AWS EBS 볼륨을 암호화해 만들고 스냅샷으로 백업하기

EC2 인스턴스의 디스크 역할을 하는 EBS 볼륨은 만들 때 암호화를 선택할 수 있습니다. 이 글에서는 인스턴스 없이 볼륨만 하나 만들어 암호화 옵션과 키 선택 화면을 읽고, 그 볼륨의 스냅샷을 만들어 암호화 상태가 어떻게 이어지는지 확인합니다. 볼륨을 인스턴스에 연결하거나 데이터를 써 넣는 것은 다루지 않았습니다. 인스턴스를 만드는 과정은 EC2를 VPC에 띄우는 글에 있습니다.

준비물

화면의 계정 ID와 사용자 이름, KMS 키 ID와 ARN, 소유자 ID는 가렸습니다. 볼륨 ID와 스냅샷 ID는 이미 삭제한 것이라 그대로 두었습니다. 볼륨을 오래 두면 요금이 생길 수 있으니 실습 뒤 바로 지웁니다. 요금 수준은 이 실습에서 확인하지 않았습니다.

1. 볼륨 만들기 화면 열기

EC2 콘솔 왼쪽 메뉴 Elastic Block Store의 볼륨에서 볼륨 생성을 누릅니다.

기본값은 이렇게 보였습니다.

• 볼륨 유형: 범용 SSD(gp3)
• 크기: 100GiB(최소 1GiB, 최대 65536GiB)
• IOPS 3000, 처리량 125MiB/s
• 가용 영역: apne2-az1
• 스냅샷에서 볼륨을 생성하지 않음
• 이 볼륨 암호화 확인란: 체크되어 있지 않았습니다

이 실습 화면에서는 암호화 확인란이 기본으로 꺼져 있었습니다. 리전별로 새 볼륨을 기본 암호화하도록 계정 수준에서 설정할 수 있는 것으로 알려져 있지만(문서 기준), 이 실습에서 확인한 것은 아닙니다.

2. 크기와 암호화 정하기

요금과 시간을 줄이려고 크기를 1로 바꾸고 이 볼륨 암호화를 체크했습니다.

암호화를 체크하면 KMS 키 칸이 나타납니다. 이 칸의 목록을 열어 봅니다.

목록에는 사용자 지정 KMS 키 지정...과 (기본값) aws/ebs 두 가지가 있었습니다. 목록에 직접 만든 키가 보이지 않았으므로 이 계정에는 사용자 지정 키가 없는 것으로 추정했습니다. 목록에서 (기본값) aws/ebs를 선택하면 그 키의 정보가 아래에 펼쳐집니다.

펼쳐진 항목은 KMS 키 설명(Default key that protects my EBS volumes when no other key is defined), KMS 키 소유자(값은 이미지에서 가렸습니다), KMS 키 ID, KMS 키 ARN입니다. 키 ID와 ARN은 이미지에서 가렸습니다. 아래 파란 상자는 암호화된 스냅샷에서 만든 볼륨은 스냅샷과 같은 키나 지정한 다른 키로 자동 암호화되고, 암호화되지 않은 스냅샷에서 만든 볼륨은 자동으로 암호화되지 않지만 특정 키를 지정해 암호화할 수 있다고 안내합니다.

사용자 지정 키는 이 글에서 만들지 않았습니다. 사용자 지정 키는 삭제 대기 기간이 있고 요금이 생기는 것으로 알려져 있어(AWS KMS 문서와 요금 안내 기준) 이 실습에서는 기본 키만 썼습니다. aws/ebs는 AWS 관리형 키라 정책과 교체 주기를 직접 바꿀 수 없는 것으로 알려져 있습니다(문서 기준).

3. 볼륨 만들기

아래로 내려 볼륨 생성을 누릅니다.

태그는 추가하지 않았습니다. 생성하면 볼륨 목록으로 돌아가고 성공 알림이 나타납니다.

목록에는 볼륨 유형 gp3, 크기 1 GiB, IOPS 3000, 처리량 125인 볼륨이 보입니다. 목록의 볼륨 ID는 그대로 두었고 계정 ID가 들어 있는 소유자 ID 칸은 가렸습니다.

4. 볼륨의 암호화 상태 확인하기

볼륨 행을 선택하고 아래 세부 정보를 스크롤하면 암호화 칸이 있습니다.

암호화가 암호화됨이고 KMS 키 별칭이 aws/ebs입니다. 키 ID와 ARN은 가렸습니다. 소스 칸의 스냅샷 ID가 -로 비어 있는 것은 스냅샷에서 만든 볼륨이 아니기 때문으로 읽었습니다.

5. 스냅샷 만들기

볼륨을 선택한 상태에서 작업 메뉴의 스냅샷 생성을 누릅니다. 이 글에서는 이 메뉴의 스냅샷 생성만 썼습니다.

