"
],
"Condition": {
"Bool": {
"aws:SecureTransport": "false"
}
}
}
]
}
```
# Terraform을 사용하여 AWS 권한 세트 동적 관리
*Vinicius Elias 및 Marcos Vinicius Pinto Jordao, Amazon Web Services*
## 요약
AWS IAM Identity Center 는 AWS 계정 및 클라우드 애플리케이션에 대한 Single Sign-On 액세스를 관리하기 위한 중앙 집중식 허브를 제공하여 AWS Identity and Access Management (IAM)를 개선합니다. 그러나 IAM Identity Center [권한 세트](https://docs.aws.amazon.com/singlesignon/latest/userguide/permissionsetsconcept.html)의 수동 관리는 조직이 성장함에 따라 점점 더 복잡해지고 오류가 발생하기 쉽습니다. 이러한 복잡성으로 인해 잠재적인 보안 격차와 관리 오버헤드가 발생할 수 있습니다.
이 솔루션을 사용하면 기본 로 구축된 지속적 통합 및 지속적 전달(CI/CD) 파이프라인을 사용하여 코드형 인프라(IaC)를 통해 권한 세트를 관리할 수 있습니다 AWS 서비스. 권한 세트 할당 메커니즘을 AWS Control Tower 수명 주기 이벤트 또는 [Account Factory for Terraform(AFT)](https://docs.aws.amazon.com/controltower/latest/userguide/aft-overview.html) 환경과 원활하게 통합할 수 있습니다. 이 접근 방식은 신규 및 기존 모두에 동적 자격 증명 구성을 제공합니다 AWS 계정.
Amazon EventBridge 규칙은 AWS 계정 생성 및 업데이트를 모니터링하여 ID 구성을 조직 구조와 동기화된 상태로 유지하는 데 도움이 됩니다. AWS Control Tower 또는 AFT에서 계정을 생성하거나 업데이트하면 파이프라인이 트리거됩니다. 권한 세트 정의 및 할당 규칙을 사용하여 JSON 파일 세트를 평가합니다. 그런 다음 파이프라인은 모든 계정에 걸쳐 설정을 적용하고 동기화합니다.
이러한 라우팅 접근 방식에는 다음과 같은 이점이 있습니다.
+ **일관성** - AWS 조직 전체의 수동 구성 드리프트 제거
+ **감사 가능성** - 모든 자격 증명 관리 변경 사항에 대한 전체 기록을 유지합니다.
+ **확장성** - AWS 환경이 증가함에 따라 구성을 자동으로 적용합니다.
+ **보안** - 권한 할당에서 인적 오류를 줄입니다.
+ **규정 준수** - 문서화된 변경 사항 및 할당 규칙을 통해 규제 요구 사항 충족을 촉진합니다.
## 사전 조건 및 제한 사항
+ AWS Control Tower 및가 AWS Organizations 설정된 다중 계정 환경입니다. 선택적으로 AFT를와 함께 사용할 수 있습니다 AWS Control Tower.
+ IAM Identity Center가 솔루션을 수신 AWS 계정 하도록 관리자를 위임했습니다. 자세한 내용은 IAM Identity Center 설명서의 [시작하기](https://docs.aws.amazon.com/singlesignon/latest/userguide/delegated-admin.html)를 참조하세요.
+ 기본 코드를 처리하기 위한 버전 관리 시스템(VCS) 리포지토리입니다. 샘플은 솔루션의 GitHub [리포지토리](https://github.com/aws-samples/sample-terraform-aws-permission-sets-pipeline/tree/main/samples/basic)를 참조하세요.
+ Amazon Simple Storage Service(Amazon S3) 버킷 및 Amazon DynamoDB 테이블과 같은 Terraform 백엔드 관리에 필요한 AWS 리소스입니다.
**제한 사항 **
+ 파이프라인은 AWS 네이티브 리소스와 오픈 소스 Terraform을 사용합니다. 파이프라인은 서드 파티 에코시스템을 호출할 준비가 되어 있지 않습니다.
+ 일부 AWS 서비스 는 전혀 사용할 수 없습니다 AWS 리전. 리전별 가용성은 [리전별AWS 서비스](https://aws.amazon.com/about-aws/global-infrastructure/regional-product-services/)를 참조하세요. 구체적인 엔드포인트는 [서비스 엔드포인트 및 할당량](https://docs.aws.amazon.com/general/latest/gr/aws-service-information.html)을 참조하고 서비스 링크를 선택합니다.
## 아키텍처
다음 다이어그램은 이 패턴의 구성 요소 및 워크플로를 보여 줍니다.
![\[Terraform을 사용하여 AWS 권한 세트를 관리하는 구성 요소 및 워크플로입니다.\]](http://docs.aws.amazon.com/ko_kr/prescriptive-guidance/latest/patterns/images/pattern-img/69dc79c7-b4cd-4ad0-b0d2-d58cf0c7adaa/images/649e299c-1142-405a-8982-4a6b2e595d53.png)
**AWS Control Tower 이벤트 흐름**
솔루션은 AWS Control Tower 또는 AFT에서 발생하는 이벤트의 통합으로 시작됩니다. 변수 정의를 통해 구현 시 하나 또는 다른 서비스 중에서 선택합니다. 사용된 방법에 관계없이 계정이 생성되거나 업데이트될 때마다 파이프라인이 트리거됩니다. 파이프라인은 권한 세트 관리 리포지토리에 저장된 정책을 조정합니다.
수명 AWS Control Tower 주기 이벤트는 다음과 같습니다.
