기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
논리적 에어갭 볼트
논리적 에어 갭 볼트 개요
AWS Backup 는 추가 보안 기능이 있는 컨테이너에 백업 사본을 저장할 수 있는 보조 유형의 저장소를 제공합니다. 논리적으로 에어 갭된 볼트는 표준 백업 볼트를 넘어 향상된 보안과 다른 계정에 대한 볼트 액세스를 공유할 수 있는 기능을 제공하는 특수 볼트로, 빠른 리소스 복원이 필요한 인시던트 발생 시 복구 시간 목표(RTOs)를 더 빠르고 유연하게 수행할 수 있습니다.
논리적으로 에어갭된 볼트에는 추가 보호 기능이 탑재되어 있습니다. 각 볼트는 AWS 소유 키 로 암호화되며 각 볼트에는 AWS Backup 볼트 잠금의 규정 준수 모드가 탑재되어 있습니다.
데이터 손실 복구 또는 복원 테스트에 필요한 경우 저장소가 공유되는 AWS 계정에서 저장소 내에 저장된 백업을 복원할 수 있도록 AWS Resource Access Manager (RAM)와 통합하여 논리적으로 에어갭된 저장소를 다른 계정(다른 조직의 계정 포함)과 공유하도록 선택할 수 있습니다.
논리적으로 에어갭이 적용된 볼트의 요금 페이지에서 지원되는 서비스 백업에 대한 스토리지 AWS Backup 요금을
논리적으로 에어갭 볼트에 복사할 수 있는 리소스별 기능 가용성 리소스 유형은 섹션을 참조하세요.
주제
논리적 에어갭 볼트 사용 사례
논리적 에어 갭 처리 저장소는 데이터 보호 전략의 일환으로 사용되는 보조 저장소입니다. 이 저장소는 백업을 위한 저장소를 원할 때 조직의 보존 전략 및 복구를 개선하는 데 도움이 될 수 있습니다.
-
규정 준수 모드에서 볼트 잠금으로 자동 설정됩니다.
-
AWS 소유 키로 암호화되어 제공됩니다.
-
를 통해 백업을 생성한 계정과 다른 계정과 공유하고 복원 AWS RAM할 수 있는 백업이 포함되어 있습니다.
고려 사항 및 제한 사항
-
논리적으로 에어갭된 볼트를 오가는 리전 간 복사는 현재 Amazon Aurora, Amazon DocumentDB 및 Amazon Neptune이 포함된 백업에는 사용할 수 없습니다.
-
논리적으로 에어갭 볼트로 복사되는 하나 이상의 Amazon EBS 볼륨이 포함된 백업은 16TB보다 작아야 합니다. 크기가 더 큰 이 리소스 유형에 대한 백업은 지원되지 않습니다.
-
논리적 에어갭 볼트에 대한 Amazon S3 지원은 옵트인이 필요하지 않은 리전만 사용할 수 있습니다.
-
논리적으로 에어갭된 볼트에 저장된 복구 지점의 ARN (Amazon 리소스 이름)은 기본 리소스 유형
backup
대신 를 갖습니다. 예를 들어 원본이arn:aws:ec2:
로 ARN 시작하는 경우 논리적으로 에어갭된 볼트의 ARN 복구 지점 는 입니다region
::image/ami-*arn:aws:backup:
.region
:account-id
:recovery-point:*CLI 명령을 사용하여 를
list-recovery-points-by-backup-vault
결정할 수 있습니다ARN.
표준 백업 저장소와 비교 및 대조
백업 저장소는 AWS Backup에서 사용되는 기본 및 표준 유형의 저장소입니다. 백업이 생성될 때 각 백업은 백업 저장소에 저장됩니다. 리소스 기반 정책을 할당하여 저장소에 저장된 백업을 관리(예: 저장소 내에 저장된 백업의 수명 주기)할 수 있습니다.
논리적으로 에어 갭된 볼트는 더 빠른 복구 시간을 위한 추가 보안 및 유연한 공유를 갖춘 특수 볼트입니다(RTO). 이 저장소에는 표준 백업 저장소 내에 최초로 생성 및 저장되었던 백업 복사본이 저장됩니다.
