AWS Config 용어 및 개념
이번 주제에서는 AWS Config 이해를 돕기 위한 몇 가지 주요 개념을 설명합니다.
목차
AWS Config 인터페이스
AWS Config 콘솔
AWS Config 콘솔을 사용하여 서비스를 관리할 수 있습니다. 에 대한 자세한 내용은 AWS Management 콘솔 섹션을 참조하세요..AWS Management 콘솔
AWS Config CLI
AWS Command Line Interface는 명령줄에서 AWS Config과 상호 작용을 할 때 사용할 수 있는 통합 도구입니다. 자세한 내용은 AWS Command Line Interface 사용 설명서를 참조하세요. 전체 AWS Config CLI 명령 목록은 사용 가능한 명령을 참조하세요.
AWS Config API
콘솔 및 CLI 외에도 AWS Config RESTful API를 사용하여 AWS Config을 직접 프로그래밍할 수도 있습니다. 자세한 내용은 AWS Config API 참조를 참조하십시오.
AWS Config SDK
AWS Config API를 사용하는 대신 AWS SDK 중 하나를 사용할 수 있습니다. 각 SDK는 다양한 프로그래밍 언어 및 플랫폼을 위한 라이브러리와 샘플 코드로 구성되어 있습니다. SDK를 사용하면 편리하게 AWS Config에 프로그래밍 방식으로 액세스할 수 있습니다. 예를 들어, SDK를 사용하여 요청에 암호화 방식으로 서명하고, 오류를 관리하며, 자동으로 요청을 재시도할 수 있습니다. 자세한 내용은 Amazon Web Services의 도구
리소스 관리
AWS Config의 기본 구성 요소를 이해하면 리소스 인벤토리 및 변경 추적과 AWS 리소스 구성 평가에 도움이 됩니다.
AWS 리소스
AWS 리소스는 AWS Management 콘솔, AWS Command Line Interface(CLI), AWS SDK 또는 AWS 파트너 도구를 사용하여 만들고 관리하는 개체입니다. AWS 리소스의 예에는 Amazon EC2 인스턴스, 보안 그룹, Amazon VPC, Amazon Elastic Block Store 등이 있습니다. AWS Config는 리소스 ID 또는 Amazon 리소스 이름(ARN)과 같은 고유 식별자를 사용하여 각 리소스를 참조합니다. AWS Config이 지원하는 리소스 유형 목록은 AWS Config에 대해 지원되는 리소스 유형 페이지를 참조하세요.
리소스 관계
AWS Config는 계정에서 AWS 리소스를 탐색한 다음 AWS 리소스 간의 관계 맵을 만듭니다. 예를 들어, 관계에는 보안 그룹 sg-ef678hk과 관련된 Amazon EC2 인스턴스 i-a1b2c3d4에 연결된 Amazon EBS 볼륨 vol-123ab45d이 포함될 수 있습니다.
자세한 내용은 AWS Config에 대해 지원되는 리소스 유형 섹션을 참조하세요.
구성 레코더
구성 레코더는 범위 내 리소스 유형에 대한 구성 변경 사항을 구성 항목으로 저장합니다. 자세한 내용은 구성 레코더 작업 섹션을 참조하세요.
구성 레코더에는 두 가지 유형이 있습니다.
| 유형 | 설명 |
|---|---|
| 고객 관리형 구성 레코더 | 사용자가 관리한 구성 레코더입니다. 범위 내 리소스 유형은 사용자가 설정합니다. 기본적으로 고객 관리형 구성 레코더는 AWS Config가 실행되는 AWS 리전에서 지원되는 모든 리소스를 기록합니다. |
| 서비스 연결 구성 레코더 | 특정 AWS 서비스에 연결된 구성 레코더입니다. 범위 내 리소스 유형은 연결된 서비스에 의해 설정됩니다. |
전송 채널
AWS Config는 AWS 리소스에 발생하는 변경 사항을 계속 기록하면서 전송 채널을 통해 알림 및 업데이트된 구성 상태를 보냅니다. 전송 채널을 관리하여 AWS Config가 구성 업데이트를 보내는 위치를 제어할 수 있습니다.
