기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

구성을 검토하고 업데이트하여 AMS Accelerate가 CloudTrail 추적을 사용할 수 있도록 합니다.

AMS Accelerate는 계정의 모든 리소스에 대한 감사 및 규정 준수를 관리하기 위해 AWS CloudTrail 로깅을 사용합니다. 온보딩 중에 Accelerate가 기본 AWS 리전에 CloudTrail 추적을 배포할지 아니면 기존 CloudTrail 계정에서 생성된 이벤트를 사용할지 선택합니다. 계정에 추적이 구성되어 있지 않은 경우 Accelerate는 온보딩 중에 관리형 CloudTrail 추적을 배포합니다.

Cloud Architect(CA)를 사용하여 CloudTrail 이벤트 전송 대상에 대한 CloudTrail 추적 구성, Amazon S3 버킷 정책 및 AWS KMS 키 정책 검토

Accelerate가 CloudTrail 추적을 사용하려면 먼저 Cloud Architect(CA)와 협력하여 Accelerate 요구 사항을 충족하도록 구성을 검토하고 업데이트해야 합니다. Accelerate를 CloudTrail Organization 추적과 통합하기로 선택한 경우 CA는 사용자와 협력하여 CloudTrail 이벤트 전송 대상 Amazon S3 버킷 및 AWS KMS 키 정책을 업데이트하여 Accelerate 계정에서 교차 계정 쿼리를 활성화합니다. Amazon S3 버킷은 Accelerate에서 관리하는 계정 또는 사용자가 관리하는 계정에 있을 수 있습니다. 온보딩 중에 Accelerate는 CloudTrail Organization 추적 이벤트 전송 대상에 쿼리를 수행할 수 있는지 확인하고 쿼리가 실패하면 온보딩을 일시 중지합니다. 온보딩을 재개할 수 있도록 CA와 협력하여 이러한 구성을 수정합니다.

CloudTrail 계정 또는 조직 추적 구성 검토 및 업데이트

CloudTrail 계정 또는 조직 추적 리소스의 Accelerate CloudTrail 로그 관리를 통합하려면 다음 구성이 필요합니다.

CloudTrail 이벤트 전송 대상에 대한 Amazon S3 버킷 정책 검토 및 업데이트

온보딩 중에 Cloud Architect(CA)와 협력하여 CloudTrail 이벤트 전송 대상에 Amazon S3 버킷 정책 설명을 추가합니다. 사용자가 Accelerate 계정에서 CloudTrail 이벤트 전송 대상 Amazon S3 버킷의 변경 사항을 쿼리할 수 있도록 하려면 Accelerate가 관리하는 조직의 각 계정에 균일하게 이름이 지정된 IAM 역할을 배포하고 모든 Amazon S3 버킷 정책 설명의 aws:PrincipalArn 목록에 추가할 수 있습니다. 이 구성을 사용하면 사용자는 Athena를 사용하여 Accelerate에서 계정의 CloudTrail Organization 추적 이벤트를 쿼리하고 분석할 수 있습니다. Amazon S3 버킷 정책을 업데이트하는 방법에 대한 자세한 내용은 Amazon Simple Storage Service 사용 설명서의 Amazon S3 콘솔을 사용하여 버킷 정책 추가를 참조하세요.

다음 세 가지 Amazon S3 버킷 정책 설명은 Accelerate 계정에서 이벤트 전송 대상 Amazon S3 버킷의 CloudTrail 이벤트를 분석하기 위해의 구성을 검색하고 AWS Athena 쿼리를 실행할 수 있는 Accelerate 액세스 권한을 부여합니다.

