에 대한 아마존 SNS 주제 정책 CloudTrail

SNS주제에 알림을 보내려면 필요한 권한이 CloudTrail 있어야 합니다. CloudTrail CloudTrail 콘솔에서 트레일을 생성하거나 업데이트하는 과정에서 Amazon SNS 주제를 생성할 때 주제에 필요한 권한을 자동으로 연결합니다.

CloudTrail 다음 필드를 사용하여 다음 설명을 정책에 추가합니다.

다음 정책은 지원되는 지역에서 로그 파일 전송에 대한 알림을 보낼 수 있도록 허용합니다 CloudTrail . 자세한 내용은 CloudTrail 지원되는 지역 단원을 참조하십시오. 이는 트레일을 만들거나 업데이트하고 SNS 알림을 활성화하도록 선택할 때 새 SNS 주제 정책 또는 기존 주제 정책에 첨부되는 기본 정책입니다.

SNS주제 정책

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSCloudTrailSNSPolicy20131101",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudtrail.amazonaws.com"
            },
            "Action": "SNS:Publish",
            "Resource": "arn:aws:sns:region:SNSTopicOwnerAccountId:SNSTopicName"
        }
    ]
}

AWS KMS-crypted Amazon SNS 주제를 사용하여 알림을 보내려면 정책에 다음 명령문을 추가하여 이벤트 소스 (CloudTrail) 와 암호화된 주제 간의 호환성을 활성화해야 합니다. AWS KMS key

KMS키 정책

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudtrail.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
            ],
            "Resource": "*"
        }
    ]
}

자세한 내용은 AWS 서비스의 이벤트 소스와 암호화된 주제 간 호환성 활성화를 참조하십시오.

SNS주제 정책의 보안 모범 사례

기본적으로 Amazon SNS 주제에 CloudTrail 첨부된 IAM 정책 설명을 통해 CloudTrail 서비스 주체는 a로 식별되는 SNS 주제에 게시할 수 있습니다. ARN 공격자가 주제에 대한 액세스 권한을 얻고 SNS 주제 수신자 대신 알림을 보내는 것을 CloudTrail 방지하려면 주제 정책을 수동으로 편집하여 에서 첨부한 정책 설명문에 aws:SourceArn 조건 키를 추가하십시오. CloudTrail SNS CloudTrail 이 키의 값은 해당 주제를 ARN 사용하는 트레일 또는 트레일 ARNs 배열입니다. SNS 여기에는 특정 트레일 ID와 트레일을 소유한 계정의 ID가 모두 포함되므로 트레일을 관리할 권한이 있는 계정으로만 SNS 주제 액세스를 제한합니다. SNS주제 정책에 조건 키를 추가하기 전에 콘솔의 트레일 설정에서 SNS 주제 이름을 가져오세요. CloudTrail

aws:SourceAccount 조건 키도 지원되지만 권장되지는 않습니다.

알림 전송을 위한 기존 주제 지정

Amazon 콘솔의 주제 정책에 Amazon SNS 주제에 대한 권한을 수동으로 추가한 다음 SNS 콘솔에서 주제를 지정할 수 있습니다. CloudTrail

SNS주제 정책 문제 해결

다음 섹션에서는 SNS 주제 정책의 문제를 해결하는 방법을 설명합니다.

CloudTrail 지역에 대한 알림을 보내지 않음

트레일 생성 또는 업데이트의 일환으로 새 주제를 생성하는 경우 주제에 필요한 권한을 CloudTrail 첨부합니다. 주제 정책은 모든 지역에 알림을 CloudTrail 보낼 수 있는 서비스 사용자 이름을 사용합니다. "cloudtrail.amazonaws.com"

지역에 대한 알림을 보내지 않는 경우 CloudTrail 주제에 각 지역의 CloudTrail 계정을 IDs 지정하는 이전 정책이 있을 수 있습니다. 이 정책은 지정된 지역에 대해서만 알림을 보낼 수 있는 CloudTrail 권한을 부여합니다.

다음 주제 정책은 지정된 9개 지역에 대해서만 알림을 CloudTrail 보낼 수 있도록 허용합니다.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "AWSCloudTrailSNSPolicy20131101",
        "Effect": "Allow",
        "Principal": {"AWS": [
            "arn:aws:iam::903692715234:root",
            "arn:aws:iam::035351147821:root",
            "arn:aws:iam::859597730677:root",
            "arn:aws:iam::814480443879:root",
            "arn:aws:iam::216624486486:root",
            "arn:aws:iam::086441151436:root",
            "arn:aws:iam::388731089494:root",
            "arn:aws:iam::284668455005:root",
            "arn:aws:iam::113285607260:root"
        ]},
        "Action": "SNS:Publish",
        "Resource": "aws:arn:sns:us-east-1:123456789012:myTopic"
    }]
}

이 정책은 개별 CloudTrail 계정을 기반으로 한 권한을 사용합니다IDs. 새 지역에 대한 로그를 전달하려면 해당 지역의 CloudTrail 계정 ID를 포함하도록 정책을 수동으로 업데이트해야 합니다. 예를 들어 미국 동부 (오하이오) 지역에 대한 지원이 CloudTrail 추가되었으므로 정책을 업데이트하여 해당 지역의 계정 ID를 ARN 추가해야 합니다"arn:aws:iam::475085895292:root".

가장 좋은 방법은 CloudTrail 서비스 주체의 권한을 사용하도록 정책을 업데이트하는 것입니다. 이렇게 하려면 계정 ID를 서비스 사용자 ARNs 이름:으로 바꾸세요"cloudtrail.amazonaws.com".

이렇게 하면 현재 지역과 새 지역에 알림을 보낼 수 있는 CloudTrail 권한이 부여됩니다. 다음은 이전 정책의 업데이트된 버전입니다.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "AWSCloudTrailSNSPolicy20131101",
        "Effect": "Allow",
        "Principal": {"Service": "cloudtrail.amazonaws.com"},
        "Action": "SNS:Publish",
        "Resource": "arn:aws:sns:us-west-2:123456789012:myTopic"
    }]
}

다음과 같이 정책에 올바른 값이 있는지 검증합니다.

CloudTrail 조직의 구성원 계정에 대해서는 알림을 보내지 않습니다.

AWS Organizations 조직 내역이 있는 회원 계정이 Amazon SNS 알림을 보내지 않는 경우 SNS 주제 정책 구성에 문제가 있을 수 있습니다. CloudTrail 리소스 검증에 실패한 경우에도 멤버 계정에 조직 트레일을 생성합니다. 예를 들어 조직 트레일의 SNS 주제에 모든 멤버 계정이 IDs 포함되지 않는 경우 SNS주제 정책이 올바르지 않으면 권한 부여가 실패합니다.

트레일의 SNS 주제 정책에 권한 부여 실패가 있는지 확인하려면:

추가 리소스

SNS주제 및 구독에 대한 자세한 내용은 Amazon 단순 알림 서비스 개발자 안내서를 참조하십시오.