수십 TB 데이터베이스를 위한 백업 및 재해 복구(DR)

Question

IT Interview Practice · Accepted Answer

**주기적 스냅샷과 연속 WAL 아카이빙을 결합하여 point-in-time recovery를 제공하고, 오프사이트/교차 리전으로 복제하며, 명시적 RPO/RTO 목표에 대해 정기 복원 훈련으로 증명하십시오.** 한 번도 복원해보지 않은 백업은 계획이 아니라 희망입니다.

## 아키텍처

```text
Primary DB ──snapshot (daily)──▶ Object store (S3) ──cross-region replicate──▶ DR region
     │                               ▲
     └── WAL/binlog stream ──────────┘   (continuous, PITR to any second)
                                          │
                          restore drill ──┴──▶ verified restore ─▶ measure RTO, checksum RPO
```

## 동작 방식

- **스냅샷(Snapshot)**은 볼륨/클러스터의 전체 복사본입니다(예: 일일 EBS 스냅샷 또는 `pg_basebackup`). 복원의 기반이지만 — 어젯밤까지만 복원하면 하루치 write를 잃습니다.
- **WAL / binlog 아카이빙**은 마지막 스냅샷 이후 모든 변경을 object store로 연속 스트리밍합니다. 복원 = 스냅샷 + 선택한 초까지 WAL 리플레이. 이것이 **PITR(point-in-time recovery)**입니다 — 잘못된 `DELETE` 직전인 10:32:04로 복구.
- **오프사이트 / 교차 리전.** DB와 같은 리전의 백업은 그 리전과 함께 죽습니다. 두 번째 리전으로 복제(S3 cross-region replication)하여 리전 장애나 랜섬웨어가 둘 다 앗아가지 않게 하십시오.
- **복원 훈련(Restore drill).** 주기적으로 임시 환경에 복원하여 얼마나 걸렸는지(**RTO**)와 얼마나 데이터를 잃었을지(**RPO**)를 측정하고, 프로덕션과 checksum하십시오.

## RPO vs RTO

- **RPO(Recovery Point Objective)** = 감당할 수 있는 데이터 손실량. 5분마다 WAL 아카이빙 → RPO ≈ 5분. 동기 replica → RPO ≈ 0.
- **RTO(Recovery Time Objective)** = 얼마나 빨리 복귀해야 하는가. S3에서 20TB 복원은 몇 시간이 걸릴 수 있고, warm standby replica는 RTO를 몇 분으로 줄입니다.

## 면접 관점

면접관은 당신이 **스냅샷만으로는 충분하지 않음**(그 사이의 데이터 손실)을 아는지, **RPO/RTO를 숫자로 정의**할 수 있는지, **복원을 테스트**하는지 파고듭니다. 훌륭한 답변은 테스트되지 않은 백업이 정확히 필요할 때 실패한다는 점을 강조하고, 편의가 아니라 *비즈니스* RPO/RTO로부터 전략을 고릅니다. 함정: read replica를 백업으로 가정하는 것 — 복제는 `DROP TABLE`도 충실히 복사합니다.

## 트레이드오프 및 실패

- **비용 vs RTO.** warm 교차 리전 standby는 몇 분의 RTO를 주지만 인프라 비용을 두 배로 늘립니다. cold S3 복원은 저렴하지만 느립니다. 비즈니스가 실제로 필요로 하는 계층을 사십시오.
- **백업 부하.** hot한 20TB DB를 스냅샷하면 I/O가 더해집니다 — replica에서 스냅샷을 뜨십시오.
- **조용한 손상(Silent corruption).** WAL이 손상된 페이지를 아카이브할 수 있습니다 — 주기적 전체 복원 + checksum이 이를 잡습니다.
- **보존 & 규정 준수.** 법적 필요를 위해 충분한 히스토리(예: 35일 PITR + 월간 아카이브)를 유지하십시오. 저렴한 장기 보관에는 Glacier.
- **하지 않아야 할 때:** 아주 작은 DB는 S3로의 야간 `pg_dump`면 충분합니다 — 데이터 손실이 실제 금액으로 측정되기 전까지 전체 WAL + 교차 리전 standby는 과합니다.

아키텍처

동작 방식

RPO vs RTO

면접 관점

트레이드오프 및 실패

관련 질문