Trusted Advisor Trusted Remediator에서 지원하는 검사 - AMS 고급 사용 설명서
지원되는 Trusted Advisor 비용 최적화 검사지원되는 Trusted Advisor 보안 검사지원되는 내 Trusted Advisor 결함성 검사지원되는 Trusted Advisor 성능 확인지원되는 Trusted Advisor 서비스 제한 검사지원되는 Trusted Advisor 운영 우수성 검사

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Trusted Advisor Trusted Remediator에서 지원하는 검사

다음 표에는 지원되는 Trusted Advisor 검사, SSM 자동화 문서, 사전 구성된 파라미터 및 자동화 문서의 예상 결과가 나와 있습니다. 검사 문제 해결을 위해 SSM 자동화 문서를 활성화하기 전에 예상 결과를 검토하여 비즈니스 요구 사항에 따라 가능한 위험을 이해하는 데 도움이 됩니다.

문제 해결을 활성화하려는 지원되는 Trusted Advisor 검사에 대해 각 검사에 해당하는 구성 규칙이 있는지 확인합니다. 자세한 내용은 기반 AWS Trusted Advisor 검사 보기를 참조하세요 AWS Config. 점검에 해당 AWS Security Hub 제어가 있는 경우 Security Hub 제어가 활성화되어 있는지 확인합니다. 자세한 내용은 Security Hub에서 제어 활성화를 참조하세요. 미리 구성된 파라미터 관리에 대한 자세한 내용은 Trusted Remediator의 Configure Trusted Advisor check remediation를 참조하세요.

Trusted Advisor Trusted Remediator에서 지원하는 비용 최적화 검사

ID 및 이름 확인 SSM 문서 이름 및 예상 결과 지원되는 사전 구성된 파라미터 및 제약 조건

Z4AUBRNSmz

연결되지 않은 탄력적 IP 주소

AWSManagedServices-TrustedRemediatorReleaseElasticIP

리소스와 연결되지 않은 탄력적 IP 주소를 해제합니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

c18d2gz150 - Amazon EC2 인스턴스 중지됨

AWSManagedServices-TerminateEC2InstanceStoppedForPeriodOfTime - 일 수 동안 중지된 Amazon EC2 인스턴스가 종료됩니다.

  • CreateAMIBeforeTermination: Amazon EC2 인스턴스를 종료하기 전에 인스턴스 AMI를 백업으로 생성하려면를 선택합니다true. 종료하기 전에 백업을 생성하지 않으려면를 선택합니다false. 기본값은 true입니다.

  • AllowedDays: 인스턴스가 종료되기 전에 중지된 상태의 일수입니다. 기본값은 30입니다.

제약 없음

c18d2gz128

수명 주기 정책이 구성되지 않은 Amazon ECR 리포지토리

AWSManagedServices-TrustedRemediatorPutECRLifecyclePolicy

수명 주기 정책이 아직 없는 경우 지정된 리포지토리에 대한 수명 주기 정책을 생성합니다.

ImageAgeLimit: Amazon ECR 리포지토리의 'any' 이미지에 대한 일(1~365) 단위의 최대 수명 제한입니다.

제약 없음

DAvU99Dc4C

사용률이 낮은 Amazon EBS 볼륨

AWSManagedServices-DeleteUnusedEBSVolume

지난 7일 동안 볼륨이 연결되지 않은 경우 사용률이 낮은 Amazon EBS 볼륨을 삭제합니다. Amazon EBS 스냅샷은 기본적으로 생성됩니다.

  • CreateSnapshot: 로 설정하면 true자동화가 삭제되기 전에 Amazon EBS 볼륨의 스냅샷을 생성합니다. 기본 설정은 true입니다. 유효한 값은 true 및 false (대/소문자 구분)입니다.

  • MinimumUnattachedDays: 삭제할 EBS 볼륨의 연결되지 않은 최소 일수, 최대 62일. 로 설정하면 0SSM 문서는 연결되지 않은 기간을 확인하지 않고 볼륨이 현재 연결되지 않은 경우 볼륨을 삭제합니다. 기본값은 입니다7.

제약 없음

hjLMh88uM8

유휴 로드 밸런서

AWSManagedServices-DeleteIdleClassicLoadBalancer

사용되지 않고 등록된 인스턴스가 없는 경우 유휴 Classic Load Balancer를 삭제합니다.

IdleLoadBalancerDays: Classic Load Balancer가 유휴 상태로 간주하기 전에 연결을 요청한 일수입니다. 기본값은 7일입니다.

자동 실행이 활성화된 경우 활성 백엔드 인스턴스가 없는 경우 자동화는 유휴 Classic Load Balancer를 삭제합니다. 활성 백엔드 인스턴스가 있지만 정상 백엔드 인스턴스가 없는 모든 유휴 Classic Load Balancer의 경우 자동 문제 해결이 사용되지 않으며 수동 문제 해결을 위한 OpsItems이 생성됩니다.

Ti39halfu8

Amazon RDS 유휴 DB 인스턴스

AWSManagedServices-StopIdleRDSInstance

지난 7일 동안 유휴 상태였던 Amazon RDS DB 인스턴스가 중지됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

COr6dfpM05

AWS Lambda 메모리 크기에 대한 과다 프로비저닝된 함수

AWSManagedServices-ResizeLambdaMemory

AWS Lambda 함수의 메모리 크기가에서 제공하는 권장 메모리 크기로 조정됩니다 Trusted Advisor.

RecommendedMemorySize: Lambda 함수에 대한 권장 메모리 할당입니다. 값 범위는 128~10240입니다.

자동화가 실행되기 전에 Lambda 함수 크기가 수정된 경우이 자동화에서 권장 값으로 설정을 덮어쓸 수 있습니다 Trusted Advisor.

Qch7DwouX1

낮은 사용률의 Amazon EC2 인스턴스

AWSManagedServices-StopEC2Instance(자동 및 수동 실행 모드 모두에 대한 기본 SSM 문서)

사용률이 낮은 Amazon EC2 인스턴스는 중지됩니다.

ForceStopWithInstanceStore: 인스턴스 스토어를 사용하여 인스턴스를 강제 중지true하려면 로 설정합니다. 그렇지 않으면 false(으)로 설정합니다. 의 기본값은 인스턴스 중지를 false 방지합니다. 유효한 값은 true 또는 false(대/소문자 구분)입니다.

제약 없음

Qch7DwouX1

낮은 사용률의 Amazon EC2 인스턴스

AWSManagedServices-ResizeInstanceByOneLevel

Amazon EC2 인스턴스는 동일한 인스턴스 패밀리 유형에서 하나의 인스턴스 유형으로 크기가 조정됩니다. 크기 조정 작업 중에 인스턴스가 중지 및 시작되고 SSM 문서 실행이 완료된 후 초기 상태로 돌아갑니다. 이 자동화는 Auto Scaling 그룹에 있는 인스턴스의 크기 조정을 지원하지 않습니다.

  • MinimumDaysSinceLastChange: 마지막 인스턴스 유형 변경 이후 최소 일수입니다. 인스턴스 유형이 지정된 시간 내에 수정된 경우 인스턴스 유형은 변경되지 않습니다. 0를 사용하여이 검증을 건너뜁니다. 기본값은 7입니다.

  • CreateAMIBeforeResize: 크기를 조정하기 전에 인스턴스 AMI를 백업으로 생성하려면를 선택합니다true. 백업을 생성하지 않으려면를 선택합니다false. 기본값은 false입니다. 유효한 값은 true 및 false (대소문자 구분)입니다.

  • ResizeIfStopped: 인스턴스가 중지된 상태인 경우에도 인스턴스 크기 변경을 진행하려면를 선택합니다true. 중지된 상태인 경우 인스턴스의 크기를 자동으로 조정하지 않으려면를 선택합니다false. 유효한 값은 true 및 false (대/소문자 구분)입니다.

제약 없음

Qch7DwouX1

낮은 사용률의 Amazon EC2 인스턴스

AWSManagedServices-TerminateInstance

Auto Scaling 그룹의 일부가 아니고 종료 방지 기능이 활성화되지 않은 경우 활용률이 낮은 Amazon EC2 인스턴스가 종료됩니다. AMI는 기본적으로 생성됩니다.

CreateAMIBeforeTermination: EC2 인스턴스를 종료하기 전에 인스턴스 AMI를 백업으로 생성false하려면이 옵션을 true 또는 로 설정합니다. 기본값은 true입니다. 유효한 값은 true 및 false (대소문자 구분)입니다.

