논리적 에어 갭 저장소 - AWS Backup

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

논리적 에어 갭 저장소

논리적 에어 갭 볼트 개요

AWS Backup 는 추가 보안 기능이 있는 컨테이너에 백업 사본을 저장할 수 있는 보조 유형의 볼트를 제공합니다. 논리적 에어 갭 저장소는 표준적인 백업 저장소보다 향상된 보안 외에도, 다른 계정에 대한 저장소 액세스를 공유할 수 있는 기능을 제공하는 특수 저장소입니다. 이를 통해 리소스의 신속한 복원이 필요한 사고 발생 시에 목표 복구 시간(RTO)을 더 빠르고 유연하게 달성할 수 있습니다.

논리적 에어 갭 저장소에는 추가적인 보호 기능이 탑재되어 있습니다. 각 저장소는 AWS 소유 키로 암호화되며, AWS Backup 저장소 잠금의 규정 준수 모드가 탑재되어 있습니다.

데이터 손실 복구 또는 복원 테스트에 필요한 경우 볼트가 공유되는 AWS 계정에서 볼트 내에 저장된 백업을 복원할 수 있도록 AWS Resource Access Manager (RAM)과 통합하여 논리적 에어 갭 볼트를 다른 계정(다른 조직의 계정 포함)과 공유하도록 선택할 수 있습니다.

논리적 에어 갭 저장소에서 지원되는 서비스 백업에 대한 스토리지 요금은 AWS Backup 요금 페이지에서 확인할 수 있습니다.

논리적 에어 갭 저장소에 복사할 수 있는 리소스 유형은 리소스별 기능 가용성를 참조하세요.

논리적 에어 갭 저장소의 사용 사례

논리적 에어 갭 저장소는 데이터 보호 전략의 일환으로 사용되는 보조 저장소입니다. 이 저장소는 다음과 같은 백업용 저장소가 필요한 경우, 조직의 보존 전략과 복구 기능을 향상하는 데 도움이 될 수 있습니다.

  • 규정 준수 모드에서 저장소 잠금으로 자동 설정되는 저장소

  • AWS 소유 키로 암호화되어 제공됩니다.

  • 를 통해 백업을 생성한 계정과 다른 계정과 공유하고 복원 AWS RAM할 수 있는 백업이 포함되어 있습니다.

고려 사항 및 제한 사항

  • 논리적 에어 갭 저장소를 오가는 교차 리전 복사는 현재 Amazon Aurora, Amazon DocumentDB 및 Amazon Neptune이 포함된 백업에는 사용할 수 없습니다.

  • 논리적 에어 갭 저장소로 복사되는 하나 이상의 Amazon EBS 볼륨이 포함된 백업은 16TB보다 작아야 합니다. 이보다 크기가 더 큰 이 리소스 유형에 대한 백업은 지원되지 않습니다.

  • Amazon EC2는 EC2 허용 AMIs 제공합니다. 계정에서이 설정이 활성화된 경우 허용 목록에 별칭aws-backup-vault을 추가합니다.

    이 별칭이 포함되지 않은 경우 논리적 에어 갭 볼트에서 백업 볼트로 작업을 복사하고 논리적 에어 갭 볼트에서 EC2 인스턴스의 복원 작업은 실패하며 "Source AMI ami-xxxxxx not found in Region"과 같은 오류 메시지가 표시됩니다.

  • 논리적 에어 갭 저장소에 저장된 복구 시점의 ARN(Amazon 리소스 이름)은 기본 리소스 유형 대신 backup을 갖게 됩니다. 예를 들어, 원래 ARN이 arn:aws:ec2:region::image/ami-*로 시작하는 경우 논리적 에어 갭 저장소에서 복구 시점의 ARN은 arn:aws:backup:region:account-id:recovery-point:*가 됩니다.

    list-recovery-points-by-backup-vault CLI 명령을 사용하여 ARN을 확인할 수 있습니다.

표준 백업 저장소와 비교 및 대조

백업 저장소는 AWS Backup에서 사용되는 기본 및 표준 유형의 저장소입니다. 백업이 생성될 때 각 백업은 백업 저장소에 저장됩니다. 리소스 기반 정책을 할당하여 저장소에 저장된 백업을 관리(예: 저장소 내에 저장된 백업의 수명 주기)할 수 있습니다.