구성 항목
구성 항목은 계정에 있는 지원되는 AWS 리소스의 다양한 속성에 대한 특정 시점 보기를 나타냅니다. 구성 항목의 구성 요소에는 메타데이터, 속성, 관계, 현재 구성, 관련 이벤트가 있습니다. AWS Config는 기록 중인 리소스 유형의 변경을 발견할 때마다 구성 항목을 만듭니다. 예를 들어, AWS Config가 Amazon S3 버킷을 기록 중인 경우 AWS Config는 버킷이 생성, 업데이트 또는 삭제될 때마다 구성 항목을 만듭니다. AWS Config가 설정한 기록 빈도로 구성 항목을 생성하도록 선택할 수도 있습니다.
자세한 내용은 Components of a Configuration Item 및 레코딩 빈도를 참조하세요.
구성 기록
구성 기록은 임의의 기간 동안 지정된 리소스에 대한 구성 항목의 모음입니다. 구성 기록을 통해 리소스가 처음 생성된 시간, 리소스가 지난 한 달간 구성된 방법, 어제 오전 9시에 도입된 구성 변경에 대한 질문에 답할 수 있습니다. 구성 기록은 여러 형식으로 제공됩니다. AWS Config는 사용자가 지정한 Amazon S3 버킷에 기록되고 있는 각 리소스 유형에 대한 구성 기록 파일을 자동으로 전달합니다. AWS Config 콘솔에서 지정된 리소스를 선택하고 타임라인을 사용하여 해당 리소스의 모든 이전 구성 항목으로 이동할 수 있습니다. 또한 API에서 리소스의 구성 기록 항목에 액세스할 수도 있습니다.
자세한 내용은 규정 준수 기록 보기 및 규정 준수 기록 쿼리를 참조하세요.
구성 스냅샷
구성 스냅샷은 계정에 있는 지원되는 리소스에 대한 구성 항목의 모음입니다. 이 구성 스냅샷은 기록 중인 리소스와 그 구성의 전체 사진입니다. 구성 스냅샷은 구성의 유효성을 검사할 때 유용한 도구일 수 있습니다. 예를 들어, 잘못 구성되었거나 없어야 하는 리소스의 구성 스냅샷을 정기적으로 검토하고자 할 수 있습니다. 구성 스냅샷은 여러 형식으로 제공됩니다. 구성 스냅샷이 지정한 Amazon Simple Storage Service(S3) 버킷으로 전달되도록 할 수 있습니다. 또한 AWS Config 콘솔에서 특정 시점을 선택하고 리소스 간의 관계를 사용하여 구성 항목의 스냅샷을 탐색할 수도 있습니다.
자세한 내용은 구성 스냅샷 전송, 구성 스냅샷 보기 및 구성 스냅샷 예제를 참조하세요.
구성 스트림
구성 스트림은 AWS Config가 기록 중인 리소스에 대한 모든 구성 항목의 자동으로 업데이트된 목록입니다. 리소스가 생성, 수정 또는 삭제될 때마다 AWS Config는 구성 항목을 만들고 구성 스트림에 추가합니다. 구성 스트림은 선택한 Amazon Simple Notification Service(SNS) 주제를 사용하여 작동합니다. 구성 스트림은 잠재적 문제를 찾을 수 있도록 발생한 구성 변경을 관찰할 때 유용합니다. 그러면 특정 리소스가 변경된 경우 알림을 생성하거나 AWS 리소스의 구성을 반영해야 하는 외부 시스템을 업데이트할 수 있습니다.
AWS Config 규칙
AWS Config 규칙은 특정 AWS 리소스에 대한 이상적인 구성 설정을 관리하는 데 도움이 되는 규정 준수 검사입니다. AWS Config는 리소스 구성이 관련 규칙을 준수하는지 여부를 평가하고 규정 준수 결과를 표시합니다.