백업 저장소는 의도한 사용자의 액세스를 제한하는 보안 메커니즘인 키로 암호화할 수 있습니다. 이러한 키는 고객 관리형 또는 AWS 관리형일 수 있습니다. 또한 백업 저장소는 저장소 잠금을 통해 추가 보안을 가질 수 있습니다. 논리적으로 에어갭된 저장소에는 규정 준수 모드의 저장소 잠금이 장착되어 있습니다.
에서 완전히 관리하는 리소스 유형의 AWS Backup 경우 초기 리소스가 생성될 때 AWS KMS 키를 수동으로 변경하거나 KMS 키로 설정하지 않은 경우 논리적으로 에어갭된 볼트로 백업을 복사할 수 없습니다.
기능 | 백업 저장소 | 논리적 에어갭 볼트 |
---|---|---|
AWS Backup 감사 관리자 | AWS Backup Audit Manager컨트롤 및 문제 해결를 사용하여 백업 볼트를 모니터링할 수 있습니다. | 특정 리소스의 백업 사본이 표준 볼트에 사용할 수 있는 제어 외에도 사용자가 결정한 일정에 따라 논리적으로 에어갭이 있는 하나 이상의 볼트에 복사되었는지 확인합니다. |
백업이 생성되면 복구 시점으로 저장됩니다. |
생성 시 백업은 이 볼트에 저장되지 않습니다. |
|
리소스의 최초 백업 및 백업 복사본을 저장할 수 있음 |
다른 저장소의 백업 복사본을 저장할 수 있음 |
|
결제 |
에서 AWS Backup 완전히 관리하는 리소스에 대한 스토리지 및 데이터 전송 요금은 “AWS Backup”에서 발생합니다. 다른 리소스 유형 스토리지 및 데이터 전송 요금은 해당 서비스에 따라 발생합니다. 예를 들어 Amazon EBS 백업은 “AmazonEBS” 아래에 표시되고 Amazon S3 백업은 “AWS Backup” 아래에 표시됩니다. |
이러한 볼트(스토리지 또는 데이터 전송)의 모든 청구 요금은 “AWS Backup”에서 발생합니다. |
가 AWS Backup 작동하는 모든 리전에서 사용 가능 |
에서 지원하는 대부분의 리전에서 사용할 수 있습니다 AWS Backup. 현재 아시아 태평양(말레이시아), 캐나다 서부(캘거리), 중국(베이징), 중국(닝샤), AWS GovCloud (미국 동부) 또는 AWS GovCloud (미국 서부)에서는 사용할 수 없습니다. |
|
교차 계정 복사를 지원하는 대부분의 리소스 유형에 대한 백업 사본을 저장할 수 있습니다. |
Amazon RDS 및 Amazon FSx 백업 복사본은 현재 이러한 볼트에 저장할 수 없습니다. |
|
백업은 볼트가 속한 것과 동일한 계정으로 복원할 수 있습니다. |
볼트가 별도의 계정과 공유되는 경우 볼트가 속한 계정과 다른 계정으로 백업을 복원할 수 있습니다. |
|
선택에 따라 키를 사용하여 암호화 가능(고객 관리형 또는 AWS 관리형) 규정 준수 또는 거버넌스 모드에서 볼트 잠금을 선택적으로 사용할 수 있습니다. |
규정 준수 모드에서는 항상 저장소 잠금을 사용하여 잠김 |
|
정책 및 AWS Organizations를 통해 액세스를 관리할 수 있음 와 호환되지 않음 AWS RAM |
선택에 따라 AWS RAM을 사용하여 계정 간에 공유할 수 있음 |
논리적으로 에어갭 볼트 생성
AWS Backup 콘솔 또는 AWS Backup 및 AWS RAM CLI 명령 조합을 통해 논리적으로 에어갭 볼트를 생성할 수 있습니다.