소스 볼륨이 선택되어 있고 설명 칸에 cr-demo-snapshot을 입력했습니다. 화면의 암호화 칸은 암호화됨으로 표시되어 소스 볼륨의 암호화 상태가 그대로 이어졌습니다. 오른쪽 아래 스냅샷 생성을 누르면 스냅샷이 만들어집니다. 만든 직후에는 대기 중으로 보였고 잠시 뒤 완료됨으로 바뀌었습니다(대기 중 화면은 캡처하지 않았고 걸린 시간도 재지 않았습니다).

6. 스냅샷의 암호화 상태 확인하기

스냅샷 목록에서 방금 만든 스냅샷을 선택하고 세부 정보를 아래로 내립니다.

스냅샷 상태는 완료됨이고 암호화는 암호화됨, KMS 키 별칭은 aws/ebs였습니다. 즉 암호화된 볼륨에서 만든 스냅샷도 KMS 키 별칭이 같은 aws/ebs로 암호화되었습니다(키 ID는 가렸습니다). 암호화된 볼륨의 스냅샷이 자동으로 암호화된다는 설명은 AWS 문서에도 있습니다. 이 실습에서 직접 본 것은 스냅샷이 암호화되었다는 점까지이고, 이 스냅샷으로 볼륨을 복원하는 과정은 시험하지 않았습니다. 목록의 전체 스냅샷 크기는 0 B로 표시됐는데 이유는 확인하지 않았습니다. 데이터를 쓰지 않은 볼륨이어서라고 짐작하지만 확인한 것은 아닙니다.

7. 정리: 스냅샷, 볼륨 순서로 삭제

스냅샷을 먼저 지웁니다. 스냅샷을 선택하고 작업 메뉴에서 스냅샷 삭제를 누릅니다.

대화상자 제목의 스냅샷 ID가 만든 스냅샷 하나와 같은지 확인하고, 입력칸에 한글 삭제를 입력해 삭제를 누릅니다.

이어서 볼륨을 지웁니다. 볼륨을 선택하고 작업 메뉴에서 볼륨 삭제를 누릅니다.

같은 방법으로 삭제를 입력해 지웁니다. 삭제 알림이 뜬 직후 목록에 볼륨이 남아 보였고(캡처하지 않았습니다), 목록의 새로 고침 단추를 눌렀더니 비어 있었습니다.

스냅샷과 볼륨 모두 0개가 되었습니다. 삭제 순서는 이 실습에서 스냅샷을 먼저 지웠다는 것이며, 볼륨을 먼저 지워도 되는지는 시험하지 않았습니다.

자주 막히는 곳

• 삭제 알림 뒤에도 목록에 남아 보이는 경우: 이 실습에서는 목록이 새로 고쳐지지 않은 것이었고, 새로 고침 단추를 누르자 갱신되었습니다.
• 스냅샷이 오래 대기 중인 경우: 이 실습에서는 1분 안팎이었습니다. 볼륨 크기와 변경량에 따라 다를 수 있는 것으로 알려져 있습니다.
• 삭제 확인 칸의 입력: 이 한국어 콘솔의 확인 칸에는 삭제를 입력해야 했습니다.
• 암호화 확인란을 놓치는 경우: 이 실습 화면에서는 기본값이 꺼져 있었습니다. 암호화하지 않은 볼륨을 나중에 암호화 볼륨으로 바꾸는 방법은 이 실습에서 다루지 않았습니다.

이어서 해 볼 것

• 스냅샷 하나로 새 볼륨을 만들 때 암호화 설정이 어떻게 표시되는지 확인하고 지워 봅니다. 이 화면에서 키를 바꿀 수 있다는 안내가 있는지도 읽어 봅니다
• 인스턴스를 하나 만들어 볼륨을 연결하고 파일을 쓴 뒤 스냅샷을 다시 만들어 크기가 0 B에서 달라지는지 확인합니다
• 스냅샷 수명 주기 정책(Data Lifecycle Manager) 화면에서 백업 주기와 보관 개수를 정하는 항목을 읽어 봅니다
• CloudTrail 이벤트 기록 글에서 CreateVolume과 CreateSnapshot 이벤트를 찾아 이 실습의 시각을 확인합니다

확인한 범위와 확인하지 않은 것

• 확인한 것: 볼륨 생성 화면의 기본값과 암호화 옵션, KMS 키 목록과 기본 키 정보 화면, 암호화된 1GiB gp3 볼륨 생성, 볼륨과 스냅샷의 암호화 상태 표시, 스냅샷 생성, 스냅샷과 볼륨 삭제.
• 확인하지 않은 것: 볼륨을 인스턴스에 연결하는 것, 스냅샷에서 볼륨 복원, 사용자 지정 KMS 키, 요금, 암호화 기본값 설정(계정 수준), 볼륨을 먼저 지우는 순서. 키와 요금에 대한 설명은 AWS 문서를 근거로 한 것이며 이 실습에서 시험하지 않았습니다. 화면 문구는 이 실습 시점의 한국어 콘솔 기준입니다.