+ `CreateManagedAccount` - 새 계정이 생성될 때
+ `UpdateManagedAccount` - 기존 계정이 업데이트되는 경우
**이벤트 라우팅**
EventBridge는 AWS Control Tower 계정에서 생성된 이벤트를 캡처하는 중앙 이벤트 처리 서비스 역할을 합니다. 이벤트가 발생하면 EventBridge는 이를 솔루션 계정의 중앙 집중식 이벤트 버스로 지능적으로 라우팅합니다. AWS Control Tower 수명 주기 이벤트는 고유한 라우팅 패턴을 따릅니다. AFT가 이벤트 소스로 정의된 경우 AFT 관리 계정은 AWS Control Tower 계정 대신 이벤트를 처리합니다. 이 이벤트 기반 아키텍처를 사용하면 수동 개입 없이 조직 변화에 자동으로 대응할 수 있습니다.
**AFT 통합 프로세스**
AWS Control Tower 수명 주기 이벤트가 AFT 관리 계정에 도달하면 AFT에 고유한 여러 다운스트림 프로세스를 자동으로 트리거합니다. AFT 계정 사용자 지정 워크플로가 완료되면 전용 `aft-notifications` Amazon Simple Notification Service(Amazon SNS) 주제에 메시지가 게시됩니다. 이 주제는이 솔루션에서 구현한 `aft-new-account-forward-event` AWS Lambda 함수를 트리거합니다. Lambda 함수는 파이프라인을 시작하는 데 사용되는 솔루션 계정 이벤트 버스로 이벤트를 보냅니다.
**코드형 인프라 파이프라인**
솔루션 파이프라인은 완전 자동화된 배포 메커니즘으로 작동합니다. AWS CodePipeline 서비스는 리포지토리의 변경 사항을 지속적으로 모니터링합니다. 새 커밋을 감지하면 배포 워크플로가 자동으로 시작되고 검증 및 실행 단계가 포함된 순차적 프로세스가 시작됩니다. 시스템은 제안된 변경 사항을 식별하기 위해 Terraform `plan` 작업을 실행한 다음 환경에서 이러한 변경 사항을 구현하기 위해 Terraform `apply` 명령을 실행합니다 AWS . 특히 파이프라인은 수동 승인 게이트 없이 실행됩니다. 이 접근 방식을 사용하면 파이프라인 로그 및 Terraform 상태 파일을 통해 감사 가능성을 유지하면서 인프라 변경 사항을 신속하게 배포할 수 있습니다.
파이프라인은 AWS CodeBuild 를 활용하여 적절한 권한이 있는 제어된 환경에서 Terraform 작업을 실행합니다. 이 IaC 접근 방식을 통해 파이프라인은 다음을 포함한 포괄적인 권한 관리 작업을 수행할 수 있습니다.
+ 권한 세트를 생성합니다.
+ 기존 권한 세트를 업데이트합니다.
+ 불필요한 권한 세트를 제거합니다.
+ AWS 조직 내 계정 및 그룹 간에 이러한 권한 할당을 관리합니다.
인프라 일관성을 유지하고 충돌하는 변경을 방지하기 위해 솔루션은 Amazon S3 버킷과 전용 Amazon DynamoDB 테이블을 사용하여 Terraform 백엔드 상태 관리 시스템을 구현합니다. 이 접근 방식은 Terraform 상태 파일 및 상태 잠금 메커니즘에 대한 영구 스토리지 위치를 제공하여 동일한 리소스에 대한 동시 수정을 방지합니다.
기본 Terraform 코드는 공식 AWS `permission-sets` Terraform 모듈을 사용합니다. 이 모듈은 권한 세트 템플릿을 기반으로 IAM Identity Center에서 권한 세트를 동적으로 관리할 수 있습니다.
**소스 제어 관리**
권한 세트 템플릿(JSON 파일)은 자격 증명 관리 구성을 위한 중앙 집중식 리포지토리를 제공하는 GitHub와 같은 외부 버전 관리 시스템에 있습니다. 이 접근 방식은 권한 세트 정의에 대한 단일 정보 소스를 설정하는 동시에 표준 코드 검토 사례를 통해 공동 개발을 가능하게 합니다. 권한 있는 사용자는 조직 변경 관리 프로세스에 따라 이러한 템플릿에 대한 변경 사항을 커밋할 수 있습니다. 이러한 커밋은 자동 배포 파이프라인의 기본 트리거 역할을 하여 인프라 업데이트 프로세스를 시작합니다.
리포지토리의 JSON 파일을 사용하여 권한 세트를 구성하는 방법의 예는 [추가 정보를](#manage-aws-permission-sets-dynamically-by-using-terraform-additional) 참조하세요.
## 도구
**AWS 서비스**
+ [AWS CodeBuild](https://docs.aws.amazon.com/codebuild/latest/userguide/welcome.html)는 소스 코드를 컴파일하고 유닛 테스트를 실행하며 배포할 준비가 완료된 아티팩트를 생성하는 완전 관리형 빌드 서비스입니다.
+ [AWS CodeConnections](https://docs.aws.amazon.com/dtconsole/latest/userguide/welcome-connections.html)를 사용하면 CodePipeline과 같은 AWS 리소스와 서비스가 GitHub와 같은 외부 코드 리포지토리에 연결할 수 있습니다.
+ [AWS CodePipeline](https://docs.aws.amazon.com/codepipeline/latest/userguide/welcome.html)은 소프트웨어 릴리스의 여러 단계를 신속하게 모델링하고 구성하고 소프트웨어 변경 내용을 지속적으로 릴리스하는 데 필요한 단계를 자동화합니다.
+ [AWS Command Line Interface (AWS CLI)](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-welcome.html)는 명령줄 셸의 명령을 AWS 서비스 통해와 상호 작용하는 데 도움이 되는 오픈 소스 도구입니다.
