🤔 AWS Backup이 뭔데요? 그냥 스냅샷이랑 다른 거예요?

ㅋㅋ 이 질문 진짜 많이 받아요. 결론부터 말하면 AWS Backup은 여러 AWS 서비스의 백업을 한 곳에서 중앙 집중식으로 관리하는 완전 관리형 서비스예요.

예전에는 어땠냐면요 — EC2 스냅샷은 EC2 콘솔에서, RDS 백업은 RDS 콘솔에서, DynamoDB 백업은 또 거기서... 이렇게 각각 따로따로 관리해야 했거든요 😩
그게 얼마나 귀찮은 일인지 운영해본 사람은 알죠. 백업 정책이 서비스마다 다르고, 모니터링도 따로 해야 하고, 감사(Audit) 리포트도 뽑기 힘들고...

AWS Backup은 이 모든 걸 하나의 콘솔, 하나의 API, 하나의 정책으로 통합해줘요. 2019년에 출시됐고 지금은 지원 서비스가 엄청 많아졌어요.

📌 AWS Backup vs 개별 서비스 백업 비교

🏗️ AWS Backup 핵심 구성 요소 파헤치기

AWS Backup을 제대로 쓰려면 핵심 개념 4가지를 꼭 알아야 해요. 이거 모르면 콘솔 들어가도 뭐가 뭔지 모름 ㅋㅋ

1️⃣ Backup Plan (백업 계획)

백업 계획은 "언제, 얼마나 자주, 얼마나 오래 보관할지"를 정의하는 설정이에요.
Backup Plan 안에는 하나 이상의 Backup Rule이 들어가고, 각 Rule에는 다음 내용이 포함돼요:

2️⃣ Backup Vault (백업 볼트)

백업 볼트는 백업 데이터가 실제로 저장되는 논리적 컨테이너예요. S3 버킷이랑 비슷한 개념이라고 생각하면 돼요.

중요한 특징이 있어요 — 볼트에는 리소스 기반 접근 정책을 붙일 수 있고, AWS KMS 키로 암호화할 수 있어요.
그리고 진짜 핵심 기능인 Vault Lock이 있는데, 이건 아래에서 자세히 설명할게요!

3️⃣ Recovery Point (복구 지점)

백업이 실행될 때마다 생성되는 스냅샷/백업 데이터의 단위예요. 각 Recovery Point에는 고유 ARN이 부여되고, 메타데이터(생성 시간, 크기, 상태, 암호화 여부 등)가 함께 저장돼요.
복구할 때는 이 Recovery Point를 선택해서 원하는 시점으로 되돌릴 수 있어요.

4️⃣ Backup Selection (백업 대상 선택)

어떤 리소스를 백업할지 지정하는 부분이에요. 두 가지 방식이 있어요:

⚙️ AWS Backup 실제 설정하기 (콘솔 + CLI)

이론만 알면 뭐해요 ㅋㅋ 실제로 어떻게 설정하는지 봐봐요!

🖥️ 콘솔에서 Backup Plan 만들기

💻 AWS CLI로 Backup Plan 생성하기

CLI를 더 선호하는 분들을 위해! JSON 파일로 정의하고 CLI로 생성하는 방법이에요.

# backup-plan.json 파일 생성
{
  "BackupPlanName": "my-daily-backup-plan",
  "Rules": [
    {
      "RuleName": "daily-backup-rule",
      "TargetBackupVaultName": "my-backup-vault",
      "ScheduleExpression": "cron(0 2 * * ? *)",
      "StartWindowMinutes": 60,
      "CompletionWindowMinutes": 180,
      "Lifecycle": {
        "MoveToColdStorageAfterDays": 30,
        "DeleteAfterDays": 365
      },
      "CopyActions": [
        {
          "DestinationBackupVaultArn": "arn:aws:backup:ap-northeast-2:123456789012:backup-vault:dr-vault",
          "Lifecycle": {
            "DeleteAfterDays": 90
          }
        }
      ]
    }
  ]
}