논리적 에어 갭 저장소는 복구 시간(RTO) 단축을 위한 추가적인 보안 및 유연한 공유 기능을 갖춘 특수 저장소입니다. 이 저장소에는 표준 백업 저장소 내에 최초로 생성 및 저장되었던 백업 복사본이 저장됩니다.

백업 저장소는 의도한 사용자의 액세스를 제한하는 보안 메커니즘인 로 암호화할 수 있습니다. 이러한 키는 고객 관리형 또는 AWS 관리형일 수 있습니다. 또한 백업 저장소는 저장소 잠금을 통해 보안을 강화할 수 있습니다. 논리적 에어 갭 저장소는 규정 준수 모드의 저장소 잠금이 탑재되어 있습니다.

에서 완전히 관리하는 리소스 유형의 AWS Backup 경우 초기 리소스가 생성될 때 AWS KMS 키가 수동으로 변경되거나 KMS 키로 설정되지 않은 경우 백업을 논리적 에어 갭 볼트로 복사할 수 없습니다.

Feature 백업 저장소 논리적 에어 갭 저장소
AWS Backup Audit Manager AWS Backup Audit Manager컨트롤 및 문제 해결를 사용하여 백업 저장소를 모니터링할 수 있습니다. 표준 저장소에 사용할 수 있는 컨트롤 외에도, 특정 리소스의 백업 복사본이 사용자가 지정한 일정에 따라 하나 이상의 논리적 에어 갭 저장소에 복사되었는지 확인합니다.

백업 생성

백업이 생성되면 복구 시점으로 저장됩니다.

백업은 생성 시 이 저장소에 저장되지 않습니다.

백업 스토리지

리소스의 최초 백업 및 백업 복사본을 저장할 수 있음

다른 저장소의 백업 복사본을 저장할 수 있음

결제

AWS Backup 에서 완전히 관리하는 리소스에 대한 스토리지 및 데이터 전송 요금은 'AWS Backup' 아래에서 발생합니다. 다른 리소스 유형의 스토리지 및 데이터 전송 요금은 해당 개별 서비스 아래에서 발생합니다.

예를 들어, Amazon EBS 백업은 'Amazon EBS' 아래에 표시되고 Amazon S3 백업은 'AWS Backup' 아래에 표시됩니다.

이러한 저장소의 모든 청구 요금(스토리지 또는 데이터 전송)은 'AWS Backup' 아래에서 발생합니다.

리전

가 AWS Backup 작동하는 모든 리전에서 사용 가능

에서 지원하는 대부분의 리전에서 사용할 수 있습니다 AWS Backup. 현재 아시아 태평양(말레이시아), 캐나다 서부(캘거리), 중국(베이징), 중국(닝샤), AWS GovCloud(미국 동부), 또는 AWS GovCloud(미국 서부)에서는 사용할 수 없습니다.

리소스

교차 계정 복사를 지원하는 대부분의 리소스 유형에 대한 백업 사본을 저장할 수 있습니다.

Amazon RDS 및 Amazon FSx 백업 복사본은 현재 이러한 저장소에 저장할 수 없습니다.

복원

백업은 저장소가 속한 동일한 계정으로 복원할 수 있습니다.

저장소가 별도의 계정과 공유되는 경우, 백업은 저장소가 속한 계정이 아닌 다른 계정으로 복원할 수 있습니다.

보안

선택에 따라 키를 사용하여 암호화 가능(고객 관리형 또는 AWS 관리형)

규정 준수 또는 거버넌스 모드에서 저장소 잠금을 선택적으로 사용할 수 있음

AWS 소유 키로 암호화됨

규정 준수 모드에서는 항상 저장소 잠금을 사용하여 잠김

공유 중

정책 및 AWS Organizations를 통해 액세스를 관리할 수 있음

와 호환되지 않음 AWS RAM

선택에 따라 AWS RAM을 사용하여 계정 간에 공유할 수 있음

논리적 에어 갭 저장소 생성

AWS Backup 콘솔 또는 AWS Backup 및 AWS RAM CLI 명령의 조합을 통해 논리적 에어 갭 볼트를 생성할 수 있습니다.

