AWS Cross-Account Backup 구성하기

아키텍처 개요

[Management Account]  ← Cross-account management 활성화
         │
         ├── [Source Account A]  →  복사  →  [Backup Account B]
         │       (운영 환경)                    (백업 전용, 격리)
         │
    AWS Organizations

사전 준비

• 두 계정이 같은 AWS Organizations 소속
• Management Account 접근 권한 (Cross-account 기능 활성화용)
• Customer Managed Key (CMK) 사용 필수 (AWS managed key는 cross-account 공유 불가)

Step 1: Management Account에서 Cross-Account Backup 활성화

⚠️ 이 단계를 건너뛰면 에러 발생!

Management Account 에서 진행

1. AWS Backup 콘솔 → Settings
2. Cross-account management 섹션 확인
3. 다음 항목들 Enable:
   • Cross-account backup ✅
   • Cross-account monitoring ✅ (선택)

Step 2: Destination 계정에서 KMS Key 생성

Backup Account (B) 에서 진행

⚠️ Default vault는 AWS managed key를 사용하므로 cross-account 불가!

1. 고객 관리형 키 → 키 생성
2. 키 유형: 대칭
3. 키 사용: 암호화 및 해독
4. 별칭: backup-vault-key
5. 키 정책 에 Source Account 추가:

{
  "Sid": "Allow source account",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::<SOURCE_ACCOUNT_ID>:root"
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:GenerateDataKey*",
    "kms:DescribeKey",
    "kms:CreateGrant"
  ],
  "Resource": "*"
}

Step 3: Destination 계정에서 Backup Vault 생성

Backup Account (B) 에서 진행

1. AWS Backup 콘솔 → AWS Backup → 볼트 → 새 볼트 생성
2. Vault 이름: test-destination-vault
3. Encryption key: Step 2에서 생성한 CMK 선택 (default 아님!)
4. 볼트 생성

Step 4: Backup Vault Access Policy 설정

Backup Account (B) 의 Vault에서 진행

1. 생성한 Vault 선택 → Access policy 탭
2. 아래 정책 추가:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<SOURCE_ACCOUNT_ID>:root"
      },
      "Action": "backup:CopyIntoBackupVault",
      "Resource": "*"
    }
  ]
}

Source 계정

Step 5:소스계정에서 Backup Vault 생성

Backup Account (B) 에서 진행

1. AWS Backup 콘솔 → AWS Backup → 볼트 → 새 볼트 생성
2. Vault 이름: test-source-vault
3. Encryption key: Step 2에서 생성한 CMK 선택 (default 아님!)
4. 볼트 생성

Step 6: 백업 계획에 다른 계정의 볼트로 복사 추가

Source Account (A) 에서 진행

1. 백업 계획 → 기존 Plan 선택 또는 새로 생성

2. 템플릿 시작 등 기본정보입력 후 백업 규칙추가 설정

3. 대상으로 복사 섹션:

   • 다른 계정의 볼트로 복사 체크

   • 외부볼트 ARN:

     arn:aws:backup:<REGION>:<BACKUP_ACCOUNT_ID>:backup-vault:test-destination-vault
     
     

4. 수명주기 설정 (선택)
   

Step 7: 검증

1. Backup job 실행 후 Jobs 메뉴에서 Copy jobs 탭 확인
2. Destination Account에서 Vault 내 복구 시점 확인

흔한 에러와 해결