제약 없음

G31sQ1E9U

Underutilized Amazon Redshift Clusters

AWSManagedServices-PauseRedshiftCluster

Amazon Redshift 클러스터가 일시 중지되었습니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

c1cj39rr6v

Amazon S3 불완전 멀티파트 업로드 중단 구성

AWSManagedServices-TrustedRemediatorEnableS3AbortIncompleteMultipartUpload

Amazon S3 버킷은 특정 일 후에도 불완전하게 유지되는 멀티파트 업로드를 중단하도록 수명 주기 규칙으로 구성됩니다.

DaysAfterInitiation:Amazon S3가 불완전한 멀티파트 업로드를 중지한 이후의 일수입니다. 기본값은 7일로 설정됩니다.

제약 없음

c1z7kmr00n

인스턴스에 대한 Amazon EC2 비용 최적화 권장 사항

 의 Amazon EC2 인스턴스 권장 사항 및 유휴 Amazon EC2 인스턴스를 사용합니다Trusted Remediator에서 지원하는 Compute Optimizer 권장 사항.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

c1z7kmr02n

볼륨에 대한 Amazon EBS 비용 최적화 권장 사항

 에서 Amazon EBS 볼륨 권장 사항 및 유휴 Amazon EBS 볼륨을 사용합니다Trusted Remediator에서 지원하는 Compute Optimizer 권장 사항.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

c1z7kmr03n

DB 인스턴스에 대한 Amazon RDS 비용 최적화 권장 사항

 의 유휴 Amazon RDS 인스턴스를 사용합니다Trusted Remediator에서 지원하는 Compute Optimizer 권장 사항.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

c1z7kmr05n

AWS Lambda 함수에 대한 비용 최적화 권장 사항

 의 Lambda 함수 권장 사항을 사용합니다Trusted Remediator에서 지원하는 Compute Optimizer 권장 사항.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

Trusted Advisor Trusted Remediator에서 지원하는 보안 검사

ID 및 이름 확인 SSM 문서 이름 및 예상 결과 지원되는 사전 구성된 파라미터 및 제약 조건

12Fnkpl8Y5

노출된 액세스 키

AWSManagedServices-TrustedRemediatorDeactivateIAMAccessKey

노출된 IAM 액세스 키가 비활성화됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

노출된 IAM 액세스 키로 구성된 애플리케이션은 인증할 수 없습니다.

Hs4Ma3G127 - API Gateway REST 및 WebSocket API 실행 로깅을 활성화해야 합니다.

해당 AWS Security Hub 검사: APIGateway.1

AWSManagedServices-TrustedRemediatorEnableAPIGateWayExecutionLogging

실행 로깅은 API 단계에서 활성화됩니다.

LogLevel: 실행 로깅을 활성화하는 로깅 수준 ERROR - 로깅은 오류에 대해서만 활성화됩니다. INFO - 모든 이벤트에 대해 로깅이 활성화됩니다.

실행 로그를 활성화하려면 계정의 CloudWatch에 로그를 읽고 쓸 수 있는 API Gateway 권한을 부여해야 합니다. 자세한 내용은 API Gateway에서 REST APIs에 대한 CloudWatch 로깅 설정을 참조하세요.

Hs4Ma3G129 - API Gateway REST API 스테이지에는 AWS X-Ray 추적이 활성화되어 있어야 합니다.

해당 AWS Security Hub 검사: APIGateway.3

AWSManagedServices-EnableApiGateWayXRayTracing

X-Ray 추적은 API 단계에서 활성화됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

Hs4Ma3G202 - API Gateway REST API 캐시 데이터는 저장 시 암호화되어야 합니다.

해당 AWS Security Hub 검사: APIGateway.5

AWSManagedServices-EnableAPIGatewayCacheEncryption

API Gateway REST API 단계에 캐시가 활성화된 경우 API Gateway REST API 캐시 데이터에 대해 유휴 시 암호화를 활성화합니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

Hs4Ma3G177 -

해당 AWS Security Hub 검사 - 로드 밸런서와 연결된 Auto Scaling 그룹은 로드 밸런서 상태 확인 AutoScaling.1

AWSManagedServices-TrustedRemediatorEnableAutoScalingGroupELBHealthCheck

Auto Scaling 그룹에 대해 Elastic Load Balancing 상태 확인이 활성화됩니다.

HealthCheckGracePeriod: Auto Scaling이 서비스되는 Amazon Elastic Compute Cloud 인스턴스의 상태를 확인하기 전에 대기하는 초 단위 시간입니다.

Auto Scaling 그룹에 연결된 Elastic Load Balancing 로드 밸런서 중 하나라도 비정상으로 보고하면 Elastic Load Balancing 상태 확인을 켜면 실행 중인 인스턴스가 교체될 수 있습니다. 자세한 내용은 Auto Scaling 그룹에 Elastic Load Balancing 로드 밸런서 연결을 참조하세요.

Hs4Ma3G245 - CloudFormation 스택은 Amazon Simple Notification Service와 통합되어야 합니다.

해당 AWS Security Hub 검사: CloudFormation.1

AWSManagedServices-EnableCFNStackNotification

CloudFormation 스택을 Amazon SNS 주제와 연결하여 알림을 받습니다.

NotificationARNs 선택한 CloudFormation 스택과 연결할 Amazon SNS 주제의 ARNs입니다.

자동 문제 해결을 활성화하려면 NotificationARNs 사전 구성된 파라미터를 제공해야 합니다.

Hs4Ma3G210 - CloudFront 배포에는 로깅이 활성화되어 있어야 합니다.

해당 AWS Security Hub 검사: CloudFront.2

AWSManagedServices-EnableCloudFrontDistributionLogging

Amazon CloudFront 배포에 대해 로깅이 활성화됩니다.

  • BucketName: 액세스 로그를 저장할 Amazon S3 버킷의 이름입니다.

  • S3KeyPrefix: theAmazon CloudFront 배포 로그의 S3 버킷에 있는 위치의 접두사입니다.

  • IncludeCookies: 액세스 로그에 쿠키를 포함할지 여부를 나타냅니다.

자동 문제 해결을 활성화하려면 다음과 같이 미리 구성된 파라미터를 제공해야 합니다.

  • BucketName

  • S3KeyPrefix

  • IncludeCookies

이 문제 해결 제약 조건은 CloudFront 배포에 대한 로깅을 켜려면 어떻게 해야 하나요?를 참조하세요.

Hs4Ma3G109 - CloudTrail 로그 파일 검증을 활성화해야 합니다.

해당 AWS Security Hub 검사: CloudTrail.4

AWSManagedServices-TrustedRemediatorEnableCloudTrailLogValidation

CloudTrail 추적 로그 검증을 활성화합니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

Hs4Ma3G108 - CloudTrail 추적은 Amazon CloudWatch Logs와 통합되어야 합니다.

해당 AWS Security Hub 검사: CloudTrail.5

AWSManagedServices-IntegrateCloudTrailWithCloudWatch

AWS CloudTrail 는 CloudWatch Logs와 통합됩니다.

  • CloudWatchLogsLogGroupName: CloudTrail 로그가 전달되는 CloudWatch Logs 로그 그룹의 이름입니다. 계정에 있는 로그 그룹을 사용해야 합니다.

  • CloudWatchLogsRoleName: 사용자의 로그 그룹에 쓰기 위해 맡을 CloudWatch Logs 엔드포인트의 IAM 역할 이름입니다. 계정에 있는 역할을 사용해야 합니다.

자동 문제 해결을 활성화하려면 다음과 같이 미리 구성된 파라미터를 제공해야 합니다.

  • CloudWatchLogsLogGroupName

  • CloudWatchLogsRoleName

Hs4Ma3G217 - CodeBuild 프로젝트 환경에 로깅 AWS 구성이 있어야 합니다.

해당 AWS Security Hub 검사: CodeBuild.4

AWSManagedServices-TrustedRemediatorEnableCodeBuildLoggingConfig

CodeBuild 프로젝트에 대한 로깅을 활성화합니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

Hs4Ma3G306 - Neptune DB 클러스터에는 삭제 방지 기능이 활성화되어 있어야 합니다.

해당 AWS Security Hub 검사: DocumentDB.3

AWSManagedServices-TrustedRemediatorDisablePublicAccessOnDocumentDBSnapshot

Amazon DocumentDB 수동 클러스터 스냅샷에서 퍼블릭 액세스를 제거합니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

Hs4Ma3G308 - Amazon DocumentDB 클러스터에는 삭제 방지 기능이 활성화되어 있어야 합니다.

