를 사용하여 X-Ray 암호화 구성 변경 사항 추적 AWS Config

포커스 모드

를 사용하여 X-Ray 암호화 구성 변경 사항 추적 AWS Config - AWS X-Ray

Lambda 함수 트리거 생성 X-ray에 대한 사용자 지정 AWS Config 규칙 생성 결과 예 Amazon SNS 알림

AWS X-Ray 는와 통합되어 X-Ray 암호화 리소스에 대한 구성 변경을 AWS Config 기록합니다. AWS Config 를 사용하여 X-Ray 암호화 리소스를 인벤토리화하고, X-Ray 구성 기록을 감사하고, 리소스 변경 사항에 따라 알림을 보낼 수 있습니다.

AWS Config 는 다음과 같은 X-Ray 암호화 리소스 변경 사항을 이벤트로 로깅하도록 지원합니다.

구성 변경 – 암호화 키 변경 또는 추가, 또는 기본 X-Ray 암호화 설정으로 되돌리기.

다음 지침에 따라 X-Ray와 간에 기본 연결을 생성하는 방법을 알아봅니다 AWS Config.

Lambda 함수 트리거 생성

사용자 지정 AWS Config 규칙을 생성하려면 먼저 사용자 지정 AWS Lambda 함수의 ARN이 있어야 합니다. 다음 지침을 따라 Node.js를 사용하여 XrayEncryptionConfig 리소스의 상태를 기준으로 준수 또는 미준수 값을 AWS Config 로 반환하는 기본 함수를 생성합니다.

AWS::XrayEncryptionConfig 변경 트리거를 사용하여 Lambda 함수를 생성하려면

Lambda 콘솔을 엽니다. 함수 생성(Create function)을 선택합니다.
블루프린트를 선택하고 블루프린트 라이브러리를 config-rule-change-triggered 블루프린트로 필터링합니다. 블루프린트의 이름에서 링크를 클릭하거나 구성을 선택하여 계속 진행합니다.
다음 필드를 정의하여 블루프린트를 구성합니다.
- [Name]에서 이름을 입력합니다.
- [Role]에서 [Create new role from template(s)]를 선택합니다.
- [Role name]에 이름을 입력합니다.
- 정책 템플릿에서 AWS Config 규칙 권한을 선택합니다.
함수 생성을 선택하여 AWS Lambda 콘솔에서 함수를 생성하고 표시합니다.

함수 코드를 편집하여 AWS::EC2::Instance를 AWS::XrayEncryptionConfig로 바꿉니다. 설명 필드를 업데이트해서 이 변경 내용을 반영할 수도 있습니다.

기본 코드


    if (configurationItem.resourceType !== 'AWS::EC2::Instance') {
        return 'NOT_APPLICABLE';
    } else if (ruleParameters.desiredInstanceType === configurationItem.configuration.instanceType) {
        return 'COMPLIANT';
    }
        return 'NON_COMPLIANT';

업데이트된 코드


    if (configurationItem.resourceType !== 'AWS::XRay::EncryptionConfig') {
        return 'NOT_APPLICABLE';
    } else if (ruleParameters.desiredInstanceType === configurationItem.configuration.instanceType) {
        return 'COMPLIANT';
    }
        return 'NON_COMPLIANT';

X-Ray에 액세스할 수 있도록 IAM 내 실행 역할에 다음을 추가합니다. 다음 권한은 X-Ray 리소스에 대한 읽기 전용 액세스를 허용합니다. 적절한 리소스에 대한 액세스를 제공하지 않으면 규칙과 연결된 Lambda 함수를 평가할 AWS Config 때에서 범위를 벗어납니다.
```
    {
        "Sid": "Stmt1529350291539",
        "Action": [
            "xray:GetEncryptionConfig"
        ],
        "Effect": "Allow",
        "Resource": "*"
     }
```

X-ray에 대한 사용자 지정 AWS Config 규칙 생성

Lambda 함수가 생성되면 함수의 ARN을 기록하고 AWS Config 콘솔로 이동하여 사용자 지정 규칙을 생성합니다.

X-Ray에 대한 AWS Config 규칙을 생성하려면

AWS Config 콘솔의 규칙 페이지를 엽니다.
규칙 추가를 선택한 다음 사용자 지정 규칙 추가를 선택합니다.
AWS Lambda 함수 ARN에서 사용하려는 Lambda 함수와 연결된 ARN을 삽입합니다.
설정할 트리거의 유형을 선택합니다.
- 구성 변경 - 규칙의 범위와 일치하는 리소스가 구성에서 변경될 때 평가를 AWS Config 트리거합니다. 평가는가 구성 항목 변경 알림을 AWS Config 보낸 후에 실행됩니다.
- 주기적 - 선택한 빈도(예: 24시간마다)로 규칙에 대한 평가를 AWS Config 실행합니다.
리소스 유형으로는 X-Ray 섹션에서 EncryptionConfig를 선택합니다.
저장(Save)을 선택합니다.

AWS Config 콘솔은 규칙의 규정 준수를 즉시 평가하기 시작합니다. 평가를 완료하는 데 몇 분 정도 걸릴 수 있습니다.

이제이 규칙이 준수되었으므로 감사 기록을 컴파일할 AWS Config 수 있습니다. AWS Config 는 타임라인 형태로 리소스 변경 사항을 기록합니다. 이벤트 타임라인이 변경될 때마다는 암호화 키의 JSON 표현에서 변경된 내용을 표시하기 위해 시작/종료 형식으로 테이블을 AWS Config 생성합니다. EncryptionConfig와 연결된 2개의 필드 변경은 Configuration.type 및 Configuration.keyID입니다.