CloudTrail 이벤트에 대한 이벤트 데이터 스토어 생성 - AWS CloudTrail

CloudTrail 이벤트에 대한 이벤트 데이터 스토어 생성

CloudTrail Lake를 시작하기 위해 이벤트 데이터 스토어를 생성합니다. 이벤트 데이터는 최대 7년 또는 2557일 동안 이벤트 데이터 스토어에 보관할 수 있습니다. 기본적으로 이벤트 데이터는 2557일 동안 보존되며 이벤트 데이터 스토어에 대해 종료 방지 기능이 활성화됩니다.

CloudTrail 이벤트에 대한 이벤트 데이터 스토어를 생성하려면

  1. AWS Management Console에 로그인하여 https://console.aws.amazon.com/cloudtrail/에서 CloudTrail 콘솔을 엽니다.

  2. CloudTrail 콘솔의 왼쪽 탐색 창에서 Lake를 선택합니다.

  3. Lake 페이지에서 Event data stores(이벤트 데이터 스토어) 탭을 선택합니다.

  4. 이벤트 데이터 스토어 생성(Create event data store)을 선택합니다.

  5. 이벤트 데이터 스토어 구성(Configure event data store) 페이지의 일반 세부 정보(General details)에서 이벤트 데이터 스토어의 이름을 입력합니다. 이름은 필수 항목입니다.

  6. 이벤트 데이터 스토어의 보존 기간을 일 단위로 지정합니다. 유효한 값은 7에서 2557(7년) 사이의 정수입니다. 이벤트 데이터 스토어는 지정된 일수 동안 이벤트 데이터를 유지합니다. 기본적으로 이벤트 데이터는 2557일 동안 보존됩니다.

  7. (선택 사항) AWS Key Management Service를 사용하여 암호화를 활성화하려면 Use my own AWS KMS key(자체 AWS KMS key 사용)를 선택합니다. New(신규)를 선택하여 AWS KMS key를 생성하거나 Existing(기존)을 선택하여 기존 KMS 키를 사용합니다. Enter KMS alias(KMS 별칭 입력)에 alias/MyAliasName 형식으로 별칭을 지정합니다. 자체 KMS 키를 사용하려면 CloudTrail 로그를 암호화하고 복호화할 수 있도록 KMS 키 정책을 편집해야 합니다. 자세한 내용은 CloudTrail에 대한 AWS KMS 키 정책 구성 섹션을 참조하세요. CloudTrail은 AWS KMS 다중 리전 키도 지원합니다. 다중 리전 키에 대한 자세한 내용은 AWS Key Management Service 개발자 가이드다중 리전 키 사용 단원을 참조하세요.

    자체 KMS 키를 사용하면 암호화 및 복호화에 대한 AWS KMS 비용이 발생합니다. KMS 키와 이벤트 데이터 스토어를 연결한 후에는 KMS 키를 제거하거나 변경할 수 없습니다.

    참고

    조직 이벤트 데이터 스토어에 대해 AWS Key Management Service 암호화를 활성화하려면 관리 계정에 기존 KMS 키를 사용해야 합니다.

  8. (선택 사항) Tags(태그) 섹션에 최대 50개의 태그 키 쌍을 추가하여 이벤트 데이터 스토어에 대한 액세스를 식별, 정렬 및 제어할 수 있습니다. IAM 정책을 사용하여 태그를 기반으로 이벤트 데이터 스토어에 대한 액세스 권한을 부여하는 방법에 대한 자세한 내용은 예제: 태그를 기반으로 이벤트 데이터 스토어를 생성 또는 삭제하기 위한 액세스 거부 단원을 참조하세요. AWS의 태그 사용 방법에 대한 자세한 내용은 AWS 일반 참조AWS 리소스 태그 지정을 참조하세요.

  9. Next(다음)를 선택하여 이벤트 데이터 스토어를 구성합니다.

  10. Choose events(이벤트 선택) 페이지에서 CloudTrail events(CloudTrail 이벤트)를 선택합니다.

  11. CloudTrail events(CloudTrail 이벤트)에서 하나 이상의 이벤트 유형을 선택합니다. 기본적으로 관리 이벤트(Management events)가 선택됩니다. 이벤트 데이터 스토어에 관리 이벤트와 데이터 이벤트를 모두 추가할 수 있습니다. 관리 이벤트에 대한 자세한 내용은 추적에 대한 관리 이벤트 로깅 단원을 참조하세요. 데이터 이벤트에 대한 자세한 내용은 추적에 대한 데이터 이벤트 로깅 단원을 참조하세요.