각 논리적 에어 갭 저장소에는 규정 준수 모드에서 저장소 잠금이 장착되어 있습니다. 작업에 가장 적합한 보존 기간 값을 결정하는 데 도움이 되도록 AWS Backup 볼트 잠금을 참조하세요.

Console
콘솔에서 논리적 에어 갭 저장소 생성
  1. https://console.aws.amazon.com/backup AWS Backup 콘솔을 엽니다.

  2. 탐색 창에서 저장소를 선택합니다.

  3. 두 가지 유형의 저장소가 모두 표시됩니다. 새 저장소 생성을 선택합니다.

  4. 백업 저장소의 이름을 입력합니다. 저장소에 저장할 내용이 잘 반영되도록 저장소의 이름을 지정하거나 필요한 백업을 보다 쉽게 검색할 수 있도록 만들 수 있습니다. 예를 들어, 이름을 FinancialBackups로 지정할 수 있습니다.

  5. 논리적 에어 갭 저장소의 라디오 버튼을 선택합니다.

  6. 최소 보존 기간을 설정합니다.

    이 값(일, 월 또는 년)은 이 저장소에 백업을 보존할 수 있는 가장 짧은 기간입니다. 보존 기간이 이 값보다 짧은 백업은 이 저장소에 복사할 수 없습니다.

    허용되는 최솟값은 7일입니다. 월과 연의 값은 이 최솟값을 충족합니다.

  7. 최대 보존 기간을 설정합니다.

    이 값(일, 월 또는 년)은 이 저장소에 백업을 보존할 수 있는 가장 긴 기간입니다. 보존 기간이 이 값보다 큰 백업은 이 저장소에 복사할 수 없습니다.

  8. (선택 사항) 논리적 에어 갭 저장소를 검색하고 식별하는 데 도움이 되는 태그를 추가합니다. 예를 들어, BackupType:Financial 태그를 추가할 수 있습니다.

  9. 저장소 생성을 선택합니다.

  10. 설정을 검토합니다. 모든 설정이 의도한 대로 표시되면 논리적 에어 갭 저장소 생성을 선택합니다.

  11. 콘솔에서 새 저장소의 세부 정보 페이지로 이동합니다. 저장소 세부 정보가 예상과 같은지 확인합니다.

  12. 계정의 저장소를 보려면 저장소를 선택합니다. 논리적 에어 갭 저장소가 표시됩니다. KMS 키는 저장소 생성 후 약 1~3분 지나서 사용할 수 있습니다. 페이지를 새로 고침하여 연결된 키를 확인합니다. 키가 표시되면 저장소는 가용한 상태가 되므로 사용할 수 있습니다.

AWS CLI

CLI에서 논리적 에어 갭 저장소 생성

AWS CLI 를 사용하여 논리적 에어 갭 저장소에 대한 작업을 프로그래밍 방식으로 수행할 수 있습니다. 각 CLI는 해당 CLI가 시작된 AWS 서비스에만 적용됩니다. 공유와 관련된 명령은 앞에 aws ram이 추가되고, 다른 모든 명령은 앞에 aws backup이 추가됩니다.

다음 파라미터를 통해 수정한 create-logically-air-gapped-backup-vault CLI 명령을 사용합니다.

aws backup create-logically-air-gapped-backup-vault --region us-east-1 // optional --backup-vault-name sampleName // required --min-retention-days 7 // required Value must be an integer 7 or greater --max-retention-days 35 // required --creator-request-id 123456789012-34567-8901 // optional

논리적 에어 갭 저장소를 생성하는 CLI 명령의 예:

aws backup create-logically-air-gapped-backup-vault --region us-east-1 --backup-vault-name sampleName --min-retention-days 7 --max-retention-days 35 --creator-request-id 123456789012-34567-8901 // optional

생성 작업 후의 자세한 내용은 CreateLogicallyAirGappedBackupVault API 응답 요소를 참조하세요. 작업이 성공하면 새로운 논리적 에어 갭 저장소의 VaultState는 CREATING입니다.