+ [AWS Control Tower](https://docs.aws.amazon.com/controltower/latest/userguide/what-is-control-tower.html)는 권장 모범 사례를 따라 AWS 다중 계정 환경을 설정하고 관리하는 데 도움이 됩니다.
+ [Amazon DynamoDB](https://docs.aws.amazon.com/amazondynamodb/latest/developerguide/Introduction.html)는 빠르고 예측 가능하고 확장 가능한 성능을 제공하는 완전 관리형 NoSQL 데이터베이스 서비스입니다.
+ [Amazon EventBridge](https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-what-is.html)는 애플리케이션을 다양한 소스의 실시간 데이터와 연결할 수 있는 서버리스 이벤트 버스 서비스입니다. 예를 들어 AWS Lambda 함수, API 대상을 사용하는 HTTP 호출 엔드포인트 또는 다른의 이벤트 버스 등이 있습니다 AWS 계정.
+ [AWS Identity and Access Management (IAM)](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html)는 AWS 리소스에 대한 액세스를 인증하고 사용할 수 있는 권한을 부여받은 사용자를 제어하여 리소스에 대한 액세스를 안전하게 관리하는 데 도움이 됩니다.
+ [AWS IAM Identity Center](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)를 사용하면 모든 AWS 계정 및 클라우드 애플리케이션에 대한 Single Sign-On(SSO) 액세스를 중앙에서 관리할 수 있습니다.
+ [AWS Lambda](https://docs.aws.amazon.com/lambda/latest/dg/welcome.html)는 서버를 프로비저닝하거나 관리할 필요 없이 코드를 실행하는 데 도움이 되는 컴퓨팅 서비스입니다. 필요할 때만 코드를 실행하며 자동으로 확장이 가능하므로 사용한 컴퓨팅 시간만큼만 비용을 지불합니다.
+ [AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_introduction.html)는 여러을 생성하여 중앙에서 관리하는 조직 AWS 계정 으로 통합하는 데 도움이 되는 계정 관리 서비스입니다.
+ [Amazon Simple Notification Service(Amazon SNS)](https://docs.aws.amazon.com/sns/latest/dg/welcome.html)를 사용하면 웹 서버 및 이메일 주소를 포함하여 게시자와 클라이언트 간의 메시지 교환을 조정하고 관리할 수 있습니다. 이를 통해 계정 관리 이벤트에 대한 푸시 알림을 활성화하여 관련 당사자가 시스템 내의 중요한 변경 사항 또는 작업에 대해 알림을 받을 수 있습니다.
+ [Amazon Simple Storage Service(S3)](https://docs.aws.amazon.com/AmazonS3/latest/userguide/Welcome.html)는 원하는 양의 데이터를 저장, 보호 및 검색하는 데 도움이 되는 클라우드 기반 객체 스토리지 서비스입니다.
**기타 도구**
+ [Terraform](https://www.terraform.io/)은 HashiCorp의 코드형 인프라(IaC) 도구로, 클라우드 및 온프레미스 리소스를 생성하고 관리하는 데 도움이 됩니다.
**코드 리포지토리**
이 패턴의 코드는 AWS sample-terraform-aws-permission-sets-pipeline 리포지토리의 GitHub에 있는 샘플 조직에서 사용할 수 있습니다. [sample-terraform-aws-permission-sets-pipeline ](https://github.com/aws-samples/sample-terraform-aws-permission-sets-pipeline)
## 모범 사례
+ 프로덕션 환경에서 코드를 실행하는 데 사용되는 Terraform 모듈 및 공급자의 버전을 항상 고정합니다.
+ [Checkov](https://www.checkov.io/)와 같은 정적 코드 분석 도구를 사용하여 코드를 스캔한 다음 보안 문제를 해결합니다.
+ 최소 권한 원칙을 따르고 작업을 수행하는 데 필요한 최소 권한을 부여하세요. 자세한 내용은 IAM 설명서의 [최소 권한 부여](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#grant-least-priv) 및 [보안 모범 사례](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)를 참조하세요.
