를 사용하여 조직의 추적 생성 AWS CLI

AWS CLI를 사용하여 조직 추적을 생성할 수 있습니다. AWS CLI 는 추가 기능과 명령으로 정기적으로 업데이트됩니다. 성공을 보장하기 위해 시작하기 전에 최신 AWS CLI 버전을 설치하거나 업데이트했는지 확인하세요.

참고

이 단원의 예제는 조직 추적 생성 및 업데이트와 관련됩니다. 를 사용하여 추적 AWS CLI 을 관리하는 예제는 를 사용하여 추적 관리 AWS CLI 및 섹션을 참조하세요를 사용하여 CloudWatch 로그 모니터링 구성 AWS CLI. 를 사용하여 조직 추적을 생성하거나 업데이트할 때는 관리 계정 또는 충분한 권한이 있는 위임된 관리자 계정의 AWS CLI 프로필을 사용해야 AWS CLI합니다. 조직 추적을 비조직 추적으로 변경하려면, 조직의 관리 계정을 사용해야 합니다.

충분한 권한을 가지고 조직 추적에 사용되는 Amazon S3 버킷을 구성해야 합니다.

조직 추적에 대한 로그 파일을 저장하는 데 사용할 Amazon S3 버킷 생성 또는 업데이트

조직 추적에 대한 로그 파일을 수신할 Amazon S3 버킷을 지정해야 합니다. 이 버킷에는 가 조직의 로그 파일을 버킷에 CloudTrail 넣을 수 있도록 허용하는 정책이 있어야 합니다.

다음은 라는 Amazon S3 버킷에 대한 예제 정책입니다.amzn-s3-demo-bucket조직의 관리 계정에서 소유한 입니다. Replace amzn-s3-demo-bucket, region, managementAccountID, trailName, 및 o-organizationID 조직의 값 포함

이 버킷 정책은 다음 세 가지 문을 포함합니다.

• 첫 번째 문을 사용하면 CloudTrail 가 Amazon S3 버킷에서 Amazon S3 GetBucketAcl 작업을 호출할 수 있습니다.

• 두 번째 문은 추적이 조직 추적에서 해당 계정의 추적으로 변경된 경우에 해당 계정에 대한 로깅을 허용합니다.

• 세 번째 문은 조직 추적에 대한 로깅을 허용합니다.

예제 정책에는 Amazon S3 버킷 정책을 위한 aws:SourceArn 조건 키가 포함되어 있습니다. IAM 전역 조건 키는 가 특정 추적 또는 추적에 대해서만 S3 버킷에 CloudTrail 쓸 수 있도록 aws:SourceArn 합니다. 조직 추적에서 의 값은 관리 계정이 소유ARN한 추적이어야 하며 관리 계정 ID를 사용해야 aws:SourceArn 합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSCloudTrailAclCheck20150319",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "cloudtrail.amazonaws.com"
                ]
            },
            "Action": "s3:GetBucketAcl",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": "arn:aws:cloudtrail:region:managementAccountID:trail/trailName"
                }
            }
        },
        {
            "Sid": "AWSCloudTrailWrite20150319",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "cloudtrail.amazonaws.com"
                ]
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/AWSLogs/managementAccountID/*",
            "Condition": {
                "StringEquals": {
                    "s3:x-amz-acl": "bucket-owner-full-control",
                    "aws:SourceArn": "arn:aws:cloudtrail:region:managementAccountID:trail/trailName"
                }
            }
        },
        {
            "Sid": "AWSCloudTrailOrganizationWrite20150319",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "cloudtrail.amazonaws.com"
                ]
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/AWSLogs/o-organizationID/*",
            "Condition": {
                "StringEquals": {
                    "s3:x-amz-acl": "bucket-owner-full-control",
                    "aws:SourceArn": "arn:aws:cloudtrail:region:managementAccountID:trail/trailName"
                }
            }
        }
    ]
}

이 정책 예제에서는 멤버 계정의 사용자가 조직에 대해 생성된 로그 파일에 액세스하는 것을 허용하지 않습니다. 기본적으로 관리 계정만 조직 로그 파일에 액세스할 수 있습니다. 멤버 계정의 IAM 사용자에게 Amazon S3 버킷에 대한 읽기 액세스를 허용하는 방법에 대한 자세한 내용은 섹션을 참조하세요AWS 계정 간 CloudTrail 로그 파일 공유.

에서 신뢰할 CloudTrail 수 있는 서비스로 활성화 AWS Organizations

조직 추적을 생성하려면 먼저, Organizations의 모든 기능을 사용 설정해야 합니다. 자세한 내용은 조직의 모든 기능 사용 설정 단원을 참조하거나 관리 계정에서 충분한 권한이 있는 프로파일을 사용하여 다음 명령을 실행하세요.

aws organizations enable-all-features

모든 기능을 활성화한 후에는 신뢰할 수 있는 서비스로 신뢰할 수 있도록 Organizations CloudTrail 를 구성해야 합니다.

AWS Organizations 및 간에 신뢰할 수 있는 서비스 관계를 생성하려면 터미널 또는 명령줄을 CloudTrail열고 관리 계정의 프로파일을 사용합니다. 다음 예제에 나와 있는 것처럼 aws organizations enable-aws-service-access 명령을 실행합니다.

aws organizations enable-aws-service-access --service-principal cloudtrail.amazonaws.com

create-trail 사용

모든 리전에 적용되는 조직 추적 생성

모든 리전에 적용되는 조직 추적을 생성하려면 --is-organization-trail 및 --is-multi-region-trail 옵션을 추가합니다.