평가 결과
AWS Config 규칙에 대해 가능한 평가 결과는 다음과 같습니다.
| 평가 결과 | 설명 |
|---|---|
COMPLIANT |
규칙이 규정 준수 검사 조건을 통과합니다. |
NON_COMPLIANT |
규칙이 규정 준수 검사 조건에 실패합니다. |
ERROR |
필수 파라미터 또는 선택 사항 파라미터가 유효하지 않거나 올바른 유형이 아니거나 형식이 잘못되었습니다. |
NOT_APPLICABLE |
규칙의 논리를 적용할 수 없는 리소스를 필터링하는 데 사용되었습니다. 예를 들어 alb-desync-mode-check 규칙은 Application Load Balancer만 검사하고 Network Load Balancer 및 Gateway Load Balancer는 무시합니다. |
규칙 유형
규칙에는 두 가지 유형이 있습니다. 규칙 정의 및 규칙 메타데이터의 구조에 대한 자세한 내용은 AWS Config 규칙 구성 요소를 참조하세요.
| 유형 | 설명 | 추가 정보 |
|---|---|---|
| 관리형 규칙 | AWS Config에서 생성한 사전 정의되고 사용자 지정 가능한 규칙입니다. | 관리형 규칙 목록은 AWS Config 관리형 규칙 목록을 참조하세요. |
| 사용자 지정 규칙 | 처음부터 생성하는 규칙입니다. AWS Config 사용자 지정 규칙을 생성하는 방법에는 두 가지가 있습니다. 하나는 Lambda 함수를 사용하는 방법(AWS Lambda 개발자 가이드)이고 다른 하나는 Guard를 사용하는 방법(Guard GitHub 리포지토리 |
자세한 내용은 AWS Config 사용자 지정 정책 규칙 생성 및 AWS Config 사용자 지정 Lambda 규칙 생성 섹션을 참조하세요. |
트리거 유형
계정에 규칙을 추가하면 AWS Config가 리소스를 해당 규칙의 조건과 비교합니다. AWS Config는 이 첫 평가 후 평가가 트리거될 때마다 계속 평가를 실행합니다. 평가 트리거는 규칙의 일부로 정의되어 있으며, 다음 유형을 포함할 수 있습니다.
| 트리거 유형 | 설명 |
|---|---|
| 구성 변경 | AWS Config는 규칙 범위와 일치하는 리소스가 있고 해당 리소스의 구성이 변경되었을 때 규칙에 대한 평가를 실행합니다. AWS Config가 구성 항목 변경 알림을 보내면 평가가 실행됩니다. 규칙의 범위를 정의하여 평가를 유발하는 리소스를 선택합니다. 범위에는 다음이 포함될 수 있습니다.
AWS Config가 규칙의 범위와 일치하는 리소스의 변경을 발견하면 평가를 실행합니다. 범위를 사용하여 평가를 시작하는 리소스를 제한할 수 있습니다. |
| 주기적 | AWS Config가 사용자가 선택한 간격(예: 24시간마다)으로 이 규칙에 대한 평가를 실행합니다. |
| 하이브리드 | 일부 규칙에는 구성 변경과 주기적 트리거가 모두 있습니다. 이러한 규칙의 경우 AWS Config는 구성 변경이 감지될 때 그리고 지정한 빈도에 따라 리소스를 평가합니다. |
평가 모드
AWS Config 규칙에는 두 가지 평가 모드가 있습니다.
| 평가 모드 | 설명 |
|---|---|
| 사전 | 리소스를 배포하기 전에 평가하려면 사전 평가를 사용합니다. 이를 통해 AWS 리소스를 정의하는 데 사용되는 리소스 속성 세트가 리전 계정에 설정된 사전 규칙 세트를 기준으로 COMPLIANT인지 NON_COMPLIANT인지를 평가할 수 있습니다. 자세한 내용은 평가 모드를 참조하세요. 사전 평가를 지원하는 관리 규칙 목록은 평가 모드별 AWS Config 관리형 규칙 목록을 참조하세요. |
| 탐지 | 탐지 평가를 통해 이미 배포된 리소스를 평가합니다. 이를 통해 기존 리소스의 구성 설정을 평가할 수 있습니다. |
참고
사전 예방 규칙은 NON_COMPLIANT로 플래그가 지정된 리소스를 수정하거나 배포를 금지하지 않습니다.