## 에픽
### 사전 조건 생성(선택 사항)
| 작업 | 설명 | 필요한 기술 |
| --- | --- | --- |
| Terraform 백엔드 리소스를 생성합니다. | 아직 Terraform 백엔드 AWS 리소스를 생성하지 않은 경우 다음 단계를 사용하여 Amazon S3 버킷(`s3-tf-backend-{ACCOUNT_ID}`) 및 DynamoDB 테이블()을 생성합니다`ddb-tf-backend`.[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/prescriptive-guidance/latest/patterns/manage-aws-permission-sets-dynamically-by-using-terraform.html)aws s3api create-bucket --bucket s3-tf-backend-{ACCOUNT_ID}
aws s3api put-bucket-versioning --bucket s3-tf-backend-{ACCOUNT_ID} --versioning-configuration Status=Enabled
aws dynamodb create-table --table-name ddb-tf-backend --attribute-definitions AttributeName=LockID,AttributeType=S --key-schema AttributeName=LockID,KeyType=HASH --provisioned-throughput ReadCapacityUnits=1,WriteCapacityUnits=1 | 관리자 |
| 교차 계정 역할을 생성합니다. | `event-source-account` Terraform AWS 공급자 구성에서 교차 계정 IAM 역할을 제공해야 합니다. 이 역할을 아직 생성하지 않은 경우 다음 단계에 따라 생성합니다.[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/prescriptive-guidance/latest/patterns/manage-aws-permission-sets-dynamically-by-using-terraform.html)aws iam create-role \
--role-name CrossAccountRole \
--assume-role-policy-document '{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::{ACCOUNT_ID}:root"
},
"Action": "sts:AssumeRole"
}
]
}'
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/prescriptive-guidance/latest/patterns/manage-aws-permission-sets-dynamically-by-using-terraform.html)aws iam attach-role-policy \
--role-name CrossAccountRole \
--policy-arn arn:aws:iam::aws:policy/AdministratorAccess
이 예제에서는 AWS 관리형 IAM 정책 [AdministratorAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AdministratorAccess.html)를 사용합니다. 원하는 경우 보다 구체적인 정책을 사용할 수 있습니다. | 관리자 |
### 권한 세트 리포지토리 준비
| 작업 | 설명 | 필요한 기술 |
| --- | --- | --- |
| 전용 리포지토리를 생성합니다. | 이 작업은 사용자가 GitHub를 사용하고 있다고 가정합니다. 기본 Terraform 코드와 권한 세트 템플릿 JSON 파일을 저장할 전용 리포지토리를 생성합니다. | DevOps 엔지니어 |
| 권한 세트 코드를 준비합니다. | 다음 파일을 구성하는 방법에 대한 자세한 내용은 솔루션 리포지토리의 [샘플 코드를](https://github.com/aws-samples/sample-terraform-aws-permission-sets-pipeline/tree/main/samples/basic) 참조하세요.""── main.tf""── outputs.tf""── providers.jinja"── 템플릿콘텐츠를 복사하고, `providers.jinja` 값을 유지하고, 다른 파일에 필요한 조정을 수행합니다. 예를 들어 권한 세트 템플릿 파일을 `templates`에 추가하거나 `main.tf` 파일에서 `aws-ia/permission-sets/aws` 모듈 버전을 고정합니다. | DevOps 엔지니어 |
| 변경 사항을 커밋합니다. | 변경 사항을 커밋하고 이전에 생성한 리포지토리로 푸시합니다. 리포지토리 이름과 GitHub 조직, 예를 들어를 저장합니다`myorg/aws-ps-pipeline`. | DevOps 엔지니어 |
### 배포 코드 준비
| 작업 | 설명 | 필요한 기술 |
| --- | --- | --- |
| 콘텐츠를 다운로드합니다. | 솔루션 [리포지토리](https://github.com/aws-samples/sample-terraform-aws-permission-sets-pipeline)에서 콘텐츠를 다운로드(복제)합니다. | DevOps 엔지니어 |
| 변수를 채웁니다. | `terraform.tfvars` 파일을 생성하고 다음과 같은 필수 변수를 추가합니다.[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/prescriptive-guidance/latest/patterns/manage-aws-permission-sets-dynamically-by-using-terraform.html)repository_name = "myorg/aws-ps-pipeline"
branch_name = "main"
vcs_provider = "github"
account_lifecycle_events_source = "CT"
추가 변수 옵션에 대한 자세한 내용은이 패턴의 GitHub 리포지토리에 있는 [variables.tf](https://github.com/aws-samples/sample-terraform-aws-permission-sets-pipeline/blob/main/variables.tf) 파일을 참조하세요. | DevOps 엔지니어 |
| Terraform 백엔드 구성 파일을 조정합니다. | `backend.tf` 파일에서 자리 표시자를 사용자의 값으로 바꿉니다. AWS Control Tower 홈을 사용하고 이전에 생성한 Amazon S3 버킷 및 DynamoDB 테이블의 이름을 AWS 리전입력합니다.terraform {
required_version = ">=1.6"
backend "s3" {
region = "{region}"
bucket = "{bucket_name}"
key = "terraform.tfstate"
dynamodb_table = "{table_name}"
encrypt = "true"
}
}원하는 경우 자체 Terraform 백엔드 구성을 사용할 수 있습니다. | DevOps 엔지니어 |
| Terraform 공급자 구성 파일을 조정합니다. | `providers.tf` 파일에서 자리 표시자를 자신의 정보로 바꿉니다. AWS Control Tower 홈 리전을 사용하고 `event-source-account` 공급자에 대해 이전에 생성한 교차 계정 IAM 역할의 ARN을 제공합니다.provider "aws" {
region = "{region}"
}
provider "aws" {
alias = "event-source-account"
region = "{region}"
assume_role {
role_arn = "{role_arn}"