생성이 완료되고 KMS 암호화 키가 할당되면 VaultState가 AVAILABLE로 전환됩니다. 가용한 상태가 되면 저장소를 사용할 수 있습니다. VaultStateDescribeBackupVault 또는 ListBackupVaults를 직접적으로 호출하여 검색할 수 있습니다.

논리적 에어 갭 저장소의 세부 정보 보기

AWS Backup 콘솔 또는 CLI를 통해 요약, 복구 시점, 보호된 리소스, 계정 공유, 액세스 정책 및 태그와 같은 볼트 세부 정보를 볼 수 있습니다 AWS Backup .

Console
  1. https://console.aws.amazon.com/backup AWS Backup 콘솔을 엽니다.

  2. 왼쪽 탐색 창에서 저장소를 선택합니다.

  3. 저장소의 설명 아래에는 이 계정이 소유한 저장소이 계정으로 공유하는 저장소라는 두 가지 목록이 있습니다. 저장소를 보려면 원하는 탭을 선택합니다.

  4. 저장소 이름 아래에서 저장소 이름을 클릭하여 세부 정보 페이지를 엽니다. 요약, 복구 시점, 보호된 리소스, 계정 공유, 액세스 정책, 태그 세부 정보를 볼 수 있습니다.

    계정 유형에 따라 세부 정보가 표시됩니다. 저장소를 소유한 계정은 계정 공유를 볼 수 있으며, 저장소를 소유하지 않은 계정은 계정 공유를 볼 수 없습니다.

AWS CLI

CLI를 통해 논리적 에어 갭 저장소의 세부 정보 보기

describe-backup-vault CLI 명령을 사용하여 저장소에 대한 세부 정보를 얻을 수 있습니다. backup-vault-name 파라미터는 필수 사항이지만, region은 선택 사항입니다.

aws backup describe-backup-vault --region us-east-1 --backup-vault-name testvaultname

응답 예시:

{ "BackupVaultName": "LOG-AIR-GAP-VAULT-TEST", "BackupVaultArn": "arn:aws:backup:us-east-1:234567890123:backup-vault:IAD-LAGV-01", "VaultType": "LOGICALLY_AIR_GAPPED_BACKUP_VAULT", "CreationDate": "2024-07-25T16:05:23.554000-07:00", "NumberOfRecoveryPoints": 0, "Locked": true, "MinRetentionDays": 8, "MaxRetentionDays": 30, "LockDate": "2024-07-25T16:05:23.554000-07:00" }

논리적 에어 갭 저장소로 복사

논리적 에어 갭 저장소는 백업 계획의 복사 작업 대상 또는 온디맨드 복사 작업의 대상만 될 수 있습니다.

호환되는 암호화

백업 저장소에서 논리적 에어 갭 저장소로 복사 작업을 성공적으로 수행하려면 복사되는 리소스 유형에 따라 결정되는 암호화 키가 필요합니다.

완전 관리형 리소스 유형의 백업을 복사하면 (표준 백업 저장소)의 소스 백업을 고객 관리형 키 또는 AWS 관리형 키로 암호화할 수 있습니다.

다른 리소스 유형(완전히 관리되지 않는 유형)의 백업을 복사하는 경우 백업과 백업한 리소스를 모두 고객 관리형 키로 암호화해야 합니다. 리소스 유형에 대한 AWS 관리형 키는 복사에 지원되지 않습니다.

백업 계획을 통해 논리적 에어 갭 저장소로 복사

새 백업 계획을 생성하거나 콘솔에서 기존 백업 계획을 업데이트하거나 및 명령을 통해 표준 백업 저장소에서 논리적 에어 갭 저장소로 백업(복구 지점)을 복사할 수 있습니다update-backup-plan. 백업 계획 업데이트 AWS Backup AWS CLI create-backup-plan

온디맨드 방식으로 한 논리적 에어 갭 저장소에서 다른 논리적 에어 갭 저장소로 백업을 복사할 수 있습니다(이러한 유형의 백업은 백업 계획에서 예약할 수 없음). 고객 관리형 키로 복사본을 암호화하는 한, 논리적 에어 갭 저장소에서 표준 백업 저장소로 백업을 복사할 수 있습니다.