해당 AWS Security Hub 검사: DocumentDB.5

AWSManagedServices-TrustedRemediatorEnableDocumentDBClusterDeletionProtection

Amazon DocumentDB 클러스터에 대한 삭제 보호를 활성화합니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

Hs4Ma3G323 - DynamoDB 테이블에 삭제 방지 기능이 활성화되어 있어야 합니다.

해당 AWS Security Hub 검사: DynamoDB.6

AWSManagedServices-TrustedRemediatorEnableDynamoDBTableDeletionProtection

비 AMS DynamoDB 테이블에 대한 삭제 보호를 활성화합니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

ePs02jT06w - Amazon EBS 퍼블릭 스냅샷

AWSManagedServices-TrustedRemediatorDisablePublicAccessOnEBSSnapshot

Amazon EBS 스냅샷에 대한 퍼블릭 액세스가 비활성화되었습니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

Hs4Ma3G118 - VPC 기본 보안 그룹은 인바운드 또는 아웃바운드 트래픽을 허용해서는 안 됩니다.

해당 AWS Security Hub 검사: EC2.2

AWSManagedServices-TrustedRemediatorRemoveAllRulesFromDefaultSG

기본 보안 그룹의 모든 수신 및 송신 규칙이 제거됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

Hs4Ma3G117 - 연결된 EBS 볼륨은 유휴 시 암호화되어야 합니다.

해당 AWS Security Hub 검사: EC2.3

AWSManagedServices-EncryptInstanceVolume

인스턴스에 연결된 Amazon EBS 볼륨이 암호화됩니다.

  • 볼륨을 암호화하기 위한 KMSKeyId: AWS KMS key ID 또는 ARN입니다.

  • DeleteStaleNonEncryptedSnapshotBackups: 암호화되지 않은 이전 볼륨의 스냅샷 백업을 삭제할지 여부를 결정하는 플래그입니다.

가 복원에 false 도움이 되도록 로 설정된 경우 문제 해결 및 롤백의 일부로 인스턴스DeleteStaleNonEncryptedSnapshotBackups가 재부팅될 수 있습니다.

Hs4Ma3G120 - 중지된 EC2 인스턴스는 지정된 기간 후에 제거해야 합니다.

해당 AWS Security Hub 검사: EC2.4

AWSManagedServices-TerminateInstance(자동 및 수동 실행 모드 모두에 대한 기본 SSM 문서)

30일 동안 중지된 Amazon EC2 인스턴스는 종료됩니다.

CreateAMIBeforeTermination:. EC2 인스턴스를 종료하기 전에 인스턴스 AMI를 백업으로 생성하려면를 선택합니다true. 종료하기 전에 백업을 생성하지 않으려면를 선택합니다false. 기본값은 true입니다.

제약 조건 없음

Hs4Ma3G120 - 중지된 EC2 인스턴스는 지정된 기간 후에 제거해야 합니다.

해당 AWS Security Hub 검사: EC2.4

AWSManagedServices-TerminateEC2InstanceStoppedForPeriodOfTime - Security Hub에 정의된 일수 동안 중지된 Amazon EC2 인스턴스(기본값은 30)가 종료됩니다.

CreateAMIBeforeTermination: EC2 인스턴스를 종료하기 전에 인스턴스 AMI를 백업으로 생성하려면를 선택합니다true. 종료하기 전에 백업을 생성하지 않으려면를 선택합니다false. 기본값은 true입니다.

제약 조건 없음

Hs4Ma3G121 - EBS 기본 암호화를 활성화해야 합니다.

해당 AWS Security Hub 검사: EC2.7

AWSManagedServices-EncryptEBSByDefault

Amazon EBS 암호화는 기본적으로 특정에 대해 활성화됩니다. AWS 리전

사전 구성된 파라미터는 허용되지 않습니다.

암호화 기본 제공은 리전별 설정입니다. 리전에 대해 활성화하면 해당 리전의 개별 볼륨 또는 스냅샷에 대해 비활성화할 수 없습니다.

Hs4Ma3G124 - Amazon EC2 인스턴스는 인스턴스 메타데이터 서비스 버전 2(IMDSv2)를 사용해야 합니다.

해당 AWS Security Hub 검사: EC2.8

AWSManagedServices-TrustedRemediatorEnableEC2InstanceIMDSv2

Amazon EC2 인스턴스는 인스턴스 메타데이터 서비스 버전 2(IMDSv2)를 사용합니다.

  • IMDSv1MetricCheckPeriod: CloudWatch에서 IMDSv1 사용량 지표를 분석할 일수(42-455)입니다. Amazon EC2 인스턴스가 지정된 기간 내에 생성된 경우 분석은 인스턴스 생성일부터 시작됩니다.

  • HttpPutResponseHopLimit: 인스턴스 메타데이터 토큰에 허용되는 최대 네트워크 홉 수입니다. 이 값은 1와 2 홉 간에 구성할 수 있습니다. 홉 제한은 인스턴스에서 직접 실행되는 프로세스에 대한 토큰 액세스를 1 제한하는 반면, 홉 제한은 인스턴스에서 실행되는 컨테이너에서의 액세스를 2 허용합니다.

제약 조건 없음

Hs4Ma3G207 - EC2 서브넷이 퍼블릭 IP 주소를 자동으로 할당해서는 안 됩니다.

해당 AWS Security Hub 검사: EC2.15

AWSManagedServices-UpdateAutoAssignPublicIpv4Addresses

VPC 서브넷은 퍼블릭 IP 주소를 자동으로 할당하지 않도록 구성됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

Hs4Ma3G209 - 미사용 네트워크 액세스 제어 목록이 제거됨

해당 AWS Security Hub 검사: EC2.16

AWSManagedServices-DeleteUnusedNACL

미사용 네트워크 ACL 삭제

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

Hs4Ma3G215 - 미사용 Amazon EC2 보안 그룹은 제거해야 합니다.

해당 AWS Security Hub 검사: EC2.22

AWSManagedServices-DeleteSecurityGroups

사용하지 않는 보안 그룹을 삭제합니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

Hs4Ma3G247 - Amazon EC2 Transit Gateway가 VPC 연결 요청을 자동으로 수락해서는 안 됩니다.

해당 AWS Security Hub 검사: EC2.23

AWSManagedServices-TrustedRemediatorDisableTGWAutoVPCAttach - 지정된 비 AMS Amazon EC2 Transit Gateway에 대한 VPC 연결 요청의 자동 수락을 비활성화합니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

Hs4Ma3G235 - ECR 프라이빗 리포지토리에는 태그 불변성이 구성되어 있어야 합니다.

해당 AWS Security Hub 검사: ECR.2

AWSManagedServices-TrustedRemediatorSetImageTagImmutability

지정된 리포지토리에 대한 이미지 태그 변경 가능성 설정을 IMMUTABLE로 설정합니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

Hs4Ma3G216 - ECR 리포지토리에는 하나 이상의 수명 주기 정책이 구성되어 있어야 합니다.

해당 AWS Security Hub 검사: ECR.3

AWSManagedServices-PutECRRepositoryLifecyclePolicy

ECR 리포지토리에는 수명 주기 정책이 구성되어 있습니다.

LifecyclePolicyText: 리포지토리에 적용할 JSON 리포지토리 정책 텍스트입니다.

자동 문제 해결을 활성화하려면 다음과 같이 미리 구성된 파라미터를 제공해야 합니다.

LifecyclePolicyText

Hs4Ma3G325 - EKS 클러스터에는 감사 로깅이 활성화되어 있어야 합니다.

해당 AWS Security Hub 검사: EKS.8

AWSManagedServices-TrustedRemediatorEnableEKSAuditLog

EKS 클러스터에 대해 감사 로그가 활성화됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

Hs4Ma3G183 - HTTP 헤더를 삭제하도록 애플리케이션 로드 밸런서를 구성해야 합니다.

해당 AWS Security Hub 검사: ELB.4

AWSConfigRemediation-DropInvalidHeadersForALB

Application Load Balancer가 잘못된 헤더 필드로 구성되어 있습니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

Hs4Ma3G184 - Application Load Balancer 및 Classic Load Balancer 로깅을 활성화해야 합니다.

해당 AWS Security Hub 검사: ELB.5

AWSManagedServices-EnableELBLogging(자동 및 수동 실행 모드 모두에 대한 기본 SSM 문서)

Application Load Balancer 및 Classic Load Balancer 로깅이 활성화되어 있습니다.

