리소스 추적 켜기

https://console.aws.amazon.com/backup AWS Backup 콘솔을 엽니다.

왼쪽 탐색 창의 Audit Manager 아래에서 프레임워크를 선택합니다.

리소스 추적 관리를 선택하여 리소스 추적을 활성화합니다.

AWS Config 설정으로 이동을 선택합니다.

기록 활성화 또는 비활성화를 선택합니다.

아래의 모든 리소스 유형에 대한 기록 활성화를 선택하거나, 일부 리소스 유형에 대한 기록을 활성화하도록 선택합니다. 컨트롤에 필요한 리소스 유형에 대한 내용은 AWS Backup Audit Manager 제어 및 수정을 참조하세요.

닫기를 선택하세요.

리소스 추적 켜기라는 문구의 파란색 배너가 리소스 추적 켜짐이라는 문구의 녹색 배너로 전환될 때까지 기다립니다.

다음 명령을 입력하여 AWS Config 레코더를 이미 활성화했는지 확인합니다.

$ aws configservice describe-configuration-recorders

1. 다음과 같이 ConfigurationRecorders 목록이 비어 있는 경우

   {
     "ConfigurationRecorders": []
   }

   레코더가 활성화되지 않은 상태입니다. 2단계로 계속 진행하여 레코더를 생성하세요.

2. 모든 리소스에 대해 이미 기록을 활성화한 경우 ConfigurationRecorders 출력은 다음과 같이 표시됩니다.

   {
     "ConfigurationRecorders":[
       {
         "recordingGroup":{
           "allSupported":true,
           "resourceTypes":[
             
           ],
           "includeGlobalResourceTypes":true
         },
         "roleARN":"arn:aws:iam::[account]:role/[roleName]",
         "name":"default"
       }
     ]
   }

   모든 리소스를 활성화했으므로 리소스 추적이 이미 켜져 있습니다. AWS Backup Audit Manager를 사용하기 위해이 절차의 나머지 부분을 완료할 필요는 없습니다.

3. ConfigurationRecorders이 레코더가 비어 있지는 않지만 모든 리소스에 대한 기록을 활성화하지 않은 경우, 다음 명령을 사용하여 기존 레코더에 백업 리소스를 추가하세요. 그런 다음 3단계로 건너뜁니다.

   $ aws configservice describe-configuration-recorders
   {
     "ConfigurationRecorders":[
       {
         "name":"default",
         "roleARN":"arn:aws:iam::accountId:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig",
         "recordingGroup":{
           "allSupported":false,
           "includeGlobalResourceTypes":false,
           "resourceTypes":[
             "AWS::Backup::BackupPlan",
             "AWS::Backup::BackupSelection",
             "AWS::Backup::BackupVault",
             "AWS::Backup::RecoveryPoint",
             "AWS::Config::ResourceCompliance"
           ]
         }
       }
     ]
   }

AWS Backup Audit Manager 리소스 유형을 사용하여 AWS Config 레코더 생성

$ aws configservice put-configuration-recorder --configuration-recorder name=default, \
roleARN=arn:aws:iam::accountId:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig \ 
--recording-group resourceTypes="['AWS::Backup::BackupPlan','AWS::Backup::BackupSelection', \
'AWS::Backup::BackupVault','AWS::Backup::RecoveryPoint','AWS::Config::ResourceCompliance']"

AWS Config 레코더를 설명합니다.

$ aws configservice describe-configuration-recorders

출력을 다음 예상 출력과 비교하여 AWS Backup Audit Manager 리소스 유형이 있는지 확인합니다.