  12. (선택 사항) 기존 트레일에서 이벤트를 복사해 이전 이벤트에 대한 쿼리를 실행하려면 Copy trail events(트레일 이벤트 복사)를 선택합니다. 추적 이벤트를 조직 이벤트 데이터 스토어에 복사하려면 조직의 관리 계정을 사용해야 합니다. 위임된 관리자 계정은 추적 이벤트를 조직 이벤트 데이터 스토어에 복사할 수 없습니다. 트레일 이벤트 복사 시 고려 사항에 대한 자세한 내용은 고려 사항 단원을 참조하세요.

  13. CloudTrail은 사용자가 생성한 AWS 리전에 이벤트 데이터 스토어 리소스를 저장하지만 기본적으로 데이터 스토어에 수집한 이벤트는 계정의 모든 리전에서 가져온 것입니다. 필요에 따라 Include only the current region in my event data store(내 이벤트 데이터 스토어에 현재 리전만 포함)를 선택하여 현재 리전에서 로그된 이벤트만 포함할 수 있습니다. 이 옵션을 선택하지 않으면 이벤트 데이터 스토어에 모든 리전의 이벤트가 포함됩니다.

  14. 이벤트 데이터 스토어에서 AWS Organizations 조직 내 모든 계정의 이벤트를 수집하도록 하려면 내 조직의 모든 계정에 대해 활성화(Enable for all accounts in my organization)를 선택합니다. 조직의 이벤트를 수집하는 이벤트 데이터 스토어를 생성하려면 조직의 관리 계정이나 위임된 관리자 계정에 로그인해야 합니다.

  15. 이벤트 데이터 스토어에 관리 이벤트가 포함되어 있는 경우 읽기(Read), 쓰기(Write) 또는 둘 다를 선택합니다. 최소 1개 이상 필요합니다. 읽기(Read)쓰기(Write) 관리 이벤트에 대한 자세한 내용은 추적에 대한 관리 이벤트 로깅 단원을 참조하세요.

  16. 이벤트 데이터 스토어에서 AWS Key Management Service 또는 Amazon RDS Data API 이벤트를 제외하도록 선택할 수 있습니다. 이러한 옵션에 대한 자세한 내용은 추적에 대한 관리 이벤트 로깅 단원을 참조하세요.

  17. 이벤트 데이터 스토어에 데이터 이벤트를 포함하려면 다음을 수행합니다.

    1. 데이터 이벤트 유형을 선택합니다. 이는 데이터 이벤트가 로그되는 AWS 서비스 및 리소스입니다. Lake Formation에서 생성한 AWS Glue 테이블의 데이터 이벤트를 로그하려면 데이터 형식으로 Lake Formation을 선택합니다.

    2. 로그 선택기 템플릿(Log selector template)에서 템플릿을 선택합니다. 모든 데이터 이벤트, readOnly 이벤트, writeOnly 이벤트를 기록하도록 선택하거나 사용자 지정(Custom)을 사용하여 사용자 지정 로그 선택기를 빌드할 수 있습니다.

    3. 사용자 지정(Custom)을 선택한 경우, 선택적으로 사용자 지정 로그 선택기 템플릿의 이름을 입력합니다.

    4. 고급 이벤트 선택기(Advanced event selectors)에서 필드(Field), 연산자(Operator) 및 (Value)을 선택하여 표현식을 빌드합니다. 이벤트 데이터 스토어의 고급 이벤트 선택기는 추적에 적용하는 고급 이벤트 선택기와 동일하게 작동합니다. 고급 이벤트 선택기를 빌드하는 방법에 대한 자세한 내용은 고급 이벤트 선택기를 사용하여 데이터 이벤트 로깅 단원을 참조하십시오.

      다음 예제에서는 사용자 지정(Custom) 로그 선택기 템플릿을 사용하여 PutObject과 같이 Put를 통해 시작하는 S3 객체에서 이벤트 이름만을 선택합니다. 고급 이벤트 선택기는 다른 이벤트 유형이나 리소스 ARN을 포함하거나 제외하지 않으므로 미국 동부(버지니아 북부) 리전에 기록되고 이벤트 이름이 Put로 시작하는 모든 S3 데이터 이벤트(읽기 및 쓰기 모두)는 이벤트 데이터 스토어에 저장됩니다.

      
                                    레이크 데이터 이벤트, 고급 이벤트 선택기
      중요

      S3 버킷 ARN을 사용하여 고급 이벤트 선택기가 있는 데이터 이벤트를 제외하거나 포함하려면 항상 다음으로 시작(Starts with) 연산자를 사용합니다.

    5. 선택적으로 JSON 뷰(JSON view)를 확장하여 고급 이벤트 선택기를 JSON 블록으로 볼 수 있습니다.

  18. 이벤트 데이터 스토어에 기존 추적 이벤트를 복사하려면 다음을 수행합니다.

