Application Cost Profiler용 Amazon S3 버킷 설정

AWS Application Cost Profiler에 사용 데이터를 보내고 이 보고서에서 보고서를 수신하려면 데이터를 저장할 Amazon Simple Storage Service(Amazon S3) 버킷이 AWS 계정에 하나 이상 있고 보고서를 수신할 S3 버킷 하나가 있어야 합니다.

참고

AWS Organizations 사용자의 경우 Amazon S3 버킷은 관리 계정 또는 개별 멤버 계정에 있을 수 있습니다. 관리 계정이 소유한 S3 버킷의 데이터를 사용하여 전체 조직에 대한 보고서를 생성할 수 있습니다. 개별 멤버 계정의 경우 S3 버킷의 데이터는 해당 멤버 계정에 대한 보고서를 생성하는 데만 사용할 수 있습니다.

생성한 S3 버킷은 이를 생성한 AWS 계정의 소유가 됩니다. S3 버킷에는 표준 Amazon S3 요금이 청구됩니다. Amazon S3 버킷 생성 방법에 대해 자세히 알아보려면 Amazon Simple Storage Service 사용 설명서의 버킷 생성을 참조하세요.

Application Cost Profiler에서 S3 버킷을 사용하려면 Application Cost Profiler에 버킷 읽기 및/또는 쓰기 권한을 부여하는 정책을 해당 버킷에 연결해야 합니다. 보고서를 설정한 후 정책을 수정하면 Application Cost Profiler가 사용 데이터를 읽거나 보고서를 전달하지 못할 수 있습니다.

다음 주제에서는 Amazon S3 버킷을 생성한 후 해당 버킷에 대한 권한을 설정하는 방법을 보여줍니다. 객체 읽기 및 쓰기 기능 외에도 버킷을 암호화한 경우 Application Cost Profiler는 각 버킷의 AWS Key Management Service(AWS KMS) 키에 액세스할 수 있어야 합니다.

Application Cost Profiler에 보고서 전송 S3 버킷에 대한 액세스 권한 부여

Application Cost Profiler가 보고서를 전송하도록 구성하는 S3 버킷에는 Application Cost Profiler가 보고서 객체를 생성하도록 허용하는 정책이 첨부되어 있어야 합니다. 또한 암호화를 활성화하도록 S3 버킷을 구성해야 합니다.

참고

버킷을 생성할 때 버킷을 암호화하도록 선택해야 합니다. Amazon S3가 관리하는 키(SSE-S3) 또는 AWS KMS(SSE-KMS)에서 관리하는 자체 키(SSE-KMS)로 버킷을 암호화할 수 있습니다. 암호화되지 않은 버킷을 이미 생성한 경우, 버킷을 편집하여 암호화를 추가해야 합니다.

Application Cost Profiler에 보고서 전송 S3 버킷에 대한 액세스 권한을 부여하는 방법은 다음과 같습니다.

1. Amazon S3 콘솔에 로그인합니다.

2. 왼쪽 탐색 창에서 버킷을 선택한 다음 목록에서 버킷을 선택합니다.

3. 권한 탭을 선택한 다음 버킷 정책 옆에 있는 편집을 선택합니다.

4. 정책 섹션에 다음 정책을 삽입합니다. <bucket_name>을(를) 버킷 이름으로, <AWS 계정>을(를) AWS 계정의 ID로 변경합니다.

   {
         "Version":"2008-10-17",
         "Statement":[
           {
             "Effect":"Allow",
             "Principal":{
               "Service":"application-cost-profiler.amazonaws.com"
             },
             "Action":[
               "s3:PutObject*",
               "s3:GetEncryptionConfiguration"
             ],
             "Resource": [
               "arn:aws:s3:::<bucket-name>",
               "arn:aws:s3:::<bucket-name>/*"
             ],
             "Condition": {
               "StringEquals": {
                 "aws:SourceAccount": "<AWS 계정>"
               },
               "ArnEquals": {
                 "aws:SourceArn": "arn:aws:application-cost-profiler:us-east-1:<AWS 계정>:*"
               }
             }
           }
         ]
       }

   이 정책에서는 Application Cost Profiler 서비스 주체(application-cost-profiler.amazonaws.com)에 지정된 버킷으로 보고서를 전송하는 액세스 권한을 부여합니다. 이 작업은 사용자를 대신해서 실행되며, 보고서 전송 버킷과 관련된 AWS 계정 및 ARN과 헤더를 포함합니다. Application Cost Profiler가 사용자를 대신해서 버킷에 액세스할 때만 Condition에서 해당 헤더를 확인합니다.

5. 변경 사항 저장을 선택하면 정책을 버킷에 첨부하여 저장합니다.

   SSE-S3 암호화를 이용해 버킷을 만들면 작업이 완료됩니다. SSE-KMS 암호화를 사용한 경우 Application Cost Profiler에 버킷에 대한 액세스 권한을 부여하려면 다음 단계를 따라야 합니다.

6. (선택 사항) 버킷의 속성 탭을 선택하고 기본 암호화에서 AWS KMS 키의 Amazon 리소스 이름(ARN)을 선택합니다. 이 작업을 수행하면 AWS Key Management Service 콘솔과 키가 표시됩니다.

