AWS Backup에서 교차 계정 복사 작업 시 발생하는 ‘Access denied’ 오류를 해결하려면 어떻게 해야 합니까?

4분 분량

AWS Backup에서 AWS 계정 전체에 백업 사본을 만들려고 하면 ‘Access denied’ 오류가 발생합니다.

해결 방법

‘Call to AWS Backup service’ 오류

대상 저장소 액세스 정책에 backup:CopyIntoBackupVault 권한이 없는 경우 다음과 같은 오류 메시지가 표시됩니다.

"Access denied when trying to call AWS Backup service"

이 오류는 백업 저장소 이름이 잘못되었거나 대상 계정에 존재하지 않는 경우에도 발생합니다.

이 오류를 해결하려면 다음 단계를 완료하십시오.

AWS Identity and Access Management(IAM) 역할이 백업을 복사하도록 허용하려면 IAM 역할 정책에 다음 명령문을 추가합니다.

{    "Version": "2012-10-17",  
  "Statement": [  
    {  
      "Action": "backup:CopyIntoBackupVault",  
      "Resource": "*",  
      "Effect": "Allow"  
    }  
  ]  
}

소스 계정에 대한 AWS Backup 액세스를 허용하려면 대상 저장소 액세스 정책에 다음 명령문을 포함합니다.

{      "Version": "2012-10-17",  
    "Statement": [  
        {  
            "Effect": "Allow",  
            "Principal": {  
                "AWS": "arn:aws:iam::SourceAccountID:root"  
            },  
            "Action": "backup:CopyIntoBackupVault",  
            "Resource": "*"  
        }  
    ]  
}

참고: SourceAccountID를 소스 계정 ID로 바꾸십시오.

복사 작업의 IAM 역할에 backup.amazonaws.com 서비스를 허용하는 신뢰 관계가 포함되어 있는지 확인합니다. 정책 예시:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "backup.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

대상 백업 저장소 이름이 올바른지 확인합니다. 백업 저장소 이름은 대소문자를 구분합니다. 예를 들어 ProdVault 및 prodvault는 서로 다른 두 개의 저장소입니다.
백업을 저장소에 복사하기 전에 대상 계정에 저장소가 있는지 확인합니다.

자세한 내용은 교차 계정 백업 설정을 참조하십시오.

‘Insufficient privileges’ 오류

IAM 엔터티에 복사 작업을 수행할 수 있는 backup:StartCopyJob 권한이 없는 경우 다음과 같은 오류 메시지가 표시됩니다.

"Access denied Insufficient privileges to perform this action. Please consult with the account administrator for necessary permissions."

이 오류를 해결하려면 백업 사본을 만드는 IAM 엔티티에 backup:StartCopyJob 권한을 연결하십시오. IAM 역할에 다음 명령문을 첨부하십시오.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "backup:StartCopyJob",
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

그런 다음, 저장소 액세스 정책이 backup:StartCopyJob 작업을 명시적으로 거부하지 않는지 확인하십시오.

‘Source and destination account’ 오류

소스 계정과 대상 계정이 동일한 AWS Organizations의 구성원이 아닌 경우 다음과 같은 오류 메시지가 표시됩니다.

"Copy job failed. Both source and destination account must be a member of the same organization."

이 문제를 해결하려면 소스 또는 대상 계정을 다른 계정과 동일한 조직으로 이동하십시오.

‘Region to Region initiation error’ 오류

제공된 리소스 유형에 대해 기능이 지원되지 않는 경우 다음과 같은 오류 메시지가 표시됩니다.

"Copy job from us-west-2 to us-east-1 cannot be initiated for RDS resources. Feature is not supported for provided resource type."

리소스가 통합된 교차 계정 및 교차 리전 복사 작업을 지원하지 않는 경우에도 이 오류가 발생할 수 있습니다. 예를 들어 Amazon Relational Database Service(Amazon RDS)가 단일 작업에서 교차 리전 및 교차 계정 백업 복사를 지원하지 않는 경우 이 오류가 발생합니다. 즉, 이 기능을 사용할 수 없습니다.

이 문제를 해결하려면 AWS 서비스의 리소스가 교차 계정 백업과 교차 리전 백업을 모두 지원하는지 확인하십시오. 각 AWS 서비스가 AWS Backup에서 지원하는 기능을 확인하려면 리소스별 기능 가용성을 확인하십시오. 여러 리전의 기능 가용성을 보려면 AWS 리전별 기능 가용성을 확인하십시오.

‘Given key ID’ 또는 ‘source snapshot KMS key does not exist’ 오류

대상 계정에 암호화 키를 사용할 권한이 없는 경우 다음 오류 메시지 중 하나가 표시됩니다.

"Given key ID is not accessible"
"The source snapshot KMS key does not exist, is not enabled or you do not have permissions to access it"

이러한 문제를 해결하려면 다음 작업을 완료하십시오.

소스 계정의 AWS Key Management Service(AWS KMS) 키 정책에 대상 계정의 루트 사용자가 포함되어 있는지 확인합니다. 그러면 대상 계정의 루트 사용자가 필요한 IAM 권한을 사용자 및 역할에 위임할 수 있습니다.
리소스에 전체 AWS Backup 관리 지원이 있는지 여부에 따라 주요 정책을 업데이트합니다.

예를 들어, Amazon Simple Storage Service(Amazon S3) 및 Amazon Elastic File System(Amazon EFS) 리소스가 완벽하게 지원됩니다. 이러한 리소스의 경우 다음 사항에 유의하십시오.

저장소의 암호화 키는 소스 AWS KMS 키 역할을 합니다.
고객 관리형 키 또는 AWS 관리형 키를 사용할 수 있습니다.
고객 관리형 키를 사용하는 경우 대상 계정을 포함하도록 키 정책을 업데이트해야 합니다.

자세한 내용은 지원되는 AWS 서비스와 AWS Backup의 작동 방식을 참조하십시오.

키 정책은 Amazon Elastic Compute Cloud(Amazon EC2) 및 Amazon RDS와 같이 완벽하게 지원되지 않는 리소스에는 다르게 작동합니다. 이러한 리소스의 경우 다음 사항에 유의하십시오.

원본 리소스의 암호화 키가 소스 AWS KMS 키 역할을 합니다.
키는 고객 관리형 키여야 합니다.
대상 계정을 포함하도록 키 정책을 수정해야 합니다.

중요: 다음과 같은 이유로 AWS 관리형 키를 소스 AWS KMS 키로 사용할 수 없습니다.

AWS 관리형 키의 키 정책은 수정할 수 없습니다.
AWS 관리형 키는 대상 계정과 공유할 수 없습니다.

자세한 내용은 AWS Backup에서 교차 계정 복사를 수행할 때 ‘Given key ID not accessible’ 오류를 해결하려면 어떻게 해야 합니까?를 참조하십시오.