논리적 에어 갭 저장소로 온디맨드 백업 복사

논리적 에어 갭 저장소에 백업의 일회성 온디맨드 복사본을 생성하려면 표준 백업 저장소에서 복사하면 됩니다. 리소스 유형이 복사 유형을 지원하는 경우, 교차 리전 복사본이나 교차 계정 복사본을 사용할 수 있습니다.

복사본 가용성

저장소가 속한 계정으로부터 백업 복사본을 생성할 수 있습니다. 저장소가 공유된 계정은 백업을 보거나 복원할 수는 있지만, 복사본을 생성할 수는 없습니다.

교차 리전 복사나 교차 계정 복사를 지원하는 리소스 유형만 포함될 수 있습니다.

Console
  1. https://console.aws.amazon.com/backup AWS Backup 콘솔을 엽니다.

  2. 왼쪽 탐색 창에서 저장소를 선택합니다.

  3. 저장소 세부 정보 페이지에는 해당 저장소 내의 모든 복구 시점이 표시됩니다. 복사하려는 복구 시점 옆에 체크 표시를 합니다.

  4. 작업을 선택한 다음, 드롭다운 메뉴에서 복사를 선택합니다.

  5. 다음 화면에서 대상의 세부 정보를 입력합니다.

    1. 대상 리전을 지정합니다.

    2. 대상 백업 저장소 드롭다운 메뉴에 적합한 대상 저장소가 표시됩니다. 유형이 logically air-gapped vault인 항목을 선택합니다.

  6. 모든 세부 정보가 기본 설정으로 설정되면 복사를 선택합니다.

콘솔의 작업 페이지에서 복사 작업을 선택하여 현재의 복사 작업을 볼 수 있습니다.

AWS CLI

start-copy-job을 사용하여 백업 저장소의 기존 백업을 논리적 에어 갭 저장소로 복사할 수 있습니다.

CLI 입력 샘플:

aws backup start-copy-job --region us-east-1 --recovery-point-arn arn:aws:resourcetype:region::snapshot/snap-12345678901234567 --source-backup-vault-name sourcevaultname --destination-backup-vault-arn arn:aws:backup:us-east-1:123456789012:backup-vault:destinationvaultname --iam-role-arn arn:aws:iam::123456789012:role/service-role/servicerole

자세한 내용은 백업 복사, 교차 리전 백업, 교차 계정 백업을 참조하세요.

논리적 에어 갭 저장소 공유

AWS Resource Access Manager (RAM)을 사용하여 지정한 다른 계정과 논리적 에어 갭 볼트를 공유할 수 있습니다.

저장소는 자기 조직의 계정 또는 다른 조직의 계정과 공유할 수 있습니다. 이 저장소는 전체 조직과 공유할 수 없으며, 특정 조직 내 계정과만 공유할 수 있습니다.

특정 IAM 권한이 있는 계정만 볼트 공유를 공유하고 관리할 수 있습니다.

를 사용하여 공유하려면 다음이 있어야 AWS RAM합니다.

  • 에 액세스할 수 있는 두 개 이상의 계정 AWS Backup

  • 공유하려는 저장소 소유 계정에는 필요한 RAM 권한이 있어야 합니다. 이 절차를 수행하려면 ram:CreateResourceShare 권한이 필요합니다. AWSResourceAccessManagerFullAccess 정책에는 다음과 같은 모든 필요한 RAM 관련 권한이 포함되어 있습니다.

    • backup:DescribeBackupVault

    • backup:DescribeRecoveryPoint

    • backup:GetRecoveryPointRestoreMetadata

    • backup:ListProtectedResourcesByBackupVault

    • backup:ListRecoveryPointsByBackupVault

    • backup:ListTags

    • backup:StartRestoreJob

  • 논리적 에어 갭 저장소 1개 이상

Console
  1. https://console.aws.amazon.com/backup AWS Backup 콘솔을 엽니다.

  2. 왼쪽 탐색 창에서 저장소를 선택합니다.

  3. 저장소의 설명 아래에는 이 계정이 소유한 저장소이 계정으로 공유하는 저장소라는 두 가지 목록이 있습니다. 이 계정이 소유한 저장소는 공유할 수 있습니다.