7. (선택 사항) Application Cost Profiler에 AWS KMS 키에 대한 액세스 권한을 부여하는 정책을 추가합니다. 이 정책을 추가하는 방법에 대해 알아보려면 Application Cost Profiler에 SSE-KMS로 암호화된 S3 버킷에 대한 액세스 권한 부여의 내용을 참조하세요.

Application Cost Profiler에 사용 데이터 S3 버킷에 대한 액세스 권한 부여

Application Cost Profiler가 사용 데이터를 읽도록 구성한 S3 버킷에는 Application Cost Profiler가 사용 데이터 객체를 읽도록 허용하는 정책이 연결되어 있어야 합니다.

참고

Application Cost Profiler에 사용 데이터에 대한 액세스 권한을 부여하면 보고서를 처리하는 동안 해당 사용 데이터 객체를 미국 동부(버지니아 북부) AWS 리전에 일시적으로 복사할 수 있다는 데 동의하는 것으로 간주됩니다. 이러한 데이터 객체는 월별 보고서 생성이 완료될 때까지 미국 동부(버지니아 북부) 리전에 보관됩니다.

Application Cost Profiler에 사용 데이터 S3 버킷에 대한 액세스 권한을 부여하는 방법은 다음과 같습니다.

1. Amazon S3 콘솔에 로그인합니다.

2. 왼쪽 탐색 창에서 버킷을 선택한 다음 목록에서 버킷을 선택합니다.

3. 권한 탭을 선택한 다음, 버킷 정책 옆에서 편집을 선택합니다.

4. 정책 섹션에 다음 정책을 삽입합니다. <bucket-name>을(를) 버킷 이름으로, <AWS 계정>을(를) AWS 계정의 ID로 변경합니다.

   {
         "Version":"2008-10-17",
         "Statement":[
           {
             "Effect":"Allow",
             "Principal":{
               "Service":"application-cost-profiler.amazonaws.com"
             },
             "Action":[
               "s3:GetObject*"
             ],
             "Resource": [
               "arn:aws:s3:::<bucket-name>",
               "arn:aws:s3:::<bucket-name>/*"
             ],
             "Condition": {
               "StringEquals": {
                 "aws:SourceAccount": "<AWS 계정>"
               },
               "ArnEquals": {
                 "aws:SourceArn": "arn:aws:application-cost-profiler:us-east-1:<AWS 계정>:*"
               }
             }
           }
         ]
       }

   이 정책에서는 Application Cost Profiler 서비스 주체(application-cost-profiler.amazonaws.com)에 지정된 버킷에서 데이터를 가져올 수 있는 액세스 권한을 부여합니다. 이 작업은 자동으로 실행되며, 사용 버킷에 대한 AWS 계정 및 ARN을 포함합니다. Application Cost Profiler가 사용자를 대신하여 버킷에 액세스할 때만 Condition에서 해당 헤더를 확인합니다.

5. 변경 사항 저장을 선택하면 정책을 버킷에 첨부하여 저장합니다.

버킷이 AWS KMS 관리 키로 암호화되면 다음 섹션의 절차에 따라 Application Cost Profiler에 버킷에 대한 액세스 권한을 부여해야 합니다.

Application Cost Profiler에 SSE-KMS로 암호화된 S3 버킷에 대한 액세스 권한 부여

Application Cost Profiler용으로 구성한 S3 버킷(보고서 버킷에 필요)을 AWS KMS(SSE-KMS)에 저장된 키로 암호화하는 경우에는 Application Cost Profiler에 이를 복호화하는 권한도 부여해야 합니다. 이를 위해 데이터를 암호화하는 데 사용된 AWS KMS 키에 액세스 권한을 부여하세요.

참고

Amazon S3 관리 키로 버킷을 암호화하면 이 절차를 완료하지 않아도 됩니다.

Application Cost Profiler에 SSE-KMS로 암호화된 S3 버킷의 AWS KMS에 대한 액세스 권한을 부여하는 방법은 다음과 같습니다.

1. AWS KMS 콘솔에 로그인합니다.

2. 왼쪽 탐색 메뉴에서 고객 관리 키를 선택한 다음 목록에서 버킷을 암호화하는 데 사용되는 키를 선택합니다.

3. 정책 보기로 전환을 선택한 다음 편집을 선택합니다.

4. 정책 섹션에 다음 정책 설명을 삽입합니다.

     {
       "Effect": "Allow",
       "Principal": {
           "Service": "application-cost-profiler.amazonaws.com"
       },
       "Action": [
           "kms:Decrypt",
           "kms:GenerateDataKey*"
       ],
       "Resource": "*",
             "Condition": {
               "StringEquals": {
                 "aws:SourceAccount": "<AWS 계정>"
               },
               "ArnEquals": {
                 "aws:SourceArn": "arn:aws:application-cost-profiler:us-east-1:<AWS 계정>:*"
               }
     }

5. 변경 사항 저장을 선택하여 정책을 키에 첨부하여 저장합니다.

6. Application Cost Profiler가 액세스해야 하는 S3 버킷을 암호화하는 키별로 위의 과정을 반복합니다.

참고

데이터는 Application Cost Profiler 관리 버킷(암호화됨)으로 가져올 때 S3 버킷에서 복사됩니다. 키에 대한 액세스를 취소하면 Application Cost Profiler가 버킷에서 새 객체를 검색할 수 없습니다. 하지만 이미 가져온 데이터는 보고서 생성에 계속 사용할 수 있습니다.