[D3T1S07] AWS S3 - 클라우드 환경에서 데이터베이스 보호하기

© 2024, Amazon Web Services, Inc. or its affiliates. All rights reserved.
AWS DATA & AI ROADSHOW 2024
박양수
Storage Specialist SA
AWS
클라우드 환경에서
데이터베이스 보호하기
A W S D A T A R O A D S H O W 2 0 2 4

2
고객은 데이터를 무엇으로부터 보호 하는가?
자연 재해 기술적 결함 사람의 행위

그러나 대부분의 데이터 손실은 삭제 요청으로 인해 발생
스크립트 버그
사람의 실수 또는
악의적인 의도
우발적 보존 정책 변경
X X X

고객에게 AWS 가 주는 답은 무엇인가?
고객이 원하는 것 AWS가 주는 것
200+
Fully feature services
400
types of compute
instances
Infrastructure
Regions – Availability Zones
Core Services
Compute – Storage - Networking
Security and
Compliance
Management Tools
Analytics
Application
Development
Machine
Learning
End User
Computing
Internet of
Things
Application
Integration
Media Mobile Databases

© 2024, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark.
AWS 데이터 보호 프레임워크
5

What is a framework?

AWS 데이터 보호 프레임워크
Data governance Data resilience
Data security

Data governance pillar
• 데이터 식별
• 사고 대응
• 모니터링
• 규정 준수

Data security pillar
• 인증
• 접근 제어
• 암호화
• 위협 감지

Data resilience pillar
• 백업과 복구
• 복제
• 불변성
• 버젼 관리

AWS 3-2-1-1-0 데이터 복원력 규칙
3
원본 소스
데이터를
포함하지 않는
다양한 백업본
0
2
별도의 위치와
계정에 저장된
백업본
1
빠른 복원을 위해
로컬에 저장된
백업본
1
"최후의 수단"
으로 변경할 수
없는 저장소에
백업본을 저장
= “0” 자동 복구 테스트 중 발견된 문제

여러 타입의 백업 유형 별 사용 사례
빠른 복구를 위한 로컬 백업
실수로 인한 삭제를 방지하기 위해
빠른 복구(최저 RTO)를 위해 소스
데이터 근처에 저장된 백업

서울리전 도쿄리전
원격 재해 복구용 백업
지역/사이트 중단으로부터 보호하기
위해 별도의 계정 및 지리적 위치에
재해 복구용 백업

사이버 공격으로부터 복구하기 위해
변경할 수 없는 위치에 저장되는
최후 수단의 백업
사이버 복구용 백업

비용과 리스크의 상관관계
• Minimize time to recover (RTO)
• Minimize data loss (RPO)
• 비용과 리스크의 상관관계
Risk
Cost

데이터의 가치와 보호 수준을 맵핑
1
2
3
copies
구현의
복잡성
기능
ü 빠른 복구를 위해 하나 이상의
로컬 백업본
ü 로컬 또는 중앙에서 관리
기본 보호
기술적 이점 및 특징
기능
ü “기본 보호” 포함
ü + 복원성을 위한 별도의 지리적
위치 및 별도 계정에 세컨더리
백업본
고급 보호
기능
ü “고급 보호” 포함
ü + 자동 복구 테스트
ü + Vault 불변성(Vault Lock)
ü + 확장된 포렌식 + 악성코드
탐지
ü + 규정 준수 및 거버넌스를 위한
중앙 집중식 관리
포괄적인 보호
견고한
기본 보호
강력하면서
맞춤 가능
2
copies
1
copy

Amazon RDS/Aurora 데이터 보호 수준
17

RDS에 대한 보호 전략 단계
ü RDS 스냅샷
+
ü RDS 자동 백업
+
ü Multi-AZ DB 설정
ü 포괄적 보호
+
ü AWS Config
+
ü Backup Audit Manager
+
ü 자동 복구 테스트
ü 기본 보호
+
ü Cross-Region/Cross-
Account 스냅샷 복사
+
ü in-region 혹은 cross-
region 데이터 복제
ü 고급 보호
+
ü AWS Backup or AWS
파트너 백업 솔루션
+
ü AWS Vault Lock을 통한
불변의 저장 공간에 백업
저장
• 고급 보호 • 포괄적 보호
• 규정 준수 및
거버넌스
1
copy
2
copies
3
copies
• 기본 보호