  4. 저장소 이름 아래에서 논리적 에어 갭 저장소의 이름을 선택하여 세부 정보 페이지를 엽니다.

  5. 계정 공유 창에 저장소를 공유 중인 계정이 표시됩니다.

  6. 다른 계정과 공유를 시작하거나 이미 공유 중인 계정을 편집하려면 공유 관리를 선택합니다.

  7. 공유 관리를 선택하면 AWS RAM 콘솔이 열립니다. AWS RAM을 사용하여 리소스를 공유하는 단계는 RAM AWS 사용 설명서AWS RAM에서 리소스 공유 생성을 참조하세요.

  8. 공유를 수신하기 위한 초대를 수락하도록 초대된 계정은 12시간 이내에 초대를 수락해야 합니다. AWS RAM 사용 설명서 리소스 공유 초대 수락 및 거부를 참조하세요.

  9. 공유 단계가 완료되고 수락되면 계정 공유 = "공유함 - 아래 계정 공유 표 참조" 아래에 저장소 요약 페이지가 표시됩니다.

AWS CLI

AWS RAM 는 CLI 명령를 사용합니다create-resource-share. 이 명령에 대한 액세스는 충분한 권한이 있는 계정에만 제공됩니다. CLI 단계는 Creating a resource share in AWS RAM을 참조하세요.

1~4단계는 논리적 에어 갭 저장소를 소유한 계정을 사용하여 수행됩니다. 5~8단계는 논리적 에어 갭 저장소를 공유할 계정을 사용하여 수행됩니다.

  1. 소유한 계정으로 로그인하거나, 소스 계정에 액세스할 수 있는 충분한 보안 인증을 가진 조직의 사용자에게 이 단계를 완료해 달라고 요청합니다.

    1. 이전에 리소스 공유를 생성했고 추가적인 리소스를 추가하려는 경우, 새 저장소의 ARN과 함께 CLI associate-resource-share를 대신 사용하세요.

  2. RAM을 통해 공유할 수 있는 충분한 권한이 있는 역할의 보안 인증을 가져옵니다. 이를 CLI에 입력합니다.

    1. 이 절차를 수행하려면 ram:CreateResourceShare 권한이 필요합니다. AWSResourceAccessManagerFullAccess 정책에는 모든 RAM 관련 권한이 포함되어 있습니다.

  3. create-resource-share를 사용합니다.

    1. 논리적 에어 갭 저장소의 ARN을 포함합니다.

    2. 입력 예:

      aws ram create-resource-share --name MyLogicallyAirGappedVault --resource-arns arn:aws:backup:us-east-1:123456789012:backup-vault:test-vault-1 --principals 123456789012 --region us-east-1
    3. 출력 예:

      { "resourceShare":{ "resourceShareArn":"arn:aws:ram:us-east-1:123456789012:resource-share/12345678-abcd-09876543", "name":"MyLogicallyAirGappedVault", "owningAccountId":"123456789012", "allowExternalPrincipals":true, "status":"ACTIVE", "creationTime":"2021-09-14T20:42:40.266000-07:00", "lastUpdatedTime":"2021-09-14T20:42:40.266000-07:00" } }
  4. 출력에 리소스 공유 ARN을 복사합니다(이후 단계에 필요). 공유를 수신하기 위해 초대하는 계정의 운영자에게 ARN을 제공합니다.

  5. 리소스 공유 ARN 받기

    1. 1~4단계를 수행하지 않았다면 수행한 사람을 통해 resourceShareArn을 받습니다.

    2. 예제: arn:aws:ram:us-east-1:123456789012:resource-share/12345678-abcd-09876543

  6. CLI에서는 수신자 계정의 보안 인증을 수임합니다.

  7. get-resource-share-invitations를 사용하여 리소스 공유 초대를 받습니다. 자세한 내용은 AWS RAM 사용 설명서 Accepting and rejecting invitations를 참조하세요.

  8. 대상(복구) 계정의 초대를 수락합니다.

    1. accept-resource-share-invitation을 사용합니다(reject-resource-share-invitation도 사용 가능).

AWS RAM CLI 명령을 사용하여 공유 항목을 볼 수 있습니다.