{
  "ConfigurationRecorders":[
    {
      "name":"default",
      "roleARN":"arn:aws:iam::accountId:role/AWSServiceRoleForConfig",
      "recordingGroup":{
        "allSupported":false,
        "includeGlobalResourceTypes":false,
        "resourceTypes":[
          "AWS::Backup::BackupPlan",
          "AWS::Backup::BackupSelection",
          "AWS::Backup::BackupVault",
          "AWS::Backup::RecoveryPoint",
          "AWS::Config::ResourceCompliance"
        ]
      }
    }
  ]
}

Amazon S3 버킷을 AWS Config 구성 파일을 저장할 대상으로 생성합니다.

$ aws s3api create-bucket --bucket amzn-s3-demo-bucket —region us-east-1

policy.json을 사용하여 버킷에 액세스할 수 있는 AWS Config 권한을 부여합니다. 아래 샘플 policy.json을 참조하세요.

$ aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Sid":"AWSConfigBucketPermissionsCheck",
      "Effect":"Allow",
      "Principal":{
        "Service":"config.amazonaws.com"
      },
      "Action":"s3:GetBucketAcl",
      "Resource":"arn:aws:s3:::amzn-s3-demo-bucket"
    },
    {
      "Sid":"AWSConfigBucketExistenceCheck",
      "Effect":"Allow",
      "Principal":{
        "Service":"config.amazonaws.com"
      },
      "Action":"s3:ListBucket",
      "Resource":"arn:aws:s3:::amzn-s3-demo-bucket"
    },
    {
      "Sid":"AWSConfigBucketDelivery",
      "Effect":"Allow",
      "Principal":{
        "Service":"config.amazonaws.com"
      },
      "Action":"s3:PutObject",
      "Resource":"arn:aws:s3:::amzn-s3-demo-bucket/*"
    }
  ]
}

버킷을 AWS Config 전송 채널로 구성

$ aws configservice put-delivery-channel --delivery-channel name=default,s3BucketName=amzn-s3-demo-bucket

AWS Config 레코딩 활성화

$ aws configservice start-configuration-recorder --configuration-recorder-name default

다음과 같은 방법으로 DescribeFramework 출력의 마지막 줄에 있는 "FrameworkStatus":"ACTIVE"를 확인합니다.

$ aws backup describe-framework --framework-name test --region us-east-1

{
  "FrameworkName":"test",
 "FrameworkArn":"arn:aws:backup:us-east-1:accountId:framework:test-f0001b0a-0000-1111-ad3d-4444f5cc6666",
  "FrameworkDescription":"",
  "FrameworkControls":[
    {
      "ControlName":"BACKUP_RECOVERY_POINT_MINIMUM_RETENTION_CHECK",
      "ControlInputParameters":[
        {
          "ParameterName":"requiredRetentionDays",
          "ParameterValue":"1"
        }
      ],
      "ControlScope":{
        
      }
    },
    {
      "ControlName":"BACKUP_PLAN_MIN_FREQUENCY_AND_MIN_RETENTION_CHECK",
      "ControlInputParameters":[
        {
          "ParameterName":"requiredFrequencyUnit",
          "ParameterValue":"hours"
        },
        {
          "ParameterName":"requiredRetentionDays",
          "ParameterValue":"35"
        },
        {
          "ParameterName":"requiredFrequencyValue",
          "ParameterValue":"1"
        }
      ],
      "ControlScope":{
        
      }
    },
    {
      "ControlName":"BACKUP_RESOURCES_PROTECTED_BY_BACKUP_PLAN",
      "ControlInputParameters":[
        
      ],
      "ControlScope":{
        
      }
    },
    {
      "ControlName":"BACKUP_RECOVERY_POINT_ENCRYPTED",
      "ControlInputParameters":[
        
      ],
      "ControlScope":{
        
      }
    },
    {
      "ControlName":"BACKUP_RECOVERY_POINT_MANUAL_DELETION_DISABLED",
      "ControlInputParameters":[
        
      ],
      "ControlScope":{
        
      }
    }
  ],
  "CreationTime":1633463605.233,
  "DeploymentStatus":"COMPLETED",
  "FrameworkStatus":"ACTIVE"
}