# Backup Plan 생성
aws backup create-backup-plan \
  --backup-plan file://backup-plan.json \
  --region ap-northeast-1

# 리소스 할당 (태그 기반)
aws backup create-backup-selection \
  --backup-plan-id "plan-id-여기에" \
  --backup-selection '{
    "SelectionName": "tagged-resources",
    "IamRoleArn": "arn:aws:iam::123456789012:role/AWSBackupDefaultServiceRole",
    "ListOfTags": [
      {
        "ConditionType": "STRINGEQUALS",
        "ConditionKey": "Backup",
        "ConditionValue": "true"
      }
    ]
  }'

🔒 Vault Lock - 백업 데이터 불변성 보장

이거 진짜 중요한 기능인데 모르는 분들이 많아요. AWS Backup Vault Lock은 백업 볼트에 WORM(Write Once Read Many) 정책을 적용해서 백업 데이터를 삭제하거나 변경하지 못하게 막는 기능이에요.

랜섬웨어 공격 시나리오를 생각해봐요 — 공격자가 시스템에 침투해서 데이터를 암호화하고, 심지어 백업까지 삭제하려고 시도하는 경우가 실제로 있어요. Vault Lock이 없으면 백업도 날아갈 수 있어요 😱
Vault Lock이 활성화된 볼트는 루트 계정을 포함한 어떤 사용자도 보존 기간 내에 백업을 삭제할 수 없어요.

💻 Vault Lock CLI 설정

# Vault Lock 설정 (Governance 모드 - 테스트용)
aws backup put-backup-vault-lock-configuration \
  --backup-vault-name "my-backup-vault" \
  --min-retention-days 7 \
  --max-retention-days 365 \
  --changeable-for-days 3

# Vault Lock 설정 (Compliance 모드 - 프로덕션용)
# changeable-for-days 생략하면 즉시 Compliance 모드
aws backup put-backup-vault-lock-configuration \
  --backup-vault-name "prod-backup-vault" \
  --min-retention-days 30 \
  --max-retention-days 2555

🌍 크로스 리전 & 크로스 계정 백업

진짜 엔터프라이즈급 DR(Disaster Recovery) 구성하려면 이게 필수예요. 서울 리전에 장애가 나도 도쿄나 버지니아에 백업이 있으면 복구 가능하잖아요!

🗺️ 크로스 리전 복사

Backup Plan의 Rule에 Copy to another Region 옵션을 추가하면 돼요. 백업이 완료되면 자동으로 지정한 리전의 볼트로 복사해줘요.
주의할 점은 복사 비용이 별도로 발생해요. 데이터 전송 비용 + 목적지 리전의 백업 스토리지 비용이 추가돼요.

# 크로스 리전 복사가 포함된 Backup Rule
{
  "RuleName": "daily-with-cross-region",
  "TargetBackupVaultName": "primary-vault",
  "ScheduleExpression": "cron(0 17 * * ? *)",
  "Lifecycle": {
    "DeleteAfterDays": 30
  },
  "CopyActions": [
    {
      "DestinationBackupVaultArn": "arn:aws:backup:us-east-1:123456789012:backup-vault:dr-vault-us",
      "Lifecycle": {
        "DeleteAfterDays": 90
      }
    }
  ]
}

🏢 크로스 계정 백업 (AWS Organizations 연동)

이건 진짜 강력한 기능이에요. AWS Organizations를 사용하는 환경에서 관리 계정(Management Account)에서 멤버 계정들의 백업 정책을 중앙에서 관리할 수 있어요.

예를 들어 개발 계정, 스테이징 계정, 프로덕션 계정이 각각 있을 때, 관리 계정에서 Backup Policy를 만들어서 모든 계정에 일괄 적용할 수 있어요!