  • BucketName: 버킷 이름(ARN 아님). 버킷 정책이 로깅을 위해 올바르게 구성되어 있는지 확인합니다.

  • S3KeyPrefix: Elastic Load Balancing 로그에 대한 Amazon S3 버킷 위치의 접두사입니다.

자동 문제 해결을 활성화하려면 다음과 같이 미리 구성된 파라미터를 제공해야 합니다.

  • BucketName

  • S3KeyPrefix

Amazon S3 버킷에는 버킷에 액세스 로그를 쓸 수 있는 권한을 Elastic Load Balancing에 부여하는 버킷 정책이 있어야 합니다.

Hs4Ma3G184 - Application Load Balancer 및 Classic Load Balancer 로깅을 활성화해야 합니다.

해당 AWS Security Hub 검사: ELB.5

AWSManagedServices-EnableELBLoggingV2

Application Load Balancer 및 Classic Load Balancer 로깅이 활성화되어 있습니다.

  • TargetBucketTagKey: 대상 Amazon S3 버킷을 식별하는 데 사용되는 태그 이름(대소문자 구분)입니다. 와 함께 사용하여 액세스 로깅을 위한 대상 버킷 역할을 할 버킷에 TargetBucketTagValue 태그를 지정합니다.

  • TargetBucketTagValue: 대상 Amazon S3 버킷을 식별하는 데 사용되는 태그 값(대소문자 구분)입니다. 와 함께 사용하여 액세스 로깅을 위한 대상 버킷 역할을 할 버킷에 TargetBucketTagKey 태그를 지정합니다.

  • S3BucketPrefix: Amazon S3 버킷의 접두사(논리적 계층 구조)입니다. 지정하는 접두사에는 문자열 AWSLogs가 포함되지 않아야 합니다. 자세한 내용은 접두사를 사용한 객체 구성을 참조하세요.

    자동 문제 해결을 활성화하려면 다음과 같이 미리 구성된 파라미터를 제공해야 합니다.

    • TargetBucketTagKey

    • TargetBucketTagValue

    • S3BucketPrefix

    Amazon S3 버킷에는 버킷에 액세스 로그를 쓸 수 있는 권한을 Elastic Load Balancing에 부여하는 버킷 정책이 있어야 합니다.

Hs4Ma3G326 - Amazon EMR 퍼블릭 액세스 차단 설정을 활성화해야 합니다.

해당 AWS Security Hub 검사: EMR.2

AWSManagedServices-TrustedRemediatorEnableEMRBlockPublicAccess

계정에 대해 Amazon EMR 퍼블릭 액세스 차단 설정이 켜져 있습니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

Hs4Ma3G135 - AWS KMS 키를 실수로 삭제해서는 안 됩니다.

해당 AWS Security Hub 검사: KMS.3

AWSManagedServices-CancelKeyDeletion

AWS KMS 키 삭제가 취소되었습니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

Hs4Ma3G299 - Amazon DocumentDB 수동 클러스터 스냅샷은 퍼블릭이어서는 안 됩니다.

해당 AWS Security Hub 검사: Neptune.4

AWSManagedServices-TrustedRemediatorEnableNeptuneDBClusterDeletionProtection

Amazon Neptune 클러스터에 대한 삭제 보호를 활성화합니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

Hs4Ma3G319 - Network Firewall 방화벽에는 삭제 방지 기능이 활성화되어 있어야 합니다.

해당 AWS Security Hub 검사: NetworkFirewall.9

AWSManagedServices-TrustedRemediatorEnableNetworkFirewallDeletionProtection - AWS Network Firewall에 대한 삭제 보호를 활성화합니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

Hs4Ma3G223 - OpenSearch 도메인은 노드 간에 전송된 데이터를 암호화해야 합니다.

해당 AWS Security Hub 검사: OpenSearch.3

AWSManagedServices-EnableOpenSearchNodeToNodeEncryption

도메인에 대해 노드 간 암호화가 활성화됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

node-to-node 암호화가 활성화된 후에는 설정을 비활성화할 수 없습니다. 대신 암호화된 도메인의 수동 스냅샷을 만들고, 다른 도메인을 생성하고, 데이터를 마이그레이션한 다음 이전 도메인을 삭제합니다.

Hs4Ma3G222 - CloudWatch Logs에 대한 OpenSearch 도메인 오류 로깅을 활성화해야 합니다.

해당 AWS Security Hub 검사: Opensearch.4

AWSManagedServices-EnableOpenSearchLogging

OpenSearch 도메인에 대해 오류 로깅이 활성화되어 있습니다.

CloudWatchLogGroupArn: anAmazon CloudWatch Logs 로그 그룹의 ARN입니다.

자동 문제 해결을 활성화하려면 미리 구성된 파라미터인 CloudWatchLogGroupArn을 제공해야 합니다.

Amazon CloudWatch 리소스 정책은 권한으로 구성해야 합니다. 자세한 내용은 Amazon OpenSearch Service 사용 설명서의 감사 로그 활성화를 참조하세요.

Hs4Ma3G221 - OpenSearch 도메인에는 감사 로깅이 활성화되어 있어야 합니다.

해당 AWS Security Hub 검사: Opensearch.5

AWSManagedServices-EnableOpenSearchLogging

OpenSearch 도메인은 감사 로깅이 활성화된 상태로 구성됩니다.

CloudWatchLogGroupArn: 로그를 게시할 CloudWatch Logs 그룹의 ARN입니다.

자동 문제 해결을 활성화하려면 미리 구성된 파라미터를 제공해야 합니다. CloudWatchLogGroupArn

Amazon CloudWatch 리소스 정책은 권한으로 구성해야 합니다. 자세한 내용은 Amazon OpenSearch Service 사용 설명서의 감사 로그 활성화를 참조하세요.

Hs4Ma3G220 - OpenSearch 도메인에 대한 연결은 TLS 1.2를 사용하여 암호화해야 합니다.

해당 AWS Security Hub 검사: Opensearch.8

AWSManagedServices-EnableOpenSearchEndpointEncryptionTLS1.2

TLS 정책은 `Policy-Min-TLS-1-2-2019-07`로 설정되며 HTTPS(TLS)를 통한 암호화된 연결만 허용됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

TLS 1.2를 사용하려면 OpenSearch 도메인에 연결해야 합니다. 전송 중 데이터를 암호화하면 성능에 영향을 미칠 수 있습니다. 이 기능으로 애플리케이션을 테스트하여 성능 프로파일과 TLS의 영향을 이해합니다.

Hs4Ma3G194 - Amazon RDS 스냅샷은 프라이빗이어야 합니다.

해당 AWS Security Hub 검사: RDS.1

AWSManagedServices-DisablePublicAccessOnRDSSnapshotV2

Amazon RDS 스냅샷에 대한 퍼블릭 액세스가 비활성화되었습니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

Hs4Ma3G192 - RDS DB 인스턴스는 PubliclyAccessible AWS 구성에 따라 퍼블릭 액세스를 금지해야 합니다.

해당 AWS Security Hub 검사: RDS.2

AWSManagedServices-TrustedRemediatorDisablePublicAccessOnRDSInstance

RDS DB 인스턴스에서 퍼블릭 액세스를 비활성화합니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

Hs4Ma3G189 - Amazon RDS DB 인스턴스에 대해 향상된 모니터링이 구성됨

해당 AWS Security Hub 검사: RDS.6

AWSManagedServices-TrustedRemediatorEnableRDSEnhancedMonitoring

Amazon RDS DB 인스턴스에 대한 향상된 모니터링 활성화

  • MonitoringInterval: DB 인스턴스에 대해 Enhanced Monitoring 지표가 수집되는 시점 사이의 초 단위 간격입니다. 유효한 간격은 0, 1, 5, 10, 15, 30, 60입니다. 확장 모니터링 지표의 수집을 비활성화하려면 0을 지정합니다.

  • MonitoringRoleName: Amazon RDS가 향상된 모니터링 지표를 Amazon CloudWatch Logs로 전송하도록 허용하는 IAM 역할의 이름입니다. 역할을 지정하지 않으면 기본 역할rds-monitoring-role이 사용되거나 존재하지 않는 경우 기본 역할이 생성됩니다.

자동화 실행 전에 향상된 모니터링이 활성화된 경우이 자동화는 사전 구성된 파라미터에 구성된 MonitoringInterval 및 MonitoringRoleName 값을 사용하여 설정을 덮어쓸 수 있습니다.

