Azure Blob 컨테이너 삭제 복구 보존 기간 점검

설명

컨테이너 일시 삭제는 삭제된 컨테이너와 그 안의 데이터를 정해진 기간 동안 복구할 수 있게 보관합니다. 컨테이너 단위 삭제는 다수의 Blob에 한 번에 영향을 주므로 별도의 복구 정책이 중요합니다.

이 기능은 컨테이너 전체를 복원합니다. 컨테이너가 남아 있는 상태에서 삭제된 개별 Blob은 Blob 일시 삭제나 버전 관리로 보호해야 하며, 스토리지 계정 자체의 삭제도 별도로 방지해야 합니다.

잠재적 영향

• 삭제된 컨테이너의 복구 기간을 놓치면 여러 Blob을 함께 잃을 수 있습니다.
• 대량 데이터의 백업 복원에 의존하면 비용이 늘고 서비스 복구가 지연될 수 있습니다.

해결 방법

• blob_properties.container_delete_retention_policy에 days를 지정하세요. 삭제 발견과 대응 시간에 맞춰 보존 기간을 정하세요.
• 보존 비용을 검토하고 실제 컨테이너 복원을 시험하세요. 복원하려는 원래 이름으로 새 컨테이너를 만들면 복원이 막힐 수 있습니다.
• 개별 Blob을 위한 일시 삭제와 필요한 버전 관리·백업도 구성하고 삭제 권한을 제한하세요.

예시

다음은 5일과 49일의 컨테이너 보존 기간을 비교합니다. 5일도 복구 기간을 제공하지만 Microsoft는 최소 7일을 권장하며 운영 필요에 따라 더 길게 설정할 수 있습니다. 기존 계정을 수정할 때는 다른 속성을 유지하고 Terraform 계획을 확인하세요.

변경 전

resource "azurerm_storage_account" "storage_account" {
  name                     = "appcontainerstore"
  resource_group_name      = azurerm_resource_group.example.name
  location                 = azurerm_resource_group.example.location
  account_tier             = "Standard"
  account_replication_type = "GRS"

  blob_properties {
    container_delete_retention_policy {
      days = 5
    }
  }
}

컨테이너 삭제 후 5일 동안 복구할 수 있습니다. 필요한 탐지·대응 시간보다 짧으면 복구 기회를 잃을 수 있습니다.

변경 후

resource "azurerm_storage_account" "storage_account" {
  name                     = "protectedstore01"
  resource_group_name      = "testRG"
  location                 = "northeurope"
  account_tier             = "Premium"
  account_replication_type = "LRS"

  blob_properties {
    container_delete_retention_policy {
      days = 49
    }
  }
}

컨테이너의 복구 가능 기간을 49일로 늘립니다. 실제 데이터 중요도와 비용에 맞게 기간을 조정하세요.

참조

• CWE-754
• Azure Storage Account container_delete_retention_policy 문서
• Azure Blob 컨테이너 일시 삭제