논리적으로 에어 갭핑된 각 에는 규정 준수 모드에서 볼트 잠금이 장착되어 있습니다. 작업에 가장 적합한 보존 기간 값을 AWS Backup 볼트 잠금 확인하려면 섹션을 참조하세요.
논리적 에어갭 볼트 세부 정보 보기
AWS Backup 콘솔 또는 를 통해 요약, 복구 시점, 보호된 리소스, 계정 공유, 액세스 정책 및 태그와 같은 볼트 세부 정보를 볼 수 있습니다 AWS Backup CLI.
논리적으로 에어갭된 볼트로 복사
논리적 에어 갭 처리 저장소는 백업 계획의 복사 작업 대상 또는 온디맨드 복사 작업의 대상만 될 수 있습니다.
호환되는 암호화
백업 볼트에서 논리적으로 에어갭 볼트로 작업을 성공적으로 복사하려면 복사되는 리소스 유형에 따라 결정되는 암호화 키가 필요합니다.
완전 관리형 리소스 유형 의 백업을 복사하면 (표준 백업 볼트)의 소스 백업을 고객 관리형 키 또는 AWS 관리형 키로 암호화할 수 있습니다.
다른 리소스 유형(완전히 관리되지 않는 )의 백업을 복사할 때는 백업과 백업한 리소스를 모두 고객 관리형 키로 암호화해야 합니다. 리소스 유형에 대한 AWS 관리형 키는 복사본에 대해 지원되지 않습니다.
백업 계획을 통해 논리적으로 에어갭 볼트에 복사
새 백업 계획을 생성하거나 콘솔에서 기존 백업 계획을 업데이트하거나 및 명령을 통해 표준 백업 볼트에서 논리적으로 에어갭된 볼트로 백업(복구 시점)을 복사할 수 있습니다update-backup-plan
create-backup-plan
논리적으로 에어갭된 한 볼트에서 다른 논리적으로 에어갭된 볼트 온디맨드로 백업을 복사할 수 있습니다(이 유형의 백업은 백업 계획에서 예약할 수 없음). 고객 관리형 키로 복사본을 암호화하는 한 논리적으로 에어갭된 볼트에서 표준 백업 볼트로 백업을 복사할 수 있습니다.
논리적으로 에어갭된 볼트에 대한 온디맨드 백업 복사본
논리적으로 에어갭이 있는 볼트에 백업의 일회성 온디맨드 복사본을 생성하려면 표준 백업 볼트에서 복사할 수 있습니다. 리소스 유형이 복사 유형을 지원하는 경우 교차 리전 또는 교차 계정 복사본을 사용할 수 있습니다.
복사 가용성
볼트가 속한 계정에서 백업 사본을 생성할 수 있습니다. 저장소가 공유된 계정은 백업을 보거나 복원할 수 있지만 복사본을 생성할 수는 없습니다.
리전 간 또는 계정 간 복사를 지원하는 리소스 유형만 포함할 수 있습니다.
자세한 내용은 백업 복사, 교차 리전 백업, 교차 계정 백업을 참조하세요.
논리적으로 에어갭된 볼트 공유
AWS Resource Access Manager (RAM)를 사용하여 논리적으로 에어갭 볼트를 지정한 다른 계정과 공유할 수 있습니다.
볼트는 조직의 계정 또는 다른 조직의 계정과 공유할 수 있습니다. 볼트는 전체 조직과 공유할 수 없으며 조직 내 계정과만 공유할 수 있습니다.
특정 IAM 권한이 있는 계정만 계정 공유를 공유하고 관리할 수 있습니다.
를 사용하여 공유하려면 다음이 있어야 AWS RAM합니다.