Hs4Ma3G190 - Amazon RDS 클러스터에는 삭제 방지 기능이 활성화되어 있어야 합니다.

해당 AWS Security Hub 검사: RDS.7

AWSManagedServices-TrustedRemediatorEnableRDSDeletionProtection

Amazon RDS 클러스터에 대해 삭제 방지가 활성화되어 있습니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

Hs4Ma3G198 - Amazon RDS DB 인스턴스에는 삭제 방지 기능이 활성화되어 있어야 합니다.

해당 AWS Security Hub 검사: RDS.8

AWSManagedServices-TrustedRemediatorEnableRDSDeletionProtection

Amazon RDS 인스턴스에 대해 삭제 방지가 활성화됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

Hs4Ma3G199 - RDS DB 인스턴스는 CloudWatch Logs에 로그를 게시해야 합니다.

해당 AWS Security Hub 검사: RDS.9

AWSManagedServices-TrustedRemediatorEnableRDSLogExports

RDS DB 인스턴스 또는 RDS DB 클러스터에 대해 RDS 로그 내보내기가 활성화됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

서비스 연결 역할 AWSServiceRoleForRDS가 필요합니다.

Hs4Ma3G160 - RDS 인스턴스에 대해 IAM 인증을 구성해야 합니다.

해당 AWS Security Hub 검사: RDS.10

AWSManagedServices-UpdateRDSIAMDatabaseAuthentication

AWS Identity and Access Management RDS 인스턴스에 대해 인증이 활성화됩니다.

ApplyImmediately:이 요청의 수정 사항과 보류 중인 수정 사항이 최대한 빨리 비동기적으로 적용되는지 여부를 나타냅니다. 변경 사항을 즉시 적용하려면를 선택합니다true. 다음 유지 관리 기간에 대한 변경을 예약하려면를 선택합니다false.

제약 조건 없음

Hs4Ma3G161 - RDS 클러스터에 대해 IAM 인증을 구성해야 합니다.

해당 AWS Security Hub 검사: RDS.12

AWSManagedServices-UpdateRDSIAMDatabaseAuthentication

RDS 클러스터에 대해 IAM 인증이 활성화됩니다.

ApplyImmediately:이 요청의 수정 사항과 보류 중인 수정 사항이 최대한 빨리 비동기식으로 적용되는지 여부를 나타냅니다. 변경 사항을 즉시 적용하려면를 선택합니다true. 다음 유지 관리 기간에 대한 변경을 예약하려면를 선택합니다false.

제약 조건 없음

Hs4Ma3G162 - RDS 자동 마이너 버전 업그레이드를 활성화해야 합니다.

해당 AWS Security Hub 검사: RDS.13

AWSManagedServices-UpdateRDSInstanceMinorVersionUpgrade

Amazon RDS에 대한 마이너 버전 자동 업그레이드 구성이 활성화됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

이 문제 해결을 수행하려면 Amazon RDS 인스턴스가 available 상태여야 합니다.

Hs4Ma3G163 - 스냅샷에 태그를 복사하도록 RDS DB 클러스터를 구성해야 합니다.

해당 AWS Security Hub 검사: RDS.16

AWSManagedServices-UpdateRDSCopyTagsToSnapshots

CopyTagtosnapshot Amazon RDS 클러스터에 대한 설정이 활성화되어 있습니다.

사전 구성된 파라미터는 허용되지 않습니다.

이 문제 해결을 수행하려면 Amazon RDS 인스턴스가 사용 가능한 상태여야 합니다.

Hs4Ma3G164 - 스냅샷에 태그를 복사하도록 RDS DB 인스턴스를 구성해야 합니다.

해당 AWS Security Hub 검사: RDS.17

AWSManagedServices-UpdateRDSCopyTagsToSnapshots

CopyTagsToSnapshot Amazon RDS에 대한 설정이 활성화되어 있습니다.

사전 구성된 파라미터는 허용되지 않습니다.

이 문제 해결을 수행하려면 Amazon RDS 인스턴스가 사용 가능한 상태여야 합니다.

rSs93HQwa1

Amazon RDS 퍼블릭 스냅샷

AWSManagedServices-DisablePublicAccessOnRDSSnapshotV2

Amazon RDS 스냅샷에 대한 퍼블릭 액세스가 비활성화되었습니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

Hs4Ma3G103 - Amazon Redshift 클러스터는 퍼블릭 액세스를 금지해야 합니다.

해당 AWS Security Hub 검사: Redshift.1

AWSManagedServices-DisablePublicAccessOnRedshiftCluster

Amazon Redshift 클러스터의 퍼블릭 액세스가 비활성화되었습니다.

사전 구성된 파라미터는 허용되지 않습니다.

퍼블릭 액세스를 비활성화하면 인터넷에서 들어오는 모든 클라이언트가 차단됩니다. 그리고 Amazon Redshift 클러스터는 몇 분 동안 수정 상태인 반면 수정은 클러스터에 대한 퍼블릭 액세스를 비활성화합니다.

Hs4Ma3G106 - Amazon Redshift 클러스터에는 감사 로깅이 활성화되어 있어야 합니다.

해당 AWS Security Hub 검사: Redshift.4

AWSManagedServices-TrustedRemediatorEnableRedshiftClusterAuditLogging

유지 관리 기간 동안 Amazon Redshift 클러스터에 대한 감사 로깅이 활성화됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

자동 문제 해결을 활성화하려면 다음과 같은 사전 구성된 파라미터를 제공해야 합니다.

BucketName: 버킷이 동일해야 합니다 AWS 리전. 클러스터에는 읽기 버킷이 있어야 하며 객체 권한을 부여해야 합니다.

자동화 실행 전에 Redshift 클러스터 로깅이 활성화된 경우이 자동화에서 사전 구성된 파라미터에 구성된 BucketName 및 S3KeyPrefix 값으로 로깅 설정을 덮어쓸 수 있습니다.

Hs4Ma3G105 - Amazon Redshift는 메이저 버전으로 자동 업그레이드가 활성화되어 있어야 합니다.

해당 AWS Security Hub 검사: Redshift.6

AWSManagedServices-EnableRedshiftClusterVersionAutoUpgrade - 메이저 버전 업그레이드는 유지 관리 기간 동안 클러스터에 자동으로 적용됩니다. Amazon Redshift 클러스터에는 즉각적인 가동 중지가 없지만 메이저 버전으로 업그레이드하는 경우 유지 관리 기간 동안 Amazon Redshift 클러스터에 가동 중지가 발생할 수 있습니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

Hs4Ma3G104 - Amazon Redshift 클러스터는 향상된 VPC 라우팅을 사용해야 합니다.

해당 AWS Security Hub 검사: Redshift.7

AWSManagedServices-TrustedRemediatorEnableRedshiftClusterEnhancedVPCRouting

Amazon Redshift 클러스터에 대해 향상된 VPC 라우팅이 활성화됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

Hs4Ma3G173 - 버킷 수준에서 S3 퍼블릭 액세스 차단 설정을 활성화해야 합니다.

해당 AWS Security Hub 검사: S3.8

AWSManagedServices-TrustedRemediatorBlockS3BucketPublicAccess

버킷 수준 퍼블릭 액세스 블록은 Amazon S3 버킷에 적용됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

이 수정 사항은 S3 객체 가용성에 영향을 미칠 수 있습니다. Amazon S3가 액세스를 평가하는 방법에 대한 자세한 내용은 Amazon S3 스토리지에 대한 퍼블릭 액세스 차단을 참조하세요.

Hs4Ma3G230 - S3 버킷 서버 액세스 로깅을 활성화해야 합니다.

해당 AWS Security Hub 검사: S3.9

AWSManagedServices-EnableBucketAccessLogging(자동 및 수동 실행 모드 모두에 대한 기본 SSM 문서)

Amazon S3 서버 액세스 로깅이 활성화되었습니다.

  • TargetBucket: 서버 액세스 로그를 저장할 S3 버킷의 이름입니다.

  • TargetObjectKeyFormat: 로그 객체의 Amazon S3 키 형식(값은 대/소문자를 구분함). 로그 객체에 대한 S3 키의 단순 형식을 사용하려면를 선택합니다SimplePrefix. 로그 객체에 파티션된 S3 키를 사용하고 파티션된 접두사에 EventTime을 사용하려면를 선택합니다PartitionedPrefixEventTime. 로그 객체에 파티션된 S3 키를 사용하고 파티션된 접두사에 DeliveryTime을 사용하려면를 선택합니다PartitionedPrefixDeliveryTime. 유효 값은 SimplePrefix, PartitionedPrefixEventTime 및 PartitionedPrefixDeliveryTime입니다.