# 멤버 계정 볼트에 크로스 계정 접근 허용 정책 추가
aws backup put-backup-vault-access-policy \
  --backup-vault-name "member-account-vault" \
  --policy '{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "AWS": "arn:aws:iam::MANAGEMENT-ACCOUNT-ID:root"
        },
        "Action": [
          "backup:CopyIntoBackupVault"
        ],
        "Resource": "*"
      }
    ]
  }'

♻️ 복구(Restore) 실제로 해보기

백업은 잘 됐는데 복구를 못 하면 의미 없잖아요 ㅋㅋ 복구 방법도 알아봐요!

🖥️ 콘솔에서 복구하기

💻 CLI로 복구하기

# Recovery Point ARN 조회
aws backup list-recovery-points-by-resource \
  --resource-arn "arn:aws:ec2:ap-northeast-2:123456789012:instance/i-1234567890abcdef0" \
  --query 'RecoveryPoints[*].[RecoveryPointArn,CreationDate,Status]' \
  --output table

# EBS 볼륨 복구 예시
aws backup start-restore-job \
  --recovery-point-arn "arn:aws:ec2:ap-northeast-2::snapshot/snap-1234567890abcdef0" \
  --iam-role-arn "arn:aws:iam::123456789012:role/AWSBackupDefaultServiceRole" \
  --resource-type "EBS" \
  --metadata '{
    "availabilityZone": "ap-northeast-2a",
    "volumeType": "gp3",
    "encrypted": "true"
  }'

# RDS 복구 예시
aws backup start-restore-job \
  --recovery-point-arn "arn:aws:rds:ap-northeast-2:123456789012:snapshot:awsbackup-rds-mydb-2024-01-15" \
  --iam-role-arn "arn:aws:iam::123456789012:role/AWSBackupDefaultServiceRole" \
  --resource-type "RDS" \
  --metadata '{
    "DBInstanceIdentifier": "mydb-restored",
    "DBInstanceClass": "db.t3.medium",
    "Engine": "mysql"
  }'

💰 AWS Backup 비용 최적화 전략

백업 잘 설정했는데 비용 폭탄 맞으면 안 되잖아요 ㅋㅋ 비용 구조를 이해하고 최적화해봐요!

📊 비용 발생 요소

🎯 Lifecycle 정책으로 비용 최적화

# 비용 최적화된 Lifecycle 설정 예시
{
  "Lifecycle": {
    "MoveToColdStorageAfterDays": 30,  // 30일 후 콜드 스토리지로 이동
    "DeleteAfterDays": 365             // 1년 후 자동 삭제
  }
}

# 계층별 보존 전략 예시
# Rule 1: 매일 백업 - 7일 보관 (웜)
# Rule 2: 매주 백업 - 30일 후 콜드 전환, 90일 보관
# Rule 3: 매월 백업 - 30일 후 콜드 전환, 1년 보관
# Rule 4: 매년 백업 - 30일 후 콜드 전환, 7년 보관 (컴플라이언스용)

📊 AWS Backup Audit Manager - 컴플라이언스 자동화

금융, 의료, 공공 분야에서 일하는 분들은 이 기능이 진짜 유용해요. AWS Backup Audit Manager는 백업 정책 준수 여부를 자동으로 평가하고 리포트를 생성해줘요.

🔍 주요 기능

💻 Backup Framework 생성 예시

# Backup Framework 생성
aws backup create-framework \
  --framework-name "compliance-framework" \
  --framework-controls '[
    {
      "ControlName": "BACKUP_RECOVERY_POINT_MINIMUM_RETENTION_CHECK",
      "ControlInputParameters": [
        {
          "ParameterName": "requiredRetentionDays",
          "ParameterValue": "35"
        }
      ]
    },
    {
      "ControlName": "BACKUP_PLAN_MIN_FREQUENCY_AND_MIN_RETENTION_CHECK",
      "ControlInputParameters": [
        {
          "ParameterName": "requiredFrequencyUnit",
          "ParameterValue": "days"
        },
        {
          "ParameterName": "requiredFrequencyValue",
          "ParameterValue": "1"
        },
        {
          "ParameterName": "requiredRetentionDays",
          "ParameterValue": "35"
        }
      ]
    }
  ]'

