AWS Backup에서 교차 계정 사본을 생성하려고 할 때 발생하는 "Access Denied trying to call AWS Backup service" 오류를 해결하려면 어떻게 해야 합니까?

해결 방법

정책에 backup:CopyIntoBackupVault 작업 추가

Access Denied 오류는 소스 AWS 계정에서 백업을 복사할 권한이 없을 때 발생할 수 있습니다.

이 문제를 해결하려면 AWS Identity and Access Management(IAM) ID 기반 정책 및 대상 볼트 액세스 정책에 backup:CopyIntoBackupVault 작업을 추가하십시오. 자세한 내용은 교차 계정 백업 설정을 참조하십시오.

IAM 역할이 백업을 복사하도록 허용하려면 IAM 역할에 연결된 ID 기반 정책에 다음 구문을 포함시키십시오.

{  
  "Version": "2012-10-17",  
  "Statement": [  
    {  
      "Action": "backup:CopyIntoBackupVault",  
      "Resource": "*",  
      "Effect": "Allow"  
    }  
  ]  
}

소스 계정에 대한 AWS Backup 액세스를 허용하려면 대상 볼트 액세스 정책에 다음 구문을 포함시키십시오.

{  
    "Version": "2012-10-17",  
    "Statement": [  
        {  
            "Effect": "Allow",  
            "Principal": {  
                "AWS": "arn:aws:iam::SourceAccountID:root"  
            },  
            "Action": "backup:CopyIntoBackupVault",  
            "Resource": "*"  
        }  
    ]  
}

참고: SourceAccountID를 소스 계정 ID로 바꾸십시오.

Organizations 또는 OU의 조직에 대한 액세스 허용

대상 볼트 액세스 정책을 통해 AWS Organizations 또는 조직 단위(OU)의 조직에 대한 액세스도 허용할 수 있습니다. 조직이나 OU에 대한 정책을 사용하는 경우 볼트 액세스 정책에 조직 ID 또는 OU ID를 지정하십시오. 조직 ID 또는 OU ID를 지정하지 않으면 교차 계정 복사가 실패합니다.

다음은 전체 조직을 허용하는 대상 볼트 액세스 정책의 예입니다.

{  
     "Version": "2012-10-17",    
    "Statement": [{    
        "Effect": "Allow",    
        "Action": "backup:CopyIntoBackupVault",    
        "Resource": "",    
        "Principal": "",    
        "Condition": {    
            "StringEquals": {    
                "aws:PrincipalOrgID": [    
                    "o-xxxxxxxx11"    
                ]    
            }    
        }    
    }]    
}

다음은 OU를 허용하는 대상 볼트 액세스 정책의 예입니다.

{   
    "Version": "2012-10-17",    
    "Statement": [{    
        "Effect": "Allow",    
        "Action": "backup:CopyIntoBackupVault",    
        "Resource": "",    
        "Principal": "",    
        "Condition": {    
            "ForAnyValue:StringLike": {    
                "aws:PrincipalOrgPaths": [    
                    "o-xxxxxxxx11/r-xxxx/ou-[OU]/*"    
                ]    
            }    
        }    
    }]    
}

참고: aws:PrincipalOrgPaths 조건 키를 올바르게 입력해야 합니다. 자세한 내용은 IAM을 사용하여 AWS 리소스를 AWS Organizations의 AWS 계정 그룹과 공유를 참조하십시오.

관련 정보

AWS 계정 전체에 백업 복사 생성