적합성 팩
적합성 팩이란 단일 계정과 단일 리전 또는 AWS Organizations의 조직 전체에 단일 엔터티로 쉽게 배포할 수 있는 AWS Config 규칙 및 문제 해결 작업의 모음입니다.
적합성 팩은 AWS Config 관리형 규칙이나 사용자 지정 규칙 및 문제 해결 작업의 목록이 포함된 YAML 템플릿을 작성하여 만듭니다. AWS Config 콘솔 또는 AWS CLI를 사용하여 템플릿을 배포할 수 있습니다.
신속하게 시작하고 AWS 환경을 평가하려면 샘플 적합성 팩 템플릿 중 하나를 사용합니다. 또한 사용자 정의 적합성 팩을 기반으로 적합성 팩 YAML 파일을 처음 단계부터 생성할 수도 있습니다. 적합성 팩이란 단일 계정과 단일 AWS 리전 또는 AWS Organizations의 조직 전체에 함께 배포할 수 있는 AWS Config 규칙 및 문제 해결 작업의 고유한 모음입니다.
프로세스 검사는 적합성 팩의 일부로 검증이 필요한 외부 및 내부 작업을 추적할 수 있는 AWS Config 규칙의 유형입니다. 이러한 검사를 기존 적합성 팩이나 새 적합성 팩에 추가할 수 있습니다. AWS Config 기간 및 수동 검사를 포함한 모든 규정 준수를 한 곳에서 추적할 수 있습니다.
다중 계정 다중 리전 데이터 집계
AWS Config의 다중 계정, 다중 리전 데이터 집계 기능을 사용하면 다중 계정 및 다중 리전의 AWS Config 구성과 규정 준수 데이터를 단일 계정으로 집계할 수 있습니다. 다중 계정, 다중 리전 데이터 집계는 중앙 IT 관리자가 엔터프라이즈에서 여러 AWS 계정의 규정 준수를 모니터링하는 데 유용합니다. 애그리게이터를 사용해도 추가 비용이 발생하지 않습니다.
소스 계정
소스 계정은 AWS Config 리소스 구성 및 규정 준수 데이터를 집계할 AWS 계정입니다. 소스 계정은 개별 계정일 수도 있고 AWS Organizations 내 조직일 수도 있습니다. 소스 계정을 개별적으로 입력하거나 AWS Organizations를 통해 검색할 수 있습니다.
소스 리전
소스 리전은 AWS Config 구성 및 규정 준수 데이터를 집계할 AWS 리전입니다.
애그리게이터
애그리게이터가 다중 소스 계정 및 리전의 AWS Config 구성 및 규정 준수 데이터를 수집합니다. 집계된 AWS Config 구성 및 규정 준수 데이터를 보려는 리전에서 애그리게이터를 생성합니다.
참고
애그리게이터는 소스 계정의 데이터를 애그리게이터 계정으로 복제하여 애그리게이터가 볼 권한을 부여받은 소스 계정 및 리전에 대한 읽기 전용 보기를 제공합니다. 애그리게이터는 소스 계정 또는 리전에 대한 변형 액세스 권한을 제공하지 않습니다. 예를 들어, 애그리게이터를 통해 규칙을 배포하거나, 애그리게이터를 통해 소스 계정 또는 리전으로 스냅샷 파일을 보낼 수 없습니다.
서비스 연결 애그리게이터
서비스 연결 애그리게이터는 특정 AWS 서비스에 연결됩니다. 범위 내 구성 및 규정 준수 데이터는 연결된 서비스에 의해 설정됩니다.
애그리게이터 계정
애그리게이터 계정은 사용자가 애그리게이터를 생성하는 계정입니다.
승인
소스 계정 소유자로서, 권한 부여는 사용자가 애그리게이터 계정 및 리전에 AWS Config 구성 및 규정 준수 데이터를 수집하도록 부여하는 권한을 의미합니다. AWS Organizations를 구성하는 소스 계정을 집계하는 경우에는 권한 부여가 필요하지 않습니다.