📈 기본 제공 Control 목록

🤖 Terraform으로 AWS Backup 인프라 코드화

DevOps 관점에서 백업 설정도 IaC(Infrastructure as Code)로 관리해야 해요! Terraform으로 AWS Backup을 코드화하는 방법을 봐봐요. 재능넷에서도 이런 DevOps 자동화 관련 재능을 거래하는 분들이 많더라고요 😊

# main.tf - AWS Backup 전체 구성

# Backup Vault 생성
resource "aws_backup_vault" "main" {
  name        = "production-backup-vault"
  kms_key_arn = aws_kms_key.backup.arn

  tags = {
    Environment = "production"
    ManagedBy   = "terraform"
  }
}

# KMS 키 생성 (백업 암호화용)
resource "aws_kms_key" "backup" {
  description             = "KMS key for AWS Backup"
  deletion_window_in_days = 7
  enable_key_rotation     = true
}

# Backup Plan 생성
resource "aws_backup_plan" "main" {
  name = "production-backup-plan"

  rule {
    rule_name         = "daily-backup"
    target_vault_name = aws_backup_vault.main.name
    schedule          = "cron(0 17 * * ? *)"  # KST 02:00

    start_window      = 60   # 분
    completion_window = 180  # 분

    lifecycle {
      cold_storage_after = 30   # 30일 후 콜드 스토리지
      delete_after       = 365  # 1년 후 삭제
    }

    copy_action {
      destination_vault_arn = "arn:aws:backup:us-east-1:${data.aws_caller_identity.current.account_id}:backup-vault:dr-vault"

      lifecycle {
        delete_after = 90
      }
    }
  }

  rule {
    rule_name         = "weekly-backup"
    target_vault_name = aws_backup_vault.main.name
    schedule          = "cron(0 17 ? * SUN *)"  # 매주 일요일 KST 02:00

    lifecycle {
      cold_storage_after = 30
      delete_after       = 2555  # 7년 보관 (컴플라이언스)
    }
  }

  tags = {
    Environment = "production"
  }
}

# IAM Role for Backup
resource "aws_iam_role" "backup" {
  name = "aws-backup-service-role"

  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Action = "sts:AssumeRole"
        Effect = "Allow"
        Principal = {
          Service = "backup.amazonaws.com"
        }
      }
    ]
  })
}

resource "aws_iam_role_policy_attachment" "backup_policy" {
  role       = aws_iam_role.backup.name
  policy_arn = "arn:aws:iam::aws:policy/service-role/AWSBackupServiceRolePolicyForBackup"
}

resource "aws_iam_role_policy_attachment" "restore_policy" {
  role       = aws_iam_role.backup.name
  policy_arn = "arn:aws:iam::aws:policy/service-role/AWSBackupServiceRolePolicyForRestores"
}

# Backup Selection (태그 기반)
resource "aws_backup_selection" "main" {
  name         = "production-resources"
  iam_role_arn = aws_iam_role.backup.arn
  plan_id      = aws_backup_plan.main.id

  selection_tag {
    type  = "STRINGEQUALS"
    key   = "Backup"
    value = "true"
  }
}

# Vault Lock (Governance 모드)
resource "aws_backup_vault_lock_configuration" "main" {
  backup_vault_name   = aws_backup_vault.main.name
  changeable_for_days = 3
  max_retention_days  = 1200
  min_retention_days  = 7
}

🚨 CloudWatch + SNS로 백업 모니터링 알림 설정

백업이 실패해도 모르면 소용없잖아요! 백업 실패 시 즉시 알림을 받도록 설정해봐요.