자동 문제 해결을 활성화하려면 사전 구성된 파라미터인 TargetBucket을 제공해야 합니다.

대상 버킷은 로그 전송에 대한 올바른 권한을 가진 원본 버킷과 동일한 AWS 리전 및 AWS 계정 에 있어야 합니다. 자세한 내용은 Amazon S3 서버 액세스 로깅 활성화를 참조하세요.

Hs4Ma3G230 – S3 버킷 서버 액세스 로깅을 활성화해야 합니다.

해당 AWS Security Hub 검사: S3.9

AWSManagedServices-TrustedRemediatorEnableBucketAccessLoggingV2 - Amazon S3 버킷 로깅이 활성화되어 있습니다.

  • TargetBucketTagKey: 대상 버킷을 식별하기 위한 태그 이름(대소문자 구분)입니다. 이 및 TargetBucketTagValue를 사용하여 액세스 로깅의 대상 버킷으로 사용할 버킷에 태그를 지정합니다.

  • TargetBucketTagValue: 대상 버킷을 식별하기 위한 태그 값(대소문자 구분)으로,이 및 TargetBucketTagKey를 사용하여 액세스 로깅을 위한 대상 버킷으로 사용할 버킷에 태그를 지정합니다.

  • TargetObjectKeyFormat: 로그 객체의 Amazon S3 키 형식(값은 대소문자를 구분함): 로그 객체의 S3 키에 단순 형식을 사용하려면 SimplePrefix를 선택합니다. 로그 객체에 파티션된 S3 키를 사용하고 파티션된 접두사에 EventTime을 사용하려면 PartitionedPrefixEventTime을 선택합니다. 로그 객체에 파티션된 S3 키를 사용하고 파티션된 접두사에 DeliveryTime을 사용하려면 PartitionedPrefixDeliveryTime을 선택합니다. 기본값은 PartitionedPrefixEventTime입니다.

자동 문제 해결을 활성화하려면 TargetBucketTagKey 및 TargetBucketTagValue 파라미터를 제공해야 합니다.

대상 버킷은 로그 전송에 대한 올바른 권한을 가진 원본 버킷과 동일한 AWS 리전 및 AWS 계정 에 있어야 합니다. 자세한 내용은 Amazon S3 서버 액세스 로깅 활성화를 참조하세요.

Pfx0RwqBli

Amazon S3 버킷 권한

AWSManagedServices-TrustedRemediatorBlockS3BucketPublicAccess

퍼블릭 액세스 차단

사전 구성된 파라미터는 허용되지 않습니다.

이 검사는 여러 알림 기준으로 구성됩니다. 이 자동화는 퍼블릭 액세스 문제를 해결합니다. 에서 플래그가 지정된 Trusted Advisor 다른 구성 문제에 대한 수정은 지원되지 않습니다. 이 문제 해결은 AWS 서비스 생성된 S3 버킷(예: cf-templates-000000000000) 문제 해결을 지원합니다.

Hs4Ma3G272 - 사용자에게 SageMaker 노트북 인스턴스에 대한 루트 액세스 권한이 없어야 합니다.

해당 AWS Security Hub 검사: SageMaker.3

AWSManagedServices-TrustedRemediatorDisableSageMakerNotebookInstanceRootAccess

SageMaker 노트북 인스턴스에서는 사용자의 루트 액세스가 비활성화됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

이 문제를 해결하면 SageMaker 노트북 인스턴스가 InService 상태인 경우 중단이 발생합니다.

Hs4Ma3G179 - SNS 주제는를 사용하여 유휴 시 암호화되어야 합니다. AWS KMS

해당 AWS Security Hub 검사: SNS.1

AWSManagedServices-EnableSNSEncryptionAtRest

SNS 주제는 서버 측 암호화로 구성됩니다.

KmsKeyId: 서버 측 암호화(SSE)에 사용할 Amazon SNS용 AWS 관리형 고객 마스터 키(CMK) 또는 사용자 지정 CMK의 ID입니다. 기본값은 로 설정됩니다alias/aws/sns.

사용자 지정 AWS KMS 키를 사용하는 경우 올바른 권한으로 구성해야 합니다. 자세한 내용은 Amazon SNS 주제에 대한 서버 측 암호화(SSE) 활성화를 참조하세요.

Hs4Ma3G158 - SSM 문서는 공개되어서는 안 됩니다.

해당 AWS Security Hub 검사: SSM.4

AWSManagedServices-TrustedRemediatorDisableSSMDocPublicSharing - SSM 문서의 퍼블릭 공유를 비활성화합니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

Hs4Ma3G136 - Amazon SQS 대기열은 저장 시 암호화되어야 합니다.

해당 AWS Security Hub 검사: SQS.1

AWSManagedServices-EnableSQSEncryptionAtRest

Amazon SQS의 메시지는 암호화됩니다.

  • SqsManagedSseEnabled: Amazon SQS 소유 암호화 키를 사용하여 서버 측 대기열 암호화를 활성화true하려면 로 설정하고 키를 사용하여 서버 측 대기열 암호화를 활성화false하려면 로 설정합니다 AWS KMS .

  • KMSKeyId: 대기열의 서버 측 암호화에 사용할 Amazon SQS용 AWS 관리형 고객 마스터 키(CMK) 또는 사용자 지정 CMK의 ID 또는 별칭입니다. Amazon SQS 제공되지 않으면 alias/aws/sqs 사용됩니다.

  • KmsDataKeyReusePeriodSeconds: AWS KMS 다시 호출하기 전에 Amazon SQS가 데이터 키를 재사용하여 메시지를 암호화하거나 해독할 수 있는 초 단위의 시간 길이입니다. 초 단위의 정수로, 60초(1분)에서 86,400초(24시간) 사이입니다. 이 로 SqsManagedSseEnabled 설정된 경우이 설정은 무시됩니다true.

암호화된 대기열에 대한 익명 SendMessage 및 ReceiveMessage 요청은 거부됩니다. SSE를 사용할 수 있는 대기열에 대한 모든 요청에서는 HTTPS 및 서명 버전 4를 사용해야 합니다.

Trusted Advisor Trusted Remediator에서 지원하는 내결함성 검사

ID 및 이름 확인 SSM 문서 이름 및 예상 결과 지원되는 사전 구성된 파라미터 및 제약 조건

c18d2gz138

Amazon DynamoDB의 지점 실시간 복구

AWSManagedServices-TrustedRemediatorEnableDDBPITR

DynamoDB 테이블에 대한 point-in-time으로 복구를 활성화합니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

R365s2Qddf

Amazon S3 Bucket Versioning

AWSManagedServices-TrustedRemediatorEnableBucketVersioning

Amazon S3 버킷 버전 관리가 활성화되어 있습니다.

사전 구성된 파라미터는 허용되지 않습니다.

이 문제 해결은 AWS 서비스 생성된 S3 버킷(예: cf-templates-000000000000)의 문제 해결을 지원하지 않습니다.

BueAdJ7NrP

Amazon S3 버킷 로깅

AWSManagedServices-EnableBucketAccessLogging

Amazon S3 버킷 로깅이 활성화되었습니다.

  • TargetBucket: 서버 액세스 로그를 저장할 S3 버킷의 이름입니다.

  • TargetObjectKeyFormat: 로그 객체에 대한 Amazon S3 키의 간단한 형식을 사용하려면 로그 객체에 대한 Amazon S3 키 형식을 선택합니다SimplePrefix. 로그 객체에 파티션된 S3 키를 사용하고 파티션된 접두사에 EventTime을 사용하려면를 선택합니다PartitionedPrefixEventTime. 로그 객체에 파티션된 S3 키를 사용하고 파티션된 접두사에 DeliveryTime을 사용하려면를 선택합니다PartitionedPrefixDeliveryTime. 기본값은 PartitionedPrefixEventTime입니다. 유효한 값은 SimplePrefix, PartitionedPrefixEventTime 및 PartitionedPrefixDeliveryTime (대소문자 구분)입니다.

자동 문제 해결을 활성화하려면 다음과 같이 미리 구성된 파라미터를 제공해야 합니다.