}
}
| DevOps 엔지니어 |
### 솔루션을 수동으로 배포합니다.
| 작업 | 설명 | 필요한 기술 |
| --- | --- | --- |
| 를 선택합니다 AWS 계정. | IAM Identity Center 위임된 관리자 계정에 솔루션을 배포하는 것이 좋습니다. 그러나 AWS Organizations 관리 계정에 배포할 수도 있습니다.IAM Identity Center 인스턴스와 동일한 리전에서 선택한 계정에 로그인하려면를 사용합니다 AWS CLI. 사용 중인 IAM 역할에 이전 단계에서 `event-source-account` 공급자에 지정된 역할을 수임할 수 있는 권한이 있는지 확인합니다. 또한이 역할은 Terraform 백엔드 구성에 사용되는 AWS 리소스에 액세스할 수 있어야 합니다. | 관리자 |
| Terraform을 수동으로 실행합니다. | 구성을 초기화, 계획 및 적용하려면 다음 Terraform 명령을 표시된 순서대로 실행합니다.[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/prescriptive-guidance/latest/patterns/manage-aws-permission-sets-dynamically-by-using-terraform.html) | DevOps 엔지니어 |
| 배포 결과를 확인합니다. | IAM Identity Center 위임된 관리자 계정에서 `aws-ps-pipeline` 파이프라인이 생성되었는지 확인합니다. 또한 **보류** 중 상태의 AWS CodeConnections 연결이 있는지 확인합니다. | DevOps |
| CodeConnections 구성을 완료합니다. | CodeConnections 구성을 완료하려면 다음 단계를 사용합니다.[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/prescriptive-guidance/latest/patterns/manage-aws-permission-sets-dynamically-by-using-terraform.html)이제 파이프라인은 권한 세트 리포지토리에 액세스할 수 있습니다.자세한 지침은 개발자 도구 콘솔 설명서의 [보류 중인 연결 업데이트를](https://docs.aws.amazon.com/dtconsole/latest/userguide/connections-update.html) 참조하세요. | DevOps |
### 파이프라인 실행 흐름을 선택하여 솔루션 테스트
| 작업 | 설명 | 필요한 기술 |
| --- | --- | --- |
| AWS Control Tower 또는 AFT 업데이트를 기준으로 파이프라인을 실행합니다. | AWS Control Tower 또는 AFT(선택한 수명 주기 이벤트 유형에 따라 다름)를 사용하여 계정을 생성하거나 변경하면 파이프라인이 시작됩니다. | 관리자 |
| 코드를 변경하여 파이프라인을 실행합니다. | 코드를 변경하고 `main`브랜치에 커밋하면 파이프라인이 시작됩니다. | DevOps |
| 파이프라인을 수동으로 실행합니다. | 파이프라인을 수동으로 시작하려면의 [변경 사항 릴리스](https://docs.aws.amazon.com/codepipeline/latest/userguide/pipelines-rerun-manually.html) 기능을 사용합니다 AWS CodePipeline. | DevOps |
## 문제 해결
| 문제 | Solution |
| --- | --- |
| 액세스 거부됨 | 솔루션을 배포하는 데 필요한 권한이 있는지 확인합니다. |
| CodeConnections 문제 | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/prescriptive-guidance/latest/patterns/manage-aws-permission-sets-dynamically-by-using-terraform.html) |
| 파이프라인 실행 문제 | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/prescriptive-guidance/latest/patterns/manage-aws-permission-sets-dynamically-by-using-terraform.html) |
| 권한 세트 배포 문제 | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/prescriptive-guidance/latest/patterns/manage-aws-permission-sets-dynamically-by-using-terraform.html) |
## 관련 리소스
**AWS 서비스 설명서**
+ [AWS IAM Identity Center 사용 설명서](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)
+ [권한 세트 AWS 계정 로 관리](https://docs.aws.amazon.com/singlesignon/latest/userguide/permissionsetsconcept.html)(IAM Identity Center 설명서)
**기타 리소스**
+ [AWS 권한 세트 모듈](https://registry.terraform.io/modules/aws-ia/permission-sets/aws/latest)(Terraform)
## 추가 정보
**샘플 권한 세트가 있는 JSON 파일**
다음 예에서는 리포지토리의 JSON 파일을 사용하여 권한 세트를 구성하는 방법을 보여줍니다.
```
{
"Name": "ps-billing", // Permission set identifier
"Comment": "Sample permission set for billing access", // Comment to document the purpose of the permission set
"Description": "Billing access in AWS", // Detailed description
"SessionDuration": "PT4H", // Session duration = 4 hours (ISO 8601 format)
"ManagedPolicies": [ // List of AWS IAM managed policies
"arn:aws:iam::aws:policy/job-function/Billing",
"arn:aws:iam::aws:policy/job-function/SupportUser",
"arn:aws:iam::aws:policy/AWSSupportAccess",
"arn:aws:iam::aws:policy/job-function/ViewOnlyAccess"
],
"CustomerPolicies": [], // References to IAM policies previously created
"CustomPolicy": {}, // Inline IAM policy defined directly in the permission set
"PermissionBoundary": { // AWS or customer managed IAM policy to be used as boundary
"ManagedPolicy": "",
"CustomerPolicy": ""
},
"Assignments": [ // Define the assignment rules
{
"all_accounts": true, // Apply to ALL active AWS accounts in organization
"principal": "G_BILLING_USERS", // Group/user name in Identity Center
"type": "GROUP", // Can be "GROUP" or "USER"
"account_id": [], // List of AWS account ID (empty since all_accounts=true)
"account_ou": [], // List of AWS Organizational Unit IDs with target AWS accounts
"account_tag": [] // List of tags (key:value) to match AWS Organization accounts tags
}
]
}
```
자세한 내용은 Terraform 웹 사이트의 [AWS 권한 세트 모듈 설명서에서 JSON 스키마를 참조하세요](https://registry.terraform.io/modules/aws-ia/permission-sets/aws/latest#json-file-templates).
**팁**
+ Terraform [가져오기 블록](https://developer.hashicorp.com/terraform/language/import)을 사용하여 기존 권한 세트를 솔루션으로 가져올 수 있습니다.
+ AFT를 사용하여 위임된 계정에서 AWS 권한 세트 파이프라인을 구현할 수 있습니다. [ 블루프린트에 대한 자세한 내용은 ](https://awslabs.github.io/aft-blueprints/index.html) 섹션을 참조하세요.
# AWS Organizations를 사용하여 Transit Gateway Attachment에 자동으로 태그 지정
*Richard Milner-Watts, Haris Bin Ayub, John Capps, Amazon Web Services*
## 요약
Amazon Web Services(AWS)에서는 [AWS Resource Access Manager](https://aws.amazon.com/ram/)를 사용하여 AWS 계정 경계[AWS Transit Gateway](https://aws.amazon.com/transit-gateway/)를 넘어 공유할 수 있습니다. 그러나 계정 경계를 넘어 Transit Gateway attachment를 생성할 경우 첨부 파일은 이름 태그 없이 생성됩니다. 따라서 첨부 파일을 식별하는 데 시간이 많이 걸릴 수 있습니다.
