AWS Backup의 백업 암호화

독립 암호화

AWS Backup는 전체 AWS Backup 관리를 지원하는 리소스 유형에 대해 독립적인 암호화를 제공합니다. 독립 암호화는 AWS Backup를 통해 생성하는 복구 시점(백업)이 소스 리소스의 암호화에 따라 결정되는 것 이외의 암호화 방법을 가질 수 있음을 의미합니다. 예를 들어 Amazon S3 버킷의 백업은 Amazon S3 암호화로 암호화한 소스 버킷과 다른 암호화 방법을 가질 수 있습니다. 이 암호화는 백업이 저장된 백업 저장소의 AWS KMS 키 구성을 통해 제어됩니다.

AWS Backup에서 완전히 관리되지 않는 리소스 유형의 백업은 일반적으로 소스 리소스에서 암호화 설정을 상속합니다. Amazon EBS 사용 설명서의 Amazon EBS 암호화와 같은 해당 서비스의 지침에 따라 이러한 암호화 설정을 구성할 수 있습니다.

IAM 역할은 객체를 백업 및 복원하는 데 사용되는 KMS 키에 액세스할 수 있어야 합니다. 그렇게 하지 않으면 작업은 성공하지만 객체는 백업되거나 복원되지 않습니다. IAM 정책 및 KMS 키 정책의 권한은 일관되어야 합니다. 자세한 내용은 AWS Key Management Service 개발자 안내서의 IAM 정책 설명에서 KMS 키 지정을 참조하세요.

다음 표에는 지원되는 각 리소스 유형, 백업에 대해 암호화가 구성되는 방법 및 백업에 대해 독립 암호화가 지원되는지 여부가 나와 있습니다. AWS Backup은 독립적으로 백업을 암호화하는 경우 업계 표준 AES-256 암호화 알고리즘을 사용합니다. AWS Backup의 암호화에 대한 자세한 내용은 교차 리전 및 교차 계정 백업을 참조하세요.

다른 계정 또는 AWS 리전에 백업 복사본 암호화

계정 간 또는 리전 간에 백업을 복사할 때 AWS Backup는 원본 백업이 암호화되지 않은 경우에도 대부분의 리소스 유형에 대해 해당 복사본을 자동으로 암호화합니다. AWS Backup는 대상 저장소의 KMS 키를 사용하여 복사본을 암호화합니다.

한 계정에서 다른 계정으로 백업을 복사(계정 간 복사 작업)하거나 한 리전에서 다른 리전으로 백업을 복사(리전 간 복사 작업)하기 전에 백업의 리소스 유형(복구 시점)이 AWS Backup에서 완전히 관리되는지 여부에 따라 달라지는 다음 조건을 참고하세요.

AWS Backup 권한, 권한 부여 및 거부 문

실패한 작업을 방지하기 위해 AWS KMS 키 정책을 검사하여 필요한 권한이 있고 성공적인 작업을 방해하는 거부 문이 없는지 확인할 수 있습니다.

실패한 작업은 KMS 키에 하나 이상의 거부 문이 적용되었거나 키에 대한 권한 부여가 취소되었기 때문에 발생할 수 있습니다.

AWSBackupFullAccess와 같은 AWS 관리형 액세스 정책에는 AWS Backup가 AWS KMS와 상호 작용하여 백업, 복사 및 저장 작업의 일환으로 고객을 대신하여 KMS 키에 대한 권한을 부여할 수 있도록 허용하는 작업이 있습니다.

최소한 키 정책에는 다음과 같은 권한이 필요합니다.

거부 정책이 필요한 경우 백업 및 복원 작업에 필요한 역할을 허용 목록에 추가해야 합니다.

이러한 요소는 다음과 같을 수 있습니다.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
      {
          "Sid": "KmsPermissions",
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::123456789012:user/root"
          },
          "Action": [
              "kms:ListKeys",
              "kms:DescribeKey",
              "kms:GenerateDataKey",
              "kms:ListAliases"
          ],
          "Resource": "*"
      },
      {
          "Sid": "KmsCreateGrantPermissions",
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::123456789012:user/root"
          },
          "Action": [
              "kms:CreateGrant"
          ],
          "Resource": "*",
          "Condition": {
              "ForAnyValue:StringEquals": {
                  "kms:EncryptionContextKeys": "aws:backup:backup-vault"
              },
              "Bool": {
                  "kms:GrantIsForAWSResource": true
              },
              "StringLike": {
                  "kms:ViaService": "backup.*.amazonaws.com"
              }
          }
      }
    ]
}

이러한 권한은 AWS 관리형이든 고객 관리형이든 키의 일부여야 합니다.

또한 리전 간 복사 작업을 시작하는 역할과 연결된 키는 DescribeKey 권한에 "kms:ResourcesAliases": "alias/aws/backup"가 있어야 합니다.