기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Detective Python 스크립트를 사용하여 계정 관리

Amazon Detective는 GitHub 리포지토리 에 오픈 소스 Python 스크립트 세트를 제공합니다amazon-detective-multiaccount-scripts. 스크립트에는 Python 3이 필요합니다.

이를 사용하여 다음 작업을 수행할 수 있습니다.

enableDetective.py 스크립트 개요

enableDetective.py 스크립트는 다음 작업을 수행합니다.

disableDetective.py 스크립트 개요

disableDetective.py 스크립트는 지정된 리전의 관리자 계정 동작 그래프에서 지정된 멤버 계정을 삭제합니다.

또한 지정된 리전의 관리자 계정에 대해 Detective를 비활성화하는 옵션도 제공합니다.

스트립트에 필요한 권한

스크립트에는 관리자 계정 및 추가하거나 제거하는 모든 멤버 계정의 기존 AWS 역할이 필요합니다.

IAM 정책 권장 모범 사례는 범위가 가장 작은 역할을 사용하는 것입니다. 그래프 생성, 멤버 생성, 그래프에 멤버 추가 등의 스크립트 워크플로를 실행하려면 다음과 같은 권한이 필요합니다.

역할 신뢰 관계

역할 신뢰 관계를 통해 인스턴스 또는 로컬 보안 인증 정보가 역할을 맡을 수 있어야 합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<ACCOUNTID>:user/<USERNAME>"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

필수 권한이 포함된 공통 역할이 없는 경우 각 멤버 계정에서 최소한 해당 권한을 가진 역할을 만들어야 합니다. 또한 관리자 계정에서 역할을 만들어야 합니다.

역할을 생성하는 경우 다음을 수행해야 합니다.

이 프로세스를 자동화하려면 EnableDetective.yaml AWS CloudFormation 템플릿을 사용할 수 있습니다. 템플릿은 글로벌 리소스만 생성하므로 모든 리전에서 실행할 수 있습니다.

Python 스크립트를 위한 실행 환경 설정

EC2 인스턴스 또는 로컬 시스템에서 스크립트를 실행할 수 있습니다.

EC2 인스턴스 시작 및 구성

스크립트를 실행하는 한 가지 옵션은 EC2 인스턴스에서 스크립트를 실행하는 것입니다.

스크립트를 실행하도록 로컬 시스템 구성

로컬 시스템에서 스크립트를 실행할 수도 있습니다.

추가 또는 제거할 멤버 계정 .csv 목록 생성

동작 그래프에 추가하거나 동작 그래프에서 제거할 멤버 계정을 식별하려면 계정 목록이 포함된 .csv 파일을 제공합니다.

각 계정을 별도의 줄에 나열합니다. 각 멤버 계정 항목에는 AWS 계정 ID와 계정의 루트 사용자 이메일 주소가 포함됩니다.

다음 예를 참조하세요.

111122223333,srodriguez@example.com
444455556666,rroe@example.com

enableDetective.py 실행

EC2 인스턴스 또는 로컬 시스템에서 enableDetective.py 스크립트를 실행할 수 있습니다.

스크립트를 실행할 때 다음 값을 바꿉니다.

disableDetective.py 실행

EC2 인스턴스 또는 로컬 시스템에서 disableDetective.py 스크립트를 실행할 수 있습니다.

스크립트를 실행할 때 다음 값을 바꿉니다.