    1. 복사하려는 트레일을 선택합니다. 기본적으로 CloudTrail은 S3 버킷의 CloudTrail 접두사와 CloudTrail 접두사 내의 접두사에 포함된 CloudTrail 이벤트만 복사하고 기타 AWS 서비스의 접두사는 확인하지 않습니다. 다른 접두사에 포함된 CloudTrail 이벤트를 복사하려면 Enter S3 URI(S3 URI 입력)을 선택한 다음 Browse S3(S3 검색)를 선택하여 접두사를 찾아보세요. 추적에 대한 소스 S3 버킷에서 데이터 암호화에 KMS 키를 사용하는 경우 KMS 키 정책에서 CloudTrail이 데이터를 복호화하도록 허용하는지 확인합니다. 소스 S3 버킷에서 여러 KMS 키를 사용하는 경우 CloudTrail이 버킷의 데이터를 복호화할 수 있도록 각 키의 정책을 업데이트해야 합니다. KMS 키 정책 업데이트에 대한 자세한 내용은 소스 S3 버킷의 데이터 해독을 위한 KMS 키 정책 섹션을 참조하세요.

    2. (선택 사항) 이벤트를 복사할 시간 범위를 선택합니다. 시간 범위를 선택하는 경우, CloudTrail은 트레일 이벤트를 복사하기 전에 접두사와 로그 파일 이름을 확인하여 선택한 시작 날짜와 종료 날짜 사이의 날짜가 이름에 포함되어 있는지 확인합니다. 상대 범위(Relative range) 또는 절대 범위(Absolute range)를 선택할 수 있습니다. 소스 트레일과 대상 이벤트 데이터 스토어 간에 이벤트가 중복되지 않도록 하려면 이벤트 데이터 스토어 생성 이전의 시간 범위를 선택합니다.

      • 상대 범위(Relative range)를 선택하는 경우 최근 5분, 30분, 1시간, 6시간 또는 사용자 지정 범위 동안 기록된 이벤트를 복사하도록 선택할 수 있습니다. CloudTrail은 선택한 기간 내에 기록된 이벤트를 복사합니다.

      • 절대 범위(Absolute range)를 선택하는 경우 특정 시작일과 종료일을 선택할 수 있습니다. CloudTrail은 선택한 시작일과 종료일 사이에 발생한 이벤트를 복사합니다.

    3. 권한(Permissions)에서 다음 IAM 역할 옵션 중 하나를 선택합니다. 기존 IAM 역할을 선택하는 경우 IAM 역할 정책이 필요한 권한을 제공하는지 확인합니다. IAM 역할 권한 업데이트에 대한 자세한 내용은 트레일 이벤트 복사를 위한 IAM 권한 섹션을 참조하세요.

      • 새 IAM 역할을 생성하려면 새 역할 생성(권장)(Create a new role (recommended))을 선택합니다. IAM 역할 이름 입력(Enter IAM role name)에 역할 이름을 입력합니다. CloudTrail은 이 새 역할에 필요한 권한을 자동으로 생성합니다.

      • 목록에 없는 사용자 지정 IAM 역할을 사용하려면 사용자 지정 IAM 역할 사용(Use a custom IAM role)을 선택합니다. IAM 역할 ARN 입력(Enter IAM role ARN)에서 IAM ARN을 입력합니다.

      • 드롭다운 목록에서 기존 IAM 역할을 선택하려면 기존 역할 사용(Use an existing role)을 선택합니다.

  19. Next(다음)를 선택하여 선택 사항을 검토합니다.

  20. 검토 및 생성(Review and create) 페이지에서 선택 사항을 검토합니다. 편집(Edit)을 선택하여 단원을 변경합니다. 이벤트 데이터 스토어를 생성할 준비가 되었으면 이벤트 데이터 스토어 생성(Create event data store)을 선택합니다.

  21. 새 이벤트 데이터 스토어는 Lake 페이지의 이벤트 데이터 스토어(Event data stores) 테이블에 표시됩니다.

    이 시점부터 이벤트 데이터 스토어는 고급 이벤트 선택기와 일치하는 이벤트를 캡처합니다. 기존 트레일 이벤트를 복사하기로 선택하지 않은 한 이벤트 데이터 스토어를 만들기 전에 발생한 이벤트는 이벤트 데이터 스토어에 존재하지 않습니다.

이제 새 이벤트 데이터 스토어에 대한 쿼리를 실행할 수 있습니다. Sample queries(샘플 쿼리) 탭에서는 시작하기 위한 예제 쿼리를 제공합니다. 쿼리 생성 및 편집에 대한 자세한 내용은 쿼리 생성 또는 편집을 참조하세요.