지정하고, 정책의 Resource필드에서 리소스 값을 지정합니다. Resource 필드가 비어 있는 경우 와일드카드(*)를 사용하여 모든 리소스를 포함할 수 있습니다.

AWS Backup 정책에서 AWS전체 조건 키를 사용하여 조건을 표현할 수 있습니다. AWS전체 키의 전체 목록은 IAM 사용 설명서의 사용 가능한 키를 참조하세요.

스크롤 막대를 사용하여 표의 나머지 부분을 확인합니다.

1 기존 볼트 액세스 정책을 사용합니다.

2 리소스별 복구 시점은 섹션을 참조AWS Backup 리소스 ARNs하세요ARNs.

3은 리소스의 메타데이터에 키-값 페어가 StartRestoreJob 있어야 합니다. 리소스의 메타데이터를 가져오려면 GetRecoveryPointRestoreMetadata 를 호출합니다API.

4 백업에 원본 리소스 태그를 포함하거나 백업에 태그를 추가하려면 특정 리소스 유형에 backup:TagResource 따라 백업을 수행하는 역할에 특정 태그 지정 권한이 있어야 합니다. 로 ARN 시작하는 백업 arn:aws:backup:region:account-id:recovery-point: 또는 연속 백업에는 이 권한이 필요합니다. backup:TagResource 권한은 에 적용되어야 합니다. "resourcetype": "arn:aws:backup:region:account-id:recovery-point:*"

자세한 내용은 서비스 권한 부여 참조에서 AWS Backup에 사용되는 작업, 리소스 및 조건 키를 참조하세요.

태그 복사 권한

가 백업 또는 복사 작업을 AWS Backup 수행하면 소스 리소스(또는 복사의 경우 복구 시점)에서 복구 시점으로 태그를 복사하려고 시도합니다.

참고

AWS Backup 는 복원 작업 중에 태그를 기본적으로 복사하지 않습니다. 복원 작업 중에 태그를 복사하는 이벤트 기반 아키텍처는 AWS Backup 복원 작업에서 리소스 태그를 유지하는 방법 단원을 참조하세요.

백업 또는 복사 작업 중에 는 백업 계획(또는 복사 계획 또는 온디맨드 백업)에 지정한 태그를 소스 리소스의 태그와 AWS Backup 집계합니다. 그러나 는 리소스당 50개의 태그를 AWS 적용하며, 이 제한은 를 초과할 AWS Backup 수 없습니다. 백업 또는 복사 작업이 계획과 소스 리소스의 태그를 집계할 때 총 50개가 넘는 태그를 발견할 수 있으며, 이 경우 작업을 완료할 수 없고 작업이 실패합니다. 이는 AWS전체 태그 지정 모범 사례와 일치합니다. 자세한 내용을 알아보려면 AWS 일반 참조 가이드의 태그 제한을 참조하세요.

  • 리소스에는 백업 작업 태그를 소스 리소스 태그로 집계한 후 50개 이상의 태그가 있습니다. 는 리소스당 최대 50개의 태그를 AWS 지원합니다. 자세한 내용은 태그 제한을 참조하세요.

  • 에 제공하는 IAM 역할에는 소스 태그를 읽거나 대상 태그를 설정할 권한이 AWS Backup 없습니다. 자세한 내용과 샘플 IAM 역할 정책은 관리형 정책 섹션을 참조하세요.

백업 계획을 사용하여 소스 리소스 태그와 모순되는 태그를 생성할 수 있습니다. 두 태그가 충돌하는 경우 백업 계획의 태그가 우선합니다. 소스 리소스의 태그 값을 복사하지 않으려면 이 방법을 사용하세요. 백업 계획을 사용하여 동일한 태그 키를 지정하되 다른 값 또는 빈 값을 지정합니다.

백업에 태그를 할당하는 데 필요한 사용 권한
리소스 유형 필수 권한
Amazon EFS 파일 시스템

elasticfilesystem:DescribeTags
Amazon FSx 파일 시스템

fsx:ListTagsForResource
Amazon RDS 데이터베이스 및 Amazon Aurora 클러스터

rds:AddTagsToResource

rds:ListTagsForResource
Storage Gateway 볼륨

storagegateway:ListTagsForResource
Amazon EC2 인스턴스 및 Amazon EBS 볼륨

EC2:CreateTags

EC2:DescribeTags

DynamoDB는 먼저 고급 DynamoDB 백업을 활성화하지 않는 한 백업에 태그 할당을 지원하지 않습니다.

Amazon EC2 백업이 Image Recovery Point 및 스냅샷 세트를 생성하면 AWS Backup 는 생성된 에 태그를 복사AMI합니다. AWS Backup 또한 Amazon EC2 인스턴스와 연결된 볼륨의 태그를 결과 스냅샷에 복사합니다.

액세스 정책

권한 정책은 누가 무엇에 액세스할 수 있는지를 나타냅니다. IAM 자격 증명에 연결된 정책을 자격 증명 기반 정책(IAM 정책)이라고 합니다. 리소스에 연결된 정책을 리소스 기반 정책이라고 합니다. 는 자격 증명 기반 정책과 리소스 기반 정책을 모두 AWS Backup 지원합니다.

참고

이 섹션에서는 의 컨텍스트IAM에서 를 사용하는 방법에 대해 설명합니다 AWS Backup. IAM 서비스에 대한 자세한 정보는 제공하지 않습니다. 전체 IAM 설명서는 IAM 사용 설명서의 IAM?란 무엇입니까?를 참조하세요. IAM 정책 구문 및 설명에 대한 자세한 내용은 IAM 사용 설명서의 IAM JSON 정책 참조를 참조하세요.

자격 증명 기반 정책(IAM 정책)

자격 증명 기반 정책은 사용자 또는 역할과 같은 IAM 자격 증명에 연결할 수 있는 정책입니다. 예를 들어, 사용자가 AWS 리소스를 보고 백업할 수 있도록 허용하지만 백업을 복원하지 못하도록 하는 정책을 정의할 수 있습니다.

사용자, 그룹, 역할 및 권한에 대한 자세한 내용은 IAM 사용 설명서의 자격 증명(사용자, 그룹 및 역할)을 참조하세요.

IAM 정책을 사용하여 백업에 대한 액세스를 제어하는 방법에 대한 자세한 내용은 섹션을 참조하세요에 대한 관리형 정책 AWS Backup.

리소스 기반 정책

AWS Backup 는 백업 볼트에 대한 리소스 기반 액세스 정책을 지원합니다. 따라서 백업 볼트에 구성된 백업에 대해 어떤 사용자가 어떠한 종류의 권한을 갖는지를 제어하는 액세스 정책을 정의할 수 있습니다. 백업 볼트에 대한 리소스 기반 액세스 정책을 사용하면 백업에 대한 액세스를 쉽게 제어할 수 있습니다.

백업 볼트 액세스 정책은 를 사용할 때 사용자 액세스를 제어합니다 AWS Backup APIs. Amazon Elastic Block Store(Amazon EBS) 및 Amazon Relational Database Service(Amazon RDS) 스냅샷과 같은 일부 백업 유형도 해당 서비스의 를 사용하여 액세스할 수 있습니다APIs. 에서 백업에 IAM 대한 액세스를 완전히 제어하기 APIs 위해 액세스 권한을 제어하는 별도의 액세스 정책을 생성할 수 있습니다.

백업 볼트에 대한 액세스 정책을 생성하는 방법에 대한 자세한 내용은 볼트 액세스 정책 단원을 참조하세요.