-
액세스할 수 있는 두 개 이상의 계정 AWS Backup
-
공유하려는 볼트 소유 계정에는 필요한 RAM 권한이 있습니다. 이 절차를 수행하려면
ram:CreateResourceShare
권한이 필요합니다. 정책에는 필요한 모든 RAM관련 권한이AWSResourceAccessManagerFullAccess
포함되어 있습니다.-
backup:DescribeBackupVault
-
backup:DescribeRecoveryPoint
-
backup:GetRecoveryPointRestoreMetadata
-
backup:ListProtectedResourcesByBackupVault
-
backup:ListRecoveryPointsByBackupVault
-
backup:ListTags
-
backup:StartRestoreJob
-
-
논리적 에어 갭 처리 저장소 1개 이상
논리적으로 에어갭된 볼트에서 백업 복원
볼트를 소유한 계정 또는 볼트가 공유된 계정에서 논리적으로 에어갭된 볼트에 저장된 백업을 복원할 수 있습니다.
AWS Backup 콘솔을 통해 복구 시점을 복원하는 방법에 대한 자세한 내용은 백업 복원을 참조하세요.
논리적으로 에어갭된 볼트에서 계정으로 백업을 공유한 후에는 start-restore-job
샘플 CLI 입력에는 다음 명령 및 파라미터가 포함될 수 있습니다.
aws backup start-restore-job --recovery-point-arn
arn:aws:backup:us-east-1:accountnumber:recovery-point:RecoveryPointID
--metadata {\"availabilityzone\":\"us-east-1d\"} --idempotency-token TokenNumber --resource-type ResourceType --iam-role arn:aws:iam::number:role/service-role/servicerole --region us-east-1
논리적으로 에어갭된 볼트 삭제
저장소를 삭제하려면 백업 저장소 삭제를 참조하세요. 저장소에 백업(복구 시점)이 아직 포함되어 있는 경우 저장소를 삭제할 수 없습니다. 삭제 작업을 시작하기 전에 저장소에 백업이 남아 있지 않은지 확인하세요.
또한 저장소를 삭제하면 키 삭제 정책에 따라 저장소가 삭제된 후 7일 후에 저장소와 연결된 키도 삭제됩니다.
다음 샘플 CLI 명령을 사용하여 볼트를 삭제할 delete-backup-vault
aws backup delete-backup-vault --region us-east-1 --backup-vault-name
testvaultname
논리적으로 에어갭 볼트에 대한 추가 프로그래밍 옵션
CLI 명령은 계정에서 소유하고 있는 모든 볼트를 나열하도록 수정할 list-backup-vaults
수 있습니다.
aws backup list-backup-vaults --region us-east-1
논리적 에어 갭 처리 저장소만 나열하려면 파라미터를 추가합니다.
--by-vault-type LOGICALLY_AIR_GAPPED_BACKUP_VAULT
반환된 볼트 목록을 필터링by-shared
하여 논리적으로 에어갭된 공유 볼트만 표시하도록 파라미터를 포함합니다.
aws backup list-backup-vaults --region us-east-1 --by-shared
논리적으로 에어갭된 볼트 문제 해결
워크플로 중에 오류가 발생하면 다음 예제 오류 및 제안된 해결 방법을 참조하세요.
AccessDeniedException
오류: An error occured (AccessDeniedException) when calling
the [command] operation: Insufficient privileges to perform this action."
가능한 원인: 다음 요청 중 하나가 에서 공유한 볼트에서 실행될 때 파라미터가 포함되지 --backup-vault-account-id
않았습니다RAM.
describe-backup-vault
describe-recovery-point
get-recovery-point-restore-metadata
list-protected-resources-by-backup-vault
list-recovery-points-by-backup-vault
해결 방법: 오류를 반환한 명령을 다시 시도하되 저장소를 소유--backup-vault-account-id
한 계정을 지정하는 파라미터를 포함합니다.
OperationNotPermittedException
오류: CreateResourceShare
호출 후 가 반환OperationNotPermittedException
됩니다.
가능한 원인: 논리적으로 에어갭 볼트와 같은 리소스를 다른 조직과 공유하려고 하면 이 예외가 발생할 수 있습니다. 볼트는 다른 조직의 계정과 공유할 수 있지만 다른 조직 자체와 공유할 수는 없습니다.
해결 방법: 작업을 재시도하지만 조직 또는 OU principals
대신 의 값으로 계정을 지정합니다.