이 솔루션은 AWS Organizations에서 관리하는 조직 내 계정의 각 Transit Gateway Attachment에 대한 정보를 수집하는 자동화된 메커니즘을 제공합니다. 이 프로세스에는 Transit Gateway 라우팅 테이블에서 [Classless Inter-Domain Routing](https://en.wikipedia.org/wiki/Classless_Inter-Domain_Routing)(CIDR) 범위를 조회하는 작업이 포함됩니다. 그러면 솔루션은 트랜짓 게이트웨이를 보유한 계정 내의 첨부 파일에 이름 태그를 `-`의 형태로 적용합니다.
이 솔루션은 Solutions Library의 [Serverless Transit Network Orchestrator](https://aws.amazon.com/solutions/implementations/serverless-transit-network-orchestrator/)와 같은 AWS 솔루션과 함께 사용할 수 있습니다. 서버리스 트랜짓 네트워크 오케스트레이터를 사용하면 대규모로 Transit Gateway Attachment를 자동으로 생성할 수 있습니다.
## 사전 조건 및 제한 사항
**사전 조건 **
+ 활성 AWS 계정
+ 모든 관련 계정이 포함된 AWS Organizations 조직
+ 조직의 루트에서 조직 관리 계정에 액세스하여 필요한 AWS Identity and Access Management (IAM) 역할을 생성합니다.
+ 조직과 공유되고 첨부 파일이 있는 하나 이상의 트랜짓 게이트웨이를 포함하는 공유 네트워킹 멤버 계정
## 아키텍처
의 다음 스크린샷은 연결된 이름 태그가 없는 Transit Gateway 연결과이 솔루션에서 생성된 이름 태그가 있는 Transit Gateway 연결 2개의 예를 AWS Management Console 보여줍니다. 생성된 이름 태그의 구조는 `-`입니다.
![\[이름 태그가 없는 첨부 파일과 이름 태그가 있는 두 개의 첨부 파일을 보여주는 콘솔.\]](http://docs.aws.amazon.com/ko_kr/prescriptive-guidance/latest/patterns/images/pattern-img/4b10dfec-43be-4337-9945-c64df921934a/images/7e7d4a47-f07a-4708-8022-a1d22855bb5d.png)
이 솔루션은 [AWS CloudFormation](https://aws.amazon.com/cloudformation/)를 사용하여 구성된 모든에서 Transit Gateway 이름 태그 생성을 관리하는 [AWS Step Functions](https://aws.amazon.com/step-functions/) 워크플로를 배포합니다 AWS 리전. 워크플로는 기본 작업을 수행하는 AWS Lambda 함수를 간접적으로 호출합니다.
솔루션이 계정 이름을 가져온 후 AWS Organizations Step Functions 상태 시스템은 모든 Transit Gateway 연결 IDs 가져옵니다. 이는 AWS 리전에서 병렬로 처리됩니다. 이 처리에는 각 첨부 파일의 CIDR 범위 검색이 포함됩니다. CIDR 범위는 리전 내의 Transit Gateway 라우팅 테이블에서 일치하는 Transit Gateway Attachment ID를 검색하여 얻을 수 있습니다. 필요한 정보를 모두 사용할 수 있는 경우 솔루션은 이름 태그를 첨부 파일에 적용합니다. 솔루션은 기존 이름 태그를 덮어쓰지 않습니다.
솔루션은 [Amazon EventBridge](https://aws.amazon.com/eventbridge/) 이벤트에 의해 제어되는 일정에 따라 실행됩니다. 이벤트는 매일 오전 6시(UTC)에 솔루션을 시작합니다.
**대상 기술 스택 **
+ Amazon EventBridge
+ AWS Lambda
+ AWS Organizations
+ AWS Transit Gateway
+ Amazon Virtual Private Cloud(Amazon VPC)
+ AWS X-Ray
**대상 아키텍처 **
솔루션 아키텍처 및 워크플로는 다음 다이어그램에 나와 있습니다.
![\[공유 네트워킹 및 조직 관리 계정 전반의 9단계 프로세스입니다.\]](http://docs.aws.amazon.com/ko_kr/prescriptive-guidance/latest/patterns/images/pattern-img/4b10dfec-43be-4337-9945-c64df921934a/images/873cc89f-c6e3-43cd-94ed-59b6ea2b8d49.png)
1. 예약된 이벤트가 규칙을 시작합니다.
1. EventBridge 규칙은 Step Functions 상태 머신을 시작합니다.
1. 상태 머신은 `tgw-tagger-organizations-account-query` Lambda 함수를 호출합니다.
1. `tgw-tagger-organizations-account-query` Lambda 함수는 조직 관리 계정에서 역할을 맡습니다.
1. `tgw-tagger-organizations-account-query` Lambda 함수는 Organizations API를 호출하여 AWS 계정 메타데이터를 반환합니다.
1. 상태 머신은 `tgw-tagger-attachment-query` Lambda 함수를 호출합니다.
1. 병렬로 각 리전에 대해 상태 머신은 `tgw-tagger-rtb-query` Lambda 함수를 간접적으로 호출하여 각 첨부 파일의 CIDR 범위를 읽습니다.
1. 병렬로 각 리전에 대해 상태 머신은 Lambda 함수를`tgw-tagger-attachment-tagger`** **간접적으로 호출합니다.
1. 공유 네트워킹 계정의 Transit Gateway Attachment에 대한 이름 태그가 생성됩니다.
**자동화 및 규모 조정**
솔루션은 각 리전을 병렬로 처리하여 총 실행 시간을 단축합니다.