{
    "Sid": "DONOTDELETE-AMS-ALLOWBUCKETCONFIGAUDIT",
    "Effect": "Allow",
    "Principal": {
        "AWS": "*"
    },
    "Action": [
        "s3:GetBucketLogging",
        "s3:GetBucketObjectLockConfiguration",
        "s3:GetLifecycleConfiguration",
        "s3:GetEncryptionConfiguration"
    ],
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
    "Condition": {
        "StringEquals": {
            "aws:PrincipalOrgID": "your-organization-id"
        },
        "ArnLike": {
            "aws:PrincipalArn": [
                "arn:aws:iam::*:role/ams-access-*"
            ]
        }
    }
},
{
    "Sid": "DONOTDELETE-AMS-ALLOWLISTBUCKET",
    "Effect": "Allow",
    "Principal": {
        "AWS": "*"
    },
    "Action": "s3:ListBucket",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
    "Condition": {
        "ForAnyValue:StringEquals": {
            "aws:CalledVia": "athena.amazonaws.com"
        },
        "StringLike": {
            "s3:prefix": "your-optional-s3-log-delievery-prefix/AWSLogs/*"
        },
        "StringEquals": {
            "aws:PrincipalOrgID": "your-organization-id"
        },
        "ArnLike": {
            "aws:PrincipalArn": [
                "arn:aws:iam::*:role/ams-access-*"
            ]
        }
    }
},
{
    "Sid": "DONOTDELETE-AMS-ALLOWGETOBJECT",
    "Effect": "Allow",
    "Principal": {
        "AWS": "*"
    },
    "Action": "s3:GetObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/your-optional-s3-log-delievery-prefix/AWSLogs/*",
    "Condition": {
        "ForAnyValue:StringEquals": {
            "aws:CalledVia": "athena.amazonaws.com"
        },
        "StringEquals": {
            "aws:PrincipalOrgID": "your-organization-id"
        },
        "ArnLike": {
            "aws:PrincipalArn": [
                "arn:aws:iam::*:role/ams-access-*"
            ]
        }
    }
}

CloudTrail 이벤트 전송 대상에 대한 AWS KMS 키 정책 검토 및 업데이트

온보딩 중에 Cloud Architect(CA)와 협력하여 Amazon S3 버킷에 전달되는 CloudTrail 추적 이벤트를 암호화하는 데 사용되는 AWS KMS 키 정책을 업데이트합니다. 참조 AWS KMS 키 정책 설명을 기존 AWS KMS 키에 추가해야 합니다. 이렇게 하면 기존 CloudTrail 추적 이벤트 전송 대상 Amazon S3 버킷과 통합하고 이벤트를 복호화하도록 Accelerate가 구성됩니다. 사용자가 Accelerate 계정에서 CloudTrail 이벤트 전송 대상 Amazon S3 버킷의 변경 사항을 쿼리할 수 있도록 하려면 Accelerate가 관리하는 조직의 각 계정에 균일하게 이름이 지정된 IAM 역할을 배포하고 "aws:PrincipalArn" 목록에 추가할 수 있습니다. 이 구성을 사용하면 사용자가 이벤트를 쿼리할 수 있습니다.

고려해야 할 다양한 AWS KMS 주요 정책 업데이트 시나리오가 있습니다. 모든 이벤트를 암호화하도록 CloudTrail 추적에 구성된 AWS KMS 키만 있을 수 있으며 Amazon S3 버킷의 객체를 암호화하는 AWS KMS 키는 없을 수 있습니다. 또는 CloudTrail에서 제공하는 이벤트를 암호화하는 AWS KMS 키 하나와 Amazon S3 버킷에 저장된 모든 객체를 암호화하는 다른 AWS KMS 키 하나가 있을 수 있습니다. AWS KMS 키가 두 개 있는 경우 각 AWS KMS 키의 키 정책을 업데이트하여 CloudTrail 이벤트에 대한 Accelerate 액세스 권한을 부여합니다. 정책을 업데이트하기 전에 참조 AWS KMS 키 정책 설명을 기존 AWS KMS 키 정책으로 수정해야 합니다. AWS KMS 키 정책을 업데이트하는 방법에 대한 자세한 내용은 AWS Key Management Service 사용 설명서의 키 정책 변경을 참조하세요.

이 AWS KMS 키 정책 설명은 Accelerate가 CloudTrail 이벤트를 쿼리하고 분석하는 데 사용하는 Athena에 대한 액세스 권한이 제한된 조직의 각 계정에서 Amazon S3 버킷으로 전송된 추적 이벤트를 해독하고 쿼리할 수 있는 액세스 권한을 Accelerate에 부여합니다. CloudTrail

{
    "Sid": "DONOTDELETE-AMS-ALLOWTRAILOBJECTDECRYPTION",
    "Effect": "Allow",
    "Principal": {
        "AWS": "*"
    },
    "Action": [
        "kms:Decrypt",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "ForAnyValue:StringEquals": {
            "aws:CalledVia": "athena.amazonaws.com"
        },
        "StringEquals": {
            "aws:PrincipalOrgID": "YOUR-ORGANIZATION-ID"
        },
        "ArnLike": {
            "aws:PrincipalArn": [
                "arn:aws:iam::*:role/ams-access-*"
            ]
        }
    }
}