기본 보호: RDS 스냅샷
Bucket
Volume
Snapshot 2
Snapshot 1 Snapshot 3
Amazon S3
Amazon EBS
• 항상 증분 백업
• 암호화 지원
• 다른 리전/어카운트에 복사
가능
• DB 인스턴스의 신속한
복구를 위한 백업
Amazon RDS

기본 보호: RDS 자동 백업
Region
Wednesday logs Thursday logs Friday
Amazon RDS
instance
일일 Amazon EBS 볼륨
스냅샷
백업 윈도우 설정 가능
보존 기간 설정에 따라
가장 오래된 백업
자동으로 삭제
(1 to 35 days)
Time
5분마다 Amazon S3에
백업되는 아카이브 로그

기본 보호: multi-AZ instances
Region
Availability Zone “a”
App servers
RDS primary
RDS Automation
Availability Zone “c”
App servers
Availability Zone “b”
App servers
RDS secondary
Sync/physical replication

고급 보호: cross-region, cross-account 백업 복사
백업 복사본은 소스와 독립적
백업 복사본은 다양한 암호화 키로 암호화 가능
악의적인 공격에 대한 보호 계층을 추가
Availability Zone
Region Region
지역 레벨 장애, 계정 도용으로부터 보호

고급 보호: cross-region 자동 백업(RDS only)
§ 타겟 리전에 복제된 자동 스냅샷 및
아카이브 로그
§ 미션 크리티컬 데이터베이스를 위해
두 번째 지역에서 특정 시점
복구(PiTR)를 활성화합니다.
EBS snapshot
Region Region
Archive logs EBS snapshot
Archive logs
Amazon RDS for Db2 instance

고급 보호: cross-region read replica
Region 1
Read-only
workloads
Read/write
workloads
RDS primary
Asynchronous replication
(transmit WAL ASYNC)
In-region
read
replicas
Read-only
workloads
Region 2
RDS read replica

포괄적 보호: AWS Backup
Backup Vault
AWS Cloud
Region (us-west-1)
Availability Zone
AWS Backup
EBS EFS
AWS
Organization
Backup Vault
Backup Vault
• 데이터 유출로부터 보호
• 랜섬웨어로부터 보호
• RDS와 Aurora는 교차 계정 백업 수행
가능
RDS
Aurora

간편함 컴플라이언스 준수 비용 효과적
여러 AWS 서비스의 백업을 한곳에 통합
백업 스케쥴 자동화
정책 그리고 태그
베이스의 백업 솔루션
관리에 추가
비용 미발생
백업 저장
기간 관리
자동화
액티비티 모니터링, 로깅
그리고 컴플라이언스 리포트
중앙에서 관리
백업 접근
정책
백업 암호화
포괄적 보호: AWS Backup

포괄적 보호: AWS Backup Vault lock
AWS Backup
Vault
• 논리적 구조 – 백업 데이터를 저장하는 공간
• 별도 암호화 – KMS 서비스를 이용하여 Resource에서 사용한
암호화 키와 다른 키를 사용하여 vault를 암호화 할 수
있음(특정 서비스에서만 사용 가능)
• 삭제로부터 보호 – Vault lock 설정으로 어떤 유저도(root포함)
백업을 삭제할 수 없음, 백업 retention 과 cold storage 이전
기간 설정을 변경 할 수 없음
• Vault lock 으로 보호된 리소스는 악의적인 공격으로 파손/유실
시, 변조되지 않은 데이터를 이용하여 복구 가능

RDS 데이터 보호 레퍼런스 아키텍쳐
AWS Cloud
AWS Backup Vault
DR Region/account
Recovery account
AWS Backup
Recovery point(s)
Cyber recovery
vault
Workload
account
Asynchronous replication
Backup copy
Region A user Region B user
RDS instance
Replica
1st
copy
2nd
copy
3rd
copy
RDS snapshot
Continuous
backups
AWS Backup

정기 백업으로 복구를
해달라는 요청 발생

요청에 의해 복구를 시도하는 도중,
백업이 정상적으로 받아지지 않고
있다는 것을 발견 한다면?