참고

를 사용하여 조직 추적을 생성할 때는 관리 계정 또는 충분한 권한이 있는 위임된 관리자 계정의 AWS CLI 프로필을 사용해야 AWS CLI합니다.

다음 예는 기존 버킷 amzn-s3-demo-bucket으로 모든 리전의 로그를 전달하는 조직 추적을 생성합니다.

aws cloudtrail create-trail --name my-trail --s3-bucket-name amzn-s3-demo-bucket --is-organization-trail --is-multi-region-trail

추적이 모든 리전에 있는지 확인하려면 다음과 같이 출력의 IsOrganizationTrail 및 IsMultiRegionTrail 파라미터를 모두 true로 설정합니다.

{
    "IncludeGlobalServiceEvents": true, 
    "Name": "my-trail", 
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail", 
    "LogFileValidationEnabled": false, 
    "IsMultiRegionTrail": true, 
    "IsOrganizationTrail": true,
    "S3BucketName": "amzn-s3-demo-bucket"
}

참고

추적에 대한 로깅을 시작하려면 start-logging 명령을 실행합니다. 자세한 내용은 추적에 대한 로깅 중단 및 시작 단원을 참조하세요.

조직 추적을 단일 리전 추적으로 생성

다음 명령은 단일 리전 추적이라고도 AWS 리전하는 단일 의 이벤트만 로깅하는 조직 추적을 생성합니다. 이벤트가 로깅되는 AWS 리전은 의 구성 프로파일에 지정된 리전입니다 AWS CLI.

aws cloudtrail create-trail --name my-trail --s3-bucket-name amzn-s3-demo-bucket --is-organization-trail

자세한 내용은 CloudTrail 리소스, S3 버킷, 키의 이름 지정 요구 사항 KMS 단원을 참조하십시오.

샘플 출력:

{
    "IncludeGlobalServiceEvents": true, 
    "Name": "my-trail", 
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail", 
    "LogFileValidationEnabled": false,
    "IsMultiRegionTrail": false,
    "IsOrganizationTrail": true,
    "S3BucketName": "amzn-s3-demo-bucket"
}

기본적으로 create-trail 명령은 로그 파일 검증을 사용하지 않는 단일 리전 추적을 생성합니다.

참고

추적에 대한 로깅을 시작하려면 start-logging 명령을 실행합니다.

update-trail을 실행하여 조직 추적 업데이트

update-trail 명령을 실행하여 조직 추적의 구성 설정을 변경하거나 단일 AWS 계정의 기존 추적을 조직 전체에 적용할 수 있습니다. update-trail 명령은 추적이 생성된 리전에서만 실행할 수 있다는 점에 유의합니다.

참고

AWS CLI 또는 중 AWS SDKs 하나를 사용하여 추적을 업데이트하는 경우 추적의 버킷 정책이 인지 확인합니다 up-to-date. 자세한 내용은 를 사용하여 조직의 추적 생성 AWS CLI 단원을 참조하십시오.

로 조직 추적을 업데이트할 때는 관리 계정 또는 충분한 권한이 있는 위임된 관리자 계정의 프로필을 사용해야 AWS CLI AWS CLI 합니다. 조직 추적을 비조직 추적으로 변경하려면 해당 조직의 관리 계정을 사용해야 합니다. 관리 계정은 모든 조직 리소스의 소유자이기 때문입니다.

CloudTrail 는 리소스 검증에 실패하더라도 멤버 계정의 조직 추적을 업데이트합니다. 검증 실패의 예는 다음과 같습니다.

• 잘못된 Amazon S3 버킷 정책

• 잘못된 Amazon SNS 주제 정책

• CloudWatch Logs 로그 그룹에 전달할 수 없음

• KMS 키를 사용하여 암호화할 권한이 충분하지 않음

CloudTrail 권한이 있는 멤버 계정은 CloudTrail 콘솔에서 추적의 세부 정보 페이지를 보거나 AWS CLI get-trail-status 명령.

조직에 기존 추적 적용

단일 AWS 계정 대신 조직에도 적용되도록 기존 추적을 변경하려면 다음 예제와 같이 --is-organization-trail 옵션을 추가합니다.

참고

관리 계정을 사용하여 기존의 비조직 추적을 조직 추적으로 변경할 수 있습니다.

aws cloudtrail update-trail --name my-trail --is-organization-trail

이제 추적이 조직에 적용되는지 확인하기 위해 출력의 IsOrganizationTrail 파라미터 값은 true입니다.

{
    "IncludeGlobalServiceEvents": true, 
    "Name": "my-trail", 
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail", 
    "LogFileValidationEnabled": false, 
    "IsMultiRegionTrail": true, 
    "IsOrganizationTrail": true, 
    "S3BucketName": "amzn-s3-demo-bucket"
}

앞의 예에서 추적은 모든 리전에 적용되도록 구성되었습니다("IsMultiRegionTrail": true). 단일 리전에만 적용된 추적은 출력에 "IsMultiRegionTrail": false가 표시됩니다.

한 리전에 적용되는 조직 추적을 모든 리전에 적용되는 추적으로 변환

기존 조직 추적이 모든 리전에 적용되도록 변경하려면 다음 예와 같이 --is-multi-region-trail 옵션을 추가합니다.

aws cloudtrail update-trail --name my-trail --is-multi-region-trail

이제 추적이 모든 리전에 적용되는지 확인하기 위해 출력의 IsMultiRegionTrail 파라미터 값은 true입니다.

{
    "IncludeGlobalServiceEvents": true, 
    "Name": "my-trail", 
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/my-trail", 
    "LogFileValidationEnabled": false, 
    "IsMultiRegionTrail": true, 
    "IsOrganizationTrail": true,
    "S3BucketName": "amzn-s3-demo-bucket"
}