📢 EventBridge + SNS 알림 설정

# EventBridge Rule - 백업 실패 감지
aws events put-rule \
  --name "backup-failure-alert" \
  --event-pattern '{
    "source": ["aws.backup"],
    "detail-type": ["Backup Job State Change"],
    "detail": {
      "state": ["FAILED", "ABORTED", "EXPIRED"]
    }
  }' \
  --state ENABLED

# SNS 토픽 ARN을 타겟으로 설정
aws events put-targets \
  --rule "backup-failure-alert" \
  --targets '[
    {
      "Id": "backup-sns-target",
      "Arn": "arn:aws:sns:ap-northeast-2:123456789012:backup-alerts",
      "InputTransformer": {
        "InputPathsMap": {
          "jobId": "$.detail.backupJobId",
          "resourceArn": "$.detail.resourceArn",
          "state": "$.detail.state",
          "statusMessage": "$.detail.statusMessage"
        },
        "InputTemplate": "\"백업 실패 알림! Job ID: <jobId>, 리소스: <resourceArn>, 상태: <state>, 메시지: <statusMessage>\""
      }
    }
  ]'

📊 CloudWatch 대시보드로 백업 현황 모니터링

AWS Backup은 자동으로 CloudWatch 메트릭을 생성해요. 주요 메트릭들을 알아봐요:

🎯 실무에서 자주 하는 실수 & 베스트 프랙티스

이론은 다 알겠는데 실무에서 삽질하는 포인트들이 있어요 ㅋㅋ 미리 알고 피해가봐요!

❌ 흔한 실수들

✅ 베스트 프랙티스

🔗 AWS Backup과 다른 서비스 연동

AWS Backup은 단독으로도 강력하지만, 다른 서비스와 연동하면 더 강력해져요!

🔧 주요 연동 서비스

🤖 Lambda로 백업 완료 후 자동 검증

# Lambda 함수 - 백업 완료 후 Recovery Point 검증
import boto3
import json

def lambda_handler(event, context):
    backup_client = boto3.client('backup')
    
    # EventBridge에서 전달된 백업 완료 이벤트
    job_id = event['detail']['backupJobId']
    recovery_point_arn = event['detail']['recoveryPointArn']
    
    # Recovery Point 상태 확인
    response = backup_client.describe_recovery_point(
        BackupVaultName='production-backup-vault',
        RecoveryPointArn=recovery_point_arn
    )
    
    rp = response['RecoveryPoint']
    
    # 검증 결과 로깅
    print(f"Recovery Point ARN: {rp['RecoveryPointArn']}")
    print(f"Status: {rp['Status']}")
    print(f"Size: {rp.get('BackupSizeInBytes', 0) / (1024**3):.2f} GB")
    print(f"Encrypted: {rp.get('IsEncrypted', False)}")
    
    # 암호화 여부 체크
    if not rp.get('IsEncrypted', False):
        # SNS 알림 발송
        sns_client = boto3.client('sns')
        sns_client.publish(
            TopicArn='arn:aws:sns:ap-northeast-2:123456789012:backup-alerts',
            Subject='⚠️ 백업 암호화 미적용 경고',
            Message=f'Recovery Point {recovery_point_arn}이 암호화되지 않았습니다!'
        )
    
    return {
        'statusCode': 200,
        'body': json.dumps('Validation completed')
    }

이런 식으로 재능넷 같은 플랫폼에서 AWS 백업 자동화 구축 재능을 제공하는 분들도 이 Lambda + EventBridge 패턴을 많이 활용하더라고요 😄

📋 서비스별 백업 특이사항 정리

각 서비스마다 백업 방식이나 제약사항이 조금씩 달라요. 헷갈리는 부분들을 정리해봤어요!

🖥️ EC2 백업

🗃️ RDS 백업

⚡ DynamoDB 백업

📁 EFS 백업

🪣 S3 백업

🎓 마무리 - AWS Backup 도입 로드맵

자, 이제 AWS Backup에 대해 꽤 많이 알게 됐죠? ㅋㅋ 실제로 도입할 때 어떤 순서로 진행하면 좋을지 로드맵을 정리해봤어요!