AWS Backup Audit Manager(BAM)
지속적으로
백업 활동 추적
주기적으로
(혹은 수동으로)
감사 리포트 생성
자동으로 백업 감사
중앙 집중식 데이터 거버넌스를 위한 백업 컴플라이언스 상태 모니터링, 평가 및 시연

Demo. AWS Backup 을 통한 데이터 보호
• 백업 설정 살펴 보기
• 백업 강제 삭제 수행해보기
• BAM을 통한 백업 상태 모니터링

부록. Amazon FSx을 통한 자체
관리형 데이터베이스 민첩성 확보

Amazon RDS/self-managed
• 라이선스 이슈
• 전통적인 어플리케이션
• 단순화된 장애 조치
• 리프트 앤 시프트
• 데이터베이스 크기 및 성능 요구 사항이
Amazon RDS를 초과하는 경우
• 특정 데이터베이스 버전
• 데이터베이스에 대한 완전한 제어가 필요함
Region
Availability Zone Availability Zone
VPC
Private subnet Private subnet
Sync or async replication
Oracle primary
instance
read/write database
Oracle standby instance
read-only database
Region
Availability Zone Availability Zone
VPC
Private subnet Private subnet
Log shipping, mirroring,
or Always On
SQL Server
primary database
SQL Server
standby database
Availability Zone
Private subnet
Witness
Amazon EBS volumes Amazon EBS volumes
Managed Self-managed
Amazon RDS Amazon EC2

Amazon FSx for NetApp ONTAP
Amazon FSx
for NetApp
ONTAP
ONTAP의 데이터 관리 기능과 다중 프로토콜 지원
ONTAP 스냅샷, 복제, 내장된 데이터 압축 및 중복
제거를 통해 데이터를 효율적으로 최적화하고
자동 계층화로 비용을 최적화
기존 NetApp 워크로드를 클라우드로
마이그레이션하거나 확장하는 쉬운 경로

Volume Snapshot
Data
Snapshot
Amazon FSx file system
Snapshot A
Snapshot B
Volume
• 빠르게 생성
• Shorter-term 복구용
• 파일시스템 내에 보관됨
• 내장형, 자동 또는 사용자 지정 스냅샷
• 개별 파일 또는 전체 볼륨 복원
• Crash-consistent, 증분

Volume Cloning
사전운영
품질
개발
Data
Snapshot
Volume
Volume clone 1
Volume clone 2
Volume clone 3
Volume clone 4
Volume clone X
Volume clone 5
Snapshot
Snapshot
클론 생성

NetApp SnapCenter
Application Consistent 데이터 보호(백업, 복구, 클론)를 제공하는
간단하고 확장 가능한 중앙 집중식 플랫폼

Crash Consistency vs. Application Consistency
Page @ memory
Data @ storage 4K 4K 4K
Crash-Consistent Application-Consistent
4K 4K 4K 4K
4K 4K 4K
어플리케이션 정합성 보장 못함
(갑작스런 전원 차단/종료 같이…)
어플리케이션 정합성 보장됨

SnapCenter 기능 – Application Consistent 스냅샷 방법
애플리케이션
잠금
스냅샷 시작
애플리케이션
잠금 해제
SnapCenter
Script

SnapCenter 기능 - 개발/테스트 환경 리프레쉬 하기
개발 품질 사전운영 운영
운영 DB 데이터 다른 환경으로 복사

Next Step
42

Call to action
비즈니스의
데이터 위험을
평가하세요
1
기본적인 보호부터
시작하세요
2
AWS 및 파트너
솔루션으로
포괄적인 보호를
구현하세요
3

Thank you!
박양수

[D3T1S07] AWS S3 - 클라우드 환경에서 데이터베이스 보호하기

More Related Content

Similar to [D3T1S07] AWS S3 - 클라우드 환경에서 데이터베이스 보호하기

More from Amazon Web Services Korea

[D3T1S07] AWS S3 - 클라우드 환경에서 데이터베이스 보호하기