## 도구
**서비스**
+ [AWS CloudFormation](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/Welcome.html)는 인프라를 코드로 취급하여 관련 AWS 및 타사 리소스 모음을 모델링하고, 빠르고 일관되게 프로비저닝하고, 수명 주기 동안 관리할 수 있는 방법을 제공합니다.
+ [Amazon CloudWatch](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/WhatIsCloudWatch.html)를 사용하면 AWS 리소스 및에서 실행되는 애플리케이션의 지표를 실시간으로 모니터링할 AWS 수 있습니다.
+ [Amazon EventBridge](https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-what-is.html)는 애플리케이션을 다양한 소스의 데이터와 연결하는 데 사용할 수 있는 서버리스 이벤트 버스 서비스입니다. EventBridge가 환경 변화를 나타내는 이벤트를 수신하고 규칙을 적용하여 이벤트를 대상으로 라우팅합니다. 규칙은 이벤트 패턴이라고 하는 이벤트 구조 또는 일정에 따라 이벤트를 대상과 일치시킵니다.
+ [AWS Lambda](https://docs.aws.amazon.com/lambda/latest/dg/welcome.html)는 서버를 프로비저닝하거나 관리하지 않고도 코드를 실행할 수 있게 해주는 컴퓨팅 서비스입니다. Lambda는 필요 시에만 코드를 실행하며, 일일 몇 개의 요청에서 초당 수천 개의 요청까지 자동으로 확장이 가능합니다. 사용한 컴퓨팅 시간에 대해서만 비용을 지불하면 됩니다. 코드가 실행되지 않을 때는 비용이 부과되지 않습니다.
+ [AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_introduction.html)는 AWS 리소스를 확장하고 확장함에 따라 환경을 중앙에서 관리하고 관리하는 데 도움이 됩니다. Organizations를 사용하면 프로그래밍 방식으로 새 리소스를 생성하고 리소스를 할당 AWS 계정 하며, 계정을 그룹화하여 워크플로를 구성하고, 거버넌스를 위해 계정 또는 그룹에 정책을 적용하고, 모든 계정에 대해 단일 결제 방법을 사용하여 결제를 간소화할 수 있습니다.
+ [AWS Step Functions](https://docs.aws.amazon.com/step-functions/latest/dg/welcome.html)는 비즈니스 프로세스를 오케스트레이션 AWS 서비스, 자동화 및 서버리스 애플리케이션 구축에 사용되는 로우코드 시각적 워크플로 서비스입니다. 워크플로는 장애, 재시도, 병렬화, 서비스 통합 및 관찰성을 관리하므로 개발자는 더 중요한 비즈니스 로직에 집중할 수 있습니다.
+ [AWS Transit Gateway](https://aws.amazon.com/transit-gateway/)는 중앙 허브VPCs와 온프레미스 네트워크를 연결합니다. 이렇게 하면 네트워크가 단순화되고 복잡한 피어링 관계가 없어집니다. 클라우드 라우터 역할을 하므로 새로 연결할 때마다 한 번만 이루어집니다.
+ [Amazon Virtual Private Cloud(VPC)](https://docs.aws.amazon.com/vpc/latest/userguide/what-is-amazon-vpc.html)는 사용자가 정의한 논리적으로 격리된 가상 네트워크에서 AWS 리소스를 시작하는 서비스입니다.
+ [AWS X-Ray](https://docs.aws.amazon.com/xray/latest/devguide/aws-xray.html) X-Ray는 애플리케이션이 처리하는 요청에 대한 데이터를 수집하며, 해당 데이터를 보고, 필터링하고, 통찰을 얻어 문제와 최적화 기회를 식별할 수 있는 도구를 제공합니다.
**코드**
이 솔루션의 소스 코드는 [Transit Gateway Attachment Tagger](https://github.com/aws-samples/tgw-attachment-tagger) GitHub 리포지토리에서 확인할 수 있습니다. 리포지토리에는 다음 파일이 포함됩니다.
+ `tgw-attachment-tagger-main-stack.yaml`은 공유 네트워킹 계정 내에 이 솔루션을 지원하는 모든 리소스를 생성합니다.
+ `tgw-attachment-tagger-organizations-stack.yaml`은 ** **조직의 관리 계정에 역할을 생성합니다.