  • TargetBucket

대상 버킷은 로그 전송에 대한 올바른 권한을 가진 원본 버킷과 동일한 AWS 리전 및 AWS 계정 에 있어야 합니다. 자세한 내용은 Amazon S3 서버 액세스 로깅 활성화를 참조하세요.

f2iK5R6Dep

Amazon RDS 다중 AZ

AWSManagedServices-TrustedRemediatorEnableRDSMultiAZ

다중 가용 영역 배포가 활성화되어 있습니다.

사전 구성된 파라미터는 허용되지 않습니다.

이 변경 중에 성능 저하가 발생할 수 있습니다.

H7IgTzjTYb

Amazon EBS 스냅샷

AWSManagedServices-TrustedRemediatorCreateEBSSnapshot

Amazon EBSsnapshots이 생성됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

opQPADkZvH

RDS 백업

AWSManagedServices-EnableRDSBackupRetention

DB에 대해 Amazon RDS 백업 보존이 활성화됩니다.

  • BackupRetentionPeriod: 자동 백업을 보존할 일수(1~35일)입니다.

  • ApplyImmediately: RDS 백업 보존 변경 및 보류 중인 수정 사항이 가능한 한 빨리 비동기적으로 적용되는지 여부를 나타냅니다. 변경 사항을 즉시 true 적용하거나 다음 유지 관리 기간에 대한 변경 사항을 예약false하도록 선택합니다.

ApplyImmediately 파라미터가 로 설정된 경우 truedb에서 보류 중인 변경 사항이 RDSBackup 보존 설정과 함께 적용됩니다.

c1qf5bt013

Amazon RDS DB 인스턴스의 스토리지 자동 크기 조정이 꺼져 있음

AWSManagedServices-TrustedRemediatorEnableRDSInstanceStorageAutoScaling - Amazon RDS DB 인스턴스에 대해 스토리지 자동 크기 조정이 활성화되어 있습니다.

제약 조건 없음

7qGXsKIUw

Classic Load Balancer 연결 드레이닝

AWSManagedServices-TrustedRemediatorEnableCLBConnectionDraining

Classic Load Balancer에 대해 연결 드레이닝이 활성화되어 있습니다.

ConnectionDrainingTimeout: 인스턴스 등록을 취소하기 전에 기존 연결을 열어 두는 최대 시간입니다. 기본값은 300 초로 설정됩니다.

제약 조건 없음

c18d2gz106

Amazon EBS가 AWS Backup 플랜에 포함되지 않음

AWSManagedServices-TrustedRemediatorAddVolumeToBackupPlan

Amazon EBS는 AWS Backup 플랜에 포함되어 있습니다.

 문제 해결은 다음 태그 페어를 사용하여 Amazon EBS 볼륨에 태그를 지정합니다. 태그 페어는 태그 기반 리소스 선택 기준과 일치해야 합니다 AWS Backup.

  • TagKey

  • TagValue

제약 조건 없음

c18d2gz107

AWS Backup 계획에 포함되지 않은 Amazon DynamoDB 테이블

AWSManagedServices-TrustedRemediatorAddDynamoDBToBackupPlanAddDynamoDBToBackupPlan

Amazon DynamoDB 테이블은 AWS Backup 플랜에 포함되어 있습니다.

 문제 해결은 다음 태그 페어를 사용하여 Amazon DynamoDB에 태그를 지정합니다. 태그 페어는 태그 기반 리소스 선택 기준과 일치해야 합니다 AWS Backup.

  • TagKey

  • TagValue

제약 조건 없음

c18d2gz117

Amazon EFS가 AWS Backup 플랜에 포함되지 않음

AWSManagedServices-TrustedRemediatorAddEFSToBackupPlan

Amazon EFS는 AWS Backup 플랜에 포함되어 있습니다.

 문제 해결은 다음 태그 페어를 사용하여 Amazon EFS에 태그를 지정합니다. 태그 페어는 태그 기반 리소스 선택 기준과 일치해야 합니다 AWS Backup.

  • TagKey

  • TagValue

제약 조건 없음

c18d2gz105

Network Load Balancer 교차 로드 밸런싱

AWSManagedServices-TrustedRemediatorEnableNLBCrossZoneLoadBalancing

Network Load Balancer에서 교차 영역 로드 밸런싱이 활성화됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

c1qf5bt026

Amazon RDS synchronous_commit 파라미터가 꺼져 있음

AWSManagedServices-TrustedRemediatorRemediateRDSParameterGroupParameter

Amazon RDS에 대해 파라미터synchronous_commit가 켜져 있습니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

c1qf5bt030

Amazon RDS innodb_flush_log_at_trx_commit 파라미터가가 아님 1

AWSManagedServices-TrustedRemediatorRemediateRDSParameterGroupParameter

Amazon RDS의 경우 파라미터innodb_flush_log_at_trx_commit가 로 설정되어 1 있습니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

c1qf5bt031

Amazon RDS sync_binlog 파라미터가 꺼져 있음

AWSManagedServices-TrustedRemediatorRemediateRDSParameterGroupParameter

Amazon RDS에 대해 파라미터sync_binlog가 켜져 있습니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

c1qf5bt036

Amazon RDS innodb_default_row_format 파라미터 설정이 안전하지 않음

AWSManagedServices-TrustedRemediatorRemediateRDSParameterGroupParameter

Amazon RDS의 경우 파라미터innodb_default_row_format가 로 설정되어 DYNAMIC 있습니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

c18d2gz144

Amazon EC2 세부 모니터링이 활성화되지 않음

AWSManagedServices-TrustedRemediatorEnableEC2InstanceDetailedMonitoring

Amazon EC2에 대해 세부 모니터링이 활성화됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

Trusted Advisor Trusted Remediator에서 지원하는 성능 검사

ID 및 이름 확인 SSM 문서 이름 및 예상 결과 지원되는 사전 구성된 파라미터 및 제약 조건

COr6dfpM06

AWS Lambda 메모리 크기에 대한 과소 프로비저닝된 함수

AWSManagedServices-ResizeLambdaMemory

Lambda 함수 메모리 크기는에서 제공하는 권장 메모리 크기로 조정됩니다 Trusted Advisor.

RecommendedMemorySize: Lambda 함수에 대한 권장 메모리 할당입니다. 값 범위는 128~10240입니다.

자동화 실행 전에 Lambda 함수 크기가 수정된 경우이 자동화는에서 권장하는 값으로 설정을 덮어쓸 수 있습니다 Trusted Advisor.

ZRxQlPsb6c

높은 사용률의 Amazon EC2 인스턴스

AWSManagedServices-ResizeInstanceByOneLevel

Amazon EC2 인스턴스는 동일한 인스턴스 패밀리 유형에서 하나의 인스턴스 유형으로 크기가 조정됩니다. 인스턴스는 크기 조정 작업 중에 중지 및 시작되고 실행이 완료된 후 초기 상태로 돌아갑니다. 이 자동화는 Auto Scaling 그룹에 있는 인스턴스의 크기 조정을 지원하지 않습니다.

  • MinimumDaysSinceLastChange: 마지막 인스턴스 유형이 변경된 이후 최소 일수입니다. 인스턴스 유형이 지정된 시간 내에 수정된 경우 인스턴스 유형은 변경되지 않습니다. 0를 사용하여이 검증을 건너뜁니다. 기본값은 7입니다.

  • CreateAMIBeforeResize: 크기를 조정하기 전에 인스턴스 AMI를 백업으로 생성하려면를 선택합니다true. 백업을 생성하지 않으려면를 선택합니다false. 기본값은 false입니다. 유효한 값은 true 및 false (대/소문자 구분)입니다.

  • ResizeIfStopped: 인스턴스가 중지된 상태인 경우에도 인스턴스 크기 변경을 진행하려면를 선택합니다true. 중지된 상태인 경우 인스턴스의 크기를 자동으로 조정하지 않으려면를 선택합니다false. 유효한 값은 true 및 false (대소문자 구분)입니다.

