AWS Backup 저장소 잠금

AWS Backup 저장소 잠금은 백업 저장소의 선택적 기능으로, 백업 저장소에 대한 추가적인 보안 및 제어 기능을 제공하는 데 유용할 수 있습니다. 규정 준수 모드에서 잠금이 활성화되어 있고 유예 시간이 끝나는 경우, 저장소 구성은 복구 시점을 포함하는 한 고객, 계정/데이터 소유자 또는 AWS가 변경하거나 삭제할 수 없습니다. 각 저장소에는 저장소 잠금이 하나씩 준비된 상태일 수 있습니다.

AWS Backup은 보존 기간이 만료될 때까지 백업을 사용할 수 있도록 합니다. 모든 사용자(루트 사용자 포함)가 백업을 삭제하거나 잠긴 저장소의 수명 주기 속성을 변경하려고 하면 AWS Backup이 작업을 거부합니다.

저장소 잠금 모드

저장소 잠금을 생성할 경우, 거버넌스 모드 또는 규정 준수 모드라는 두 가지 모드 중에서 하나를 선택할 수 있습니다. 거버넌스 모드는 충분한 IAM 권한을 가진 사용자만 저장소를 관리할 수 있도록 하기 위한 모드입니다. 거버넌스 모드는 지정된 담당자만 백업 저장소를 변경할 수 있도록 보장하므로, 조직이 거버넌스 요구 사항을 충족하는 데 도움이 됩니다. 규정 준수 모드는 데이터 보존 기간이 완료될 때까지 저장소(및 더 나아가 저장소의 콘텐츠)가 삭제되거나 변경되지 않아야 하는 백업 저장소를 위한 모드입니다. 규정 준수 모드에서 저장소가 잠기면 변경이 불가능하며, 다시 말해 잠금을 제거할 수 없습니다(저장소 자체가 비어 있고 복구 시점이 없는 경우 삭제할 수 있음).

거버넌스 모드에서 잠긴 저장소는 적절한 IAM 권한이 있는 사용자가 관리하거나 삭제할 수 있습니다.

규정 준수 모드의 저장소 잠금은 다른 사용자 또는 AWS가 변경하거나 삭제할 수 없습니다. 규정 준수 모드의 저장소 잠금은 설정한 유예 기간이 지나면 잠기고, 콘텐츠와 저장소 잠금은 변경이 불가능해집니다.

저장소 잠금의 이점

AWS Backup 저장소 잠금은 다음과 같은 여러 가지 이점을 제공합니다.

콘솔을 사용하여 백업 저장소 잠그기

백업 콘솔을 사용하여 AWS Backup 저장소에 저장소 잠금을 추가할 수 있습니다.

단계를 성공적으로 완료하면 콘솔 상단에 "성공" 배너가 나타납니다.

프로그래밍 방식으로 백업 저장소 잠그기

AWS Backup 저장소 잠금을 구성하려면 PutBackupVaultLockConfiguration API를 사용합니다. 포함할 파라미터는 사용하려는 저장소 잠금 모드에 따라 달라집니다. 거버넌스 모드에서 저장소 잠금을 생성하려는 경우에는 ChangeableForDays를 포함하지 마세요. 이 파라미터를 포함하면 규정 준수 모드에서 저장소 잠금이 생성됩니다.

다음은 규정 준수 모드 저장소 잠금 생성의 CLI 예제입니다.

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --changeable-for-days 3 \
        --min-retention-days 7 \
        --max-retention-days 30

다음은 거버넌스 모드 저장소 잠금 생성의 CLI 예제입니다.

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --min-retention-days 7 \
        --max-retention-days 30

네 가지 옵션을 구성할 수 있습니다.

백업 저장소의 AWS Backup 저장소 잠금 구성 검토

DescribeBackupVault 또는 ListBackupVaults API를 호출하여 언제든지 저장소의 AWS Backup 저장소 잠금 세부 정보를 검토할 수 있습니다.

백업 저장소에 저장소 잠금을 적용했는지 확인하려면 DescribeBackupVault를 호출하고 Locked 속성을 확인합니다. 아래의 예제처럼 "Locked": true인 경우, AWS Backup 백업 잠금을 백업 저장소에 적용한 것입니다.

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 1,
    "Locked": true,
    "MinRetentionDays": 7,
    "MaxRetentionDays": 30,
    "LockDate": "2021-09-30T10:12:38.089000-07:00"
}

앞의 출력은 다음 옵션을 확인합니다.

아래의 예제처럼 "Locked":false인 경우, 저장소 잠금을 적용하지 않았거나 이전 저장소 잠금이 삭제된 것입니다.

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 3,
    "Locked": false
}

유예 시간 중에 저장소 잠금 제거(규정 준수 모드)

AWS Backup 콘솔을 사용하여 유예 시간(저장소를 잠근 이후와 LockDate 이전까지의 시간) 중에 저장소 잠금을 삭제하려면

단계를 성공적으로 모두 완료하면 콘솔 화면의 상단에 성공 배너가 나타납니다.

CLI 명령을 사용하여 유예 시간 중에 저장소 잠금을 삭제하려면 아래의 CLI 예제처럼 DeleteBackupVaultLockConfiguration을 사용하세요.

aws backup delete-backup-vault-lock-configuration \
          --backup-vault-name my_vault_to_lock

잠긴 저장소가 있는 AWS 계정 폐쇄

백업 저장소가 포함된 AWS 계정 계정을 폐쇄할 경우, AWS 및 AWS Backup은 백업을 그대로 유지한 상태로 90일 동안 계정을 일시 중지합니다. 90일 동안 계정을 다시 열지 않으면 AWS Backup 저장소 잠금이 설치되어 있더라도 AWS가 백업 저장소의 콘텐츠를 삭제합니다.

추가 보안 고려 사항

AWS Backup 저장소 잠금은 데이터 보호 방어에 심층적인 추가 보안 계층을 제공합니다. 저장소 잠금은 다음과 같은 다른 보안 기능과 결합할 수 있습니다.