## 에픽
### 기본 솔루션 스택 배포
| 작업 | 설명 | 필요한 기술 |
| --- | --- | --- |
| 필수 사전 조건 정보를 수집하십시오. | Lambda 함수에서 AWS Organizations API로의 교차 계정 액세스를 구성하려면 조직의 관리 계정에 대한 계정 ID가 필요합니다.****두 CloudFormation 스택이 생성되는 순서가 중요합니다. 먼저 공유 네트워킹 계정에 리소스를 배포해야 합니다. 조직의 관리 계정에 리소스를 배포하기 전에 공유 네트워킹 계정의 역할이 이미 존재해야 합니다. 자세한 내용은 [AWS 설명서](https://docs.amazonaws.cn/en_us/IAM/latest/UserGuide/id_roles_create_for-user.html)를 참조하세요. | DevOps 엔지니어 |
| 기본 솔루션 스택의 CloudFormation 템플릿을 시작합니다. | 기본 솔루션 스택용 템플릿은 IAM 역할, Step Functions 워크플로, Lambda 함수 및 CloudWatch 이벤트를 배포합니다.공유 네트워킹 계정의 AWS Management Console 를 연 다음 :&CFN 콘솔을 엽니다. `tgw-attachment-tagger-main-stack.yaml` 템플릿과 다음 값을 사용하여 스택을 생성합니다. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/prescriptive-guidance/latest/patterns/tag-transit-gateway-attachments-automatically-using-aws-organizations.html) CloudFormation 스택 시작에 대한 자세한 내용은 [AWS 설명서를](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/cfn-console-create-stack.html) 참조하세요. | DevOps 엔지니어 |
| 솔루션이 성공적으로 시작되었는지 확인하십시오. | CloudFormation 스택이 **CREATE\$1COMPLETE** 상태에 도달할 때까지 기다리십시오. 1분 내에 완료됩니다.Step Functions 콘솔을 열고 **tgw-attachment-tagger-state-machine** 이름을 가진 새 상태 머신이 생성되었는지 확인합니다. | DevOps 엔지니어 |
### AWS Organizations 스택 배포
| 작업 | 설명 | 필요한 기술 |
| --- | --- | --- |
| 필수 사전 조건 정보를 수집하십시오. | Lambda 함수에서 AWS Organizations API로의 크로스 계정 액세스를 구성하려면 공유 네트워킹 계정의 계정 ID가 필요합니다. | DevOps 엔지니어 |
| Organizations 스택용 CloudFormation 템플릿을 실행합니다. | AWS Organizations 스택용 템플릿이 조직의 관리 계정에 IAM 역할을 배포 합니다. 조직의 관리 계정에 대한 AWS Console에 액세스한 다음 CloudFormation 콘솔을 엽니다. `tgw-attachment-tagger-organizations-stack.yaml` 템플릿과 다음 값을 사용하여 스택을 생성합니다.[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/prescriptive-guidance/latest/patterns/tag-transit-gateway-attachments-automatically-using-aws-organizations.html)다른 스택 생성 옵션의 경우 기본값을 사용합니다. | DevOps 엔지니어 |
| 솔루션이 성공적으로 시작되었는지 확인하십시오. | CloudFormation 스택이 **CREATE\$1COMPLETE** 상태에 도달할 때까지 기다립니다. 1분 내에 완료됩니다. AWS Identity and Access Management (IAM) 콘솔을 열고 **tgw-attachment-tagger-organization-query-role**이라는 이름으로 새 역할이 생성되었는지 확인합니다. | DevOps 엔지니어 |
### 솔루션 확인
| 작업 | 설명 | 필요한 기술 |
| --- | --- | --- |
| 상태 머신을 실행합니다. | 공유 네트워킹 계정의 Step Functions 콘솔을 열고 탐색 창에서 **상태 머신**을 선택합니다.**상태 머신 **tgw-attachment-tagger-state-machine**을 선택하고 실행 시작** 을 선택합니다. 이 상태 머신에 대한 입력은 솔루션에서 사용되지 않으므로 기본값을 사용할 수 있습니다.{
"Comment": "Insert your JSON here"
}**실행 시작**을 선택합니다. | DevOps 엔지니어 |
| 완료될 때까지 상태 머신을 주시하십시오. | 새 페이지가 열리면 상태 머신이 실행되는 것을 볼 수 있습니다. 기간은 처리할 Transit Gateway Attachment 수에 따라 달라집니다.이 페이지에서 상태 머신의 각 단계를 검토할 수 있습니다. 상태 머신 내의 다양한 작업을 보고 Lambda 함수에 대한 CloudWatch 로그 링크를 따라갈 수 있습니다. 맵 내에서 병렬로 실행되는 작업의 경우 **인덱스 **드롭다운 목록을 사용하여 각 리전의 구체적인 구현을 확인할 수 있습니다. | DevOps 엔지니어 |
| Transit Gateway Attachment 태그를 확인합니다. | 공유 네트워킹 계정의 VPC 콘솔을 열고 **Transit Gateway Attachment** 첨부 파일을 선택합니다. 콘솔에서는 조건을 충족하는 첨부 파일에 대해 이름 태그가 제공됩니다(첨부 파일은 Transit Gateway 라우팅 테이블에 전파되고 리소스 소유자는 조직의 구성원임). | DevOps 엔지니어 |
| CloudWatch 이벤트 시작을 확인합니다. | CloudWatch 이벤트가 시작될 때까지 기다리십시오. 이 일정은 06:00(UTC)으로 예정되어 있습니다. 그런 다음 공유 네트워킹 계정의 Step Functions 콘솔을 열고 탐색 창에서 **상태 머신**을 선택합니다.상태 머신 **tgw-attachment-tagger-state-machine**을 선택합니다. 솔루션이 06:00(UTC)에 실행되었는지 확인합니다. | DevOps 엔지니어 |
## 관련 리소스
+ [AWS Organizations](https://aws.amazon.com/organizations/)
+ [AWS Resource Access Manager](https://aws.amazon.com/ram/)
+ [서버리스 트랜짓 네트워크 오케스트레이터](https://aws.amazon.com/solutions/implementations/serverless-transit-network-orchestrator/)
+ [IAM 역할 생성](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create.html)
+ [AWS CloudFormation 콘솔에서 스택 생성](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/cfn-console-create-stack.html)
# 패턴 더 보기
**Topics**
+ [AFT를 AWS 계정 사용하여 새에 대한 Amazon VPC IPAM IPv4 CIDR 할당 자동화](automate-amazon-vpc-ipam-ipv4-cidr-allocations-for-new-aws-accounts-by-using-aft.md)
+ [Account Factory for Terraform을 사용하여 여러 계정에 대한 권한 세트 관리](govern-permission-sets-aft.md)
+ [GitHub Actions를 사용하여 AWS CloudFormation 템플릿을 기반으로 AWS Service Catalog 제품 프로비저닝](provision-aws-service-catalog-products-using-github-actions.md)
+ [역할 벤딩 머신 솔루션을 배포하여 최소 권한 IAM 역할 프로비저닝](provision-least-privilege-iam-roles-by-deploying-a-role-vending-machine-solution.md)