제약 조건 없음

c1qf5bt021

최적 값보다 작은 값을 사용하는 Amazon RDS innodb_change_buffering 파라미터

AWSManagedServices-TrustedRemediatorRemediateRDSParameterGroupParameter

Amazon RDS의 NONE 경우 innodb_change_buffering 파라미터 값이 로 설정됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

c1qf5bt025

Amazon RDS autovacuum 파라미터가 꺼져 있음

AWSManagedServices-TrustedRemediatorRemediateRDSParameterGroupParameter

Amazon RDS에 대해 파라미터autovacuum가 켜져 있습니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

c1qf5bt028

Amazon RDS enable_indexonlyscan 파라미터가 꺼져 있음

AWSManagedServices-TrustedRemediatorRemediateRDSParameterGroupParameter

Amazon RDS에 대해 파라미터enable_indexonlyscan가 켜져 있습니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

c1qf5bt029

Amazon RDS enable_indexscan 파라미터가 꺼져 있음

AWSManagedServices-TrustedRemediatorRemediateRDSParameterGroupParameter

Amazon RDS에 대해 파라미터enable_indexscan가 켜져 있습니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

c1qf5bt032

Amazon RDS innodb_stats_persistent 파라미터가 꺼져 있음

AWSManagedServices-TrustedRemediatorRemediateRDSParameterGroupParameter

Amazon RDS에 대해 파라미터innodb_stats_persistent가 켜져 있습니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

c1qf5bt037

Amazon RDS general_logging 파라미터가 켜져 있음

AWSManagedServices-TrustedRemediatorRemediateRDSParameterGroupParameter

Amazon RDS에 대해 파라미터general_logging가 꺼져 있습니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 조건 없음

Trusted Advisor Trusted Remediator에서 지원하는 서비스 제한 검사

ID 및 이름 확인 SSM 문서 이름 및 예상 결과 지원되는 사전 구성된 파라미터 및 제약 조건

lN7RR0l7J9

EC2-VPC 탄력적 IP 주소

AWSManagedServices-UpdateVpcElasticIPQuota

EC2-VPC 탄력적 IP 주소에 대한 새로운 제한이 요청됩니다. 기본적으로 제한은 3씩 증가합니다.

증분: 현재 할당량을 늘릴 수 있습니다. 기본값은 3입니다.

Trusted Advisor 점검이 OK 상태로 업데이트되기 전에이 자동화가 여러 번 실행되는 경우 더 높은 제한 증가가 있을 수 있습니다.

kM7QQ0l7J9

VPC 인터넷 게이트웨이

AWSManagedServices-IncreaseServiceQuota - VPC 인터넷 게이트웨이에 대한 새로운 제한이 요청됩니다. 기본적으로 제한은 3씩 증가합니다.

증분: 현재 할당량을 늘릴 수 있습니다. 기본값은 3입니다.

Trusted Advisor 점검이 OK 상태로 업데이트되기 전에이 자동화가 여러 번 실행되는 경우 더 높은 제한 증가가 있을 수 있습니다.

jL7PP0l7J9

VPC

AWSManagedServices-IncreaseServiceQuota

VPC에 대한 새 제한이 요청됩니다. 기본적으로 제한은 3씩 증가합니다.

증분: 현재 할당량을 늘릴 수 있습니다. 기본값은 3입니다.

Trusted Advisor 점검이 OK 상태로 업데이트되기 전에이 자동화가 여러 번 실행되는 경우 더 높은 제한 증가가 있을 수 있습니다.

fW7HH0l7J9

Auto Scaling 그룹

AWSManagedServices-IncreaseServiceQuota

Auto Scaling 그룹에 대한 새 제한이 요청됩니다. 기본적으로 제한은 3씩 증가합니다.

증가: 현재 할당량을 늘릴 수 있습니다. 기본값은 3입니다.

Trusted Advisor 점검이 OK 상태로 업데이트되기 전에이 자동화가 여러 번 실행되는 경우 더 높은 제한 증가가 있을 수 있습니다.

3Njm0DJQO9

RDS 옵션 그룹

AWSManagedServices-IncreaseServiceQuota

Amazon RDS 옵션 그룹에 대한 새로운 제한이 요청됩니다. 기본적으로 제한은 3씩 증가합니다.

증분: 현재 할당량을 늘릴 수 있습니다. 기본값은 3입니다.

Trusted Advisor 점검이 OK 상태로 업데이트되기 전에이 자동화가 여러 번 실행되는 경우 더 높은 제한 증가가 있을 수 있습니다.

EM8b3yLRTr

ELB Application Load Balancers

AWSManagedServices-IncreaseServiceQuota

ELB Application Load Balancer에 대한 새로운 제한이 요청됩니다. 기본적으로 제한은 3씩 증가합니다.

증가: 현재 할당량을 늘릴 수 있습니다. 기본값은 3입니다.

Trusted Advisor 점검이 OK 상태로 업데이트되기 전에이 자동화가 여러 번 실행되는 경우 더 높은 제한 증가가 있을 수 있습니다.

8wIqYSt25K

ELB 네트워크 로드 밸런서

AWSManagedServices-IncreaseServiceQuota

ELB Network Load Balancer에 대한 새로운 제한이 요청됩니다. 기본적으로 제한은 3씩 증가합니다.

증분: 현재 할당량을 늘릴 수 있습니다. 기본값은 3입니다.

Trusted Advisor 점검이 OK 상태로 업데이트되기 전에이 자동화가 여러 번 실행되는 경우 더 높은 제한 증가가 있을 수 있습니다.

Trusted Advisor Trusted Remediator에서 지원하는 운영 우수성 검사

ID 및 이름 확인 SSM 문서 이름 및 예상 결과 지원되는 사전 구성된 파라미터 및 제약 조건

c18d2gz125

Amazon API Gateway에서 실행 로그를 기록하지 않음

AWSManagedServices-TrustedRemediatorEnableAPIGateWayExecutionLogging

실행 로깅은 API 단계에서 활성화됩니다.

사전 구성된 파라미터는 허용되지 않습니다.

실행 로그를 활성화하려면 API Gateway에 계정의 CloudWatch에 로그를 읽고 쓸 수 있는 권한을 부여해야 합니다. 자세한 내용은 API Gateway에서 REST APIs에 대한 CloudWatch 로깅 설정을 참조하세요.

c18d2gz168

로드 밸런서에 Elastic Load Balancing 삭제 보호 기능이 활성화되지 않음

AWSManagedServices-TrustedRemediatorEnableELBDeletionProtection - Elastic Load Balancer에 대해 삭제 방지가 켜져 있습니다.

사전 구성된 파라미터는 허용되지 않습니다.

제약 없음

c1qf5bt012

Amazon RDS 성능 개선 도우미가 꺼져 있음

AWSManagedServices-TrustedRemediatorEnableRDSPerformanceInsights

Amazon RDS에 대해 성능 개선 도우미가 켜져 있습니다.

  • PerformanceInsightsRetentionPeriod: 성능 개선 도우미 데이터를 보존할 일수입니다. 유효한 값: 7 또는 월 * 31. 여기서 월은 1~23개월의 개월 수입니다. 예: 93 (3개월 * 31), 341 (11개월 * 31), 589 (19개월 * 31) 또는 731.

  • PerformanceInsightsKMSKeyId: 성능 개선 도우미 데이터의 암호화를 위한 AWS KMS 키 ID입니다. PerformanceInsightsKMSKeyId 값을 지정하지 않으면 Amazon RDS가 기본 AWS KMS 키를 사용합니다.

제약 없음

c1fd6b96l4

Amazon S3 액세스 로그 활성화됨

AWSManagedServices-TrustedRemediatorEnableBucketAccessLoggingV2

Amazon S3 버킷 액세스 로깅이 활성화되었습니다.

  • TargetBucketTagValue: 태그 값(대소문자 구분)을 사용하여 대상 버킷을 식별하고,이 및 TargetBucketTagKey를 사용하여 액세스 로깅의 대상 버킷으로 사용할 버킷에 태그를 지정합니다.

  • TargetObjectKeyFormat: 로그 객체의 Amazon S3 키 형식(값은 대/소문자를 구분함). 로그 객체에 대한 S3 키의 단순 형식을 사용하려면를 선택합니다SimplePrefix. 로그 객체에 파티션된 S3 키를 사용하고 파티션된 접두사에 EventTime을 사용하려면를 선택합니다PartitionedPrefixEventTime. 로그 객체에 파티션된 S3 키를 사용하고 파티션된 접두사에 DeliveryTime을 사용하려면를 선택합니다PartitionedPrefixDeliveryTime. 유효 값은 SimplePrefix, PartitionedPrefixEventTime 및 PartitionedPrefixDeliveryTime입니다.

자동 문제 해결을 활성화하려면 사전 구성된 파라미터인 TargetBucketTagKey 및 TargetBucketTagValue를 제공해야 합니다.

대상 버킷은 로그 전송에 대한 올바른 권한을 가진 원본 버킷과 동일한 AWS 리전 및 AWS 계정 에 있어야 합니다. 자세한 내용은 Amazon S3 서버 액세스 로깅 활성화를 참조하세요.