  • 공유한 리소스:

    aws ram list-resources --resource-owner SELF --resource-type backup:backup-vault --region us-east-1

  • 보안 주체 표시:

    aws ram get-resource-share-associations --association-type PRINCIPAL --region us-east-1

  • 다른 계정이 공유하는 리소스:

    aws ram list-resources --resource-owner OTHER-ACCOUNTS --resource-type backup:backup-vault --region us-east-1

논리적 에어 갭 저장소에서 백업 복원

논리적 에어 갭 저장소에 저장된 백업을 저장소를 소유한 계정이나 저장소를 공유한 계정으로 복원할 수 있습니다.

AWS Backup 콘솔을 통해 복구 시점을 복원하는 방법에 대한 자세한 내용은 백업 복원을 참조하세요.

논리적 에어 갭 저장소에서 자신의 계정으로 백업을 공유한 후에는 start-restore-job을 사용하여 해당 백업을 복원할 수 있습니다.

CLI 입력 샘플에는 다음의 명령 및 파라미터가 포함될 수 있습니다.

aws backup start-restore-job --recovery-point-arn arn:aws:backup:us-east-1:accountnumber:recovery-point:RecoveryPointID --metadata {\"availabilityzone\":\"us-east-1d\"} --idempotency-token TokenNumber --resource-type ResourceType --iam-role arn:aws:iam::number:role/service-role/servicerole --region us-east-1

논리적 에어 갭 저장소 삭제

볼트 삭제를 참조하세요. 저장소에 백업(복구 시점)이 아직 포함되어 있는 경우 저장소를 삭제할 수 없습니다. 삭제 작업을 시작하기 전에 저장소에 백업이 남아 있지 않은지 확인하세요.

저장소를 삭제하면 키 삭제 정책에 따라 저장소가 삭제된 후 7일 지나면 저장소와 연결된 키도 삭제됩니다.

아래의 CLI 명령 샘플 delete-backup-vault를 사용하여 저장소를 삭제할 수 있습니다.

aws backup delete-backup-vault --region us-east-1 --backup-vault-name testvaultname

논리적 에어 갭 저장소에 대한 추가 프로그래밍 옵션

CLI 명령 list-backup-vaults를 수정하여 계정이 소유하고 있고 계정에 존재하는 모든 저장소를 나열할 수 있습니다.

aws backup list-backup-vaults --region us-east-1

논리적 에어 갭 저장소만 나열하려면 다음 파라미터를 추가합니다.

--by-vault-type LOGICALLY_AIR_GAPPED_BACKUP_VAULT

반환된 저장소 목록을 필터링하여 공유된 논리적 에어 갭 저장소만 표시하려면 by-shared 파라미터를 포함합니다.

aws backup list-backup-vaults --region us-east-1 --by-shared

논리적 에어 갭 저장소의 문제 해결

워크플로우 중에 오류가 발생하는 경우, 다음 오류 예시와 권장 해결 방법을 참조하세요.

AccessDeniedException

오류: An error occured (AccessDeniedException) when calling the [command] operation: Insufficient privileges to perform this action."

가능한 원인: 다음 요청 중 하나가 RAM에서 공유한 저장소에서 실행되었을 때 --backup-vault-account-id 파라미터가 포함되지 않았습니다.

  • describe-backup-vault

  • describe-recovery-point

  • get-recovery-point-restore-metadata

  • list-protected-resources-by-backup-vault

  • list-recovery-points-by-backup-vault

해결 방법: 오류를 반환한 명령을 다시 시도하되, 저장소를 소유한 계정을 지정하는 --backup-vault-account-id 파라미터를 포함합니다.

OperationNotPermittedException

오류: CreateResourceShare 직접 호출 후에 OperationNotPermittedException이 반환됩니다.

가능한 원인: 논리적 에어 갭 저장소와 같은 리소스를 다른 조직과 공유하려고 한 경우, 이 예외가 발생할 수 있습니다. 저장소는 다른 조직의 계정과 공유할 수 있지만, 다른 조직 자체와 공유할 수는 없습니다.

해결 방법: 해당 작업을 다시 시도하되, 조직 또는 OU 대신 principals의 값으로 계정을 지정합니다.