AWS Config가 기록하는 리소스 선택 - AWS Config

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

AWS Config가 기록하는 리소스 선택

AWS Config는 지원되는 유형의 모든 리소스가 생성, 변경 또는 삭제될 때 이를 지속적으로 감지합니다. AWS Config는 이러한 이벤트를 구성 항목으로 기록합니다. 지원되는 모든 유형의 리소스에 대한 변경 사항을 기록하거나 관련된 유형의 리소스에 대한 변경 사항만 기록하도록 AWS Config를 사용자 지정할 수 있습니다. AWS Config가 기록할 수 있는 리소스 유형을 알아보려면 지원되는 리소스 유형 단원을 참조하십시오.

지원되는 모든 리소스 유형 기록

기본적으로 AWS Config는 AWS Config가 실행되는 리전에서 발견한 지원되는 모든 유형의 리전 리소스에 대한 구성 변경을 기록합니다. 리전 리소스는 한 리전에 한정되어 있으며 해당 리전에서만 사용할 수 있습니다. 리전 리소스의 예는 EC2 인스턴스와 EBS 볼륨입니다.

AWS Config가 지원되는 유형의 전역 리소스를 기록하도록 할 수도 있습니다. 전역 리소스는 특정 리전에 한정되지 않고 모든 리전에서 사용할 수 있습니다. AWS Config가 지원하는 전역 리소스 유형은 IAM 사용자, 그룹, 역할, 고객 관리형 정책입니다.

중요

특정 전역 리소스의 구성 세부 정보는 모든 리전에서 동일합니다. 전역 리소스를 기록하도록 여러 리전에서 AWS Config를 사용자 지정하면, AWS Config는 전역 리소스가 변경될 때마다 여러 구성 항목을 만듭니다(리전당 구성 항목 한 개). 이러한 구성 항목에는 동일한 데이터가 포함됩니다. 구성 항목 중복을 방지하려면 구성 항목을 여러 리전에서 사용하려는 경우 외에는, 한 리전에서만 전역 리소스를 기록하도록 를 사용자 지정하는 것이 좋습니다.

특정 리소스 유형 기록

AWS Config에서 지원되는 모든 리소스의 변경 사항을 기록하도록 하지 않으려면, 특정 유형의 변경 사항만 기록하도록 사용자 지정하면 됩니다. AWS Config는 지정한 리소스 유형의 구성 변경을 기록하며, 여기에는 그러한 리소스의 생성 및 삭제도 포함됩니다.

기록되지 않는 리소스의 경우, AWS Config는 해당 리소스의 생성 및 삭제만 캡처할 뿐 다른 세부 정보는 캡처하지 않으며 비용이 청구되지 않습니다. 기록되지 않는 리소스가 생성되거나 삭제되는 경우, 는 알림을 보내고 해당 리소스 세부 정보 페이지에 이벤트를 표시합니다. 기록되지 않는 리소스의 세부 정보 페이지는 대부분의 구성 세부 정보에 대해 null 값을 표시하며, 관계 및 구성 변경에 대한 정보는 제공하지 않습니다.

AWS Config가 기록된 리소스에 대해 제공하는 관계 정보는 기록되지 않는 리소스에 대한 데이터가 없다고 해서 제한되지 않습니다. 기록된 리소스가 기록되지 않은 리소스와 관련이 있는 경우, 기록된 리소스의 세부 정보 페이지에 해당 관계가 제공됩니다.

언제든 특정 유형의 리소스가 기록되지 않도록 AWS Config를 중지할 수 있습니다. 가 리소스 기록을 중지한 후에도 이전에 캡처한 구성 정보는 유지되며 이 정보에 계속 액세스할 수 있습니다.

AWS Config 규칙을 사용하여 AWS Config가 기록하는 리소스의 준수 상태만 평가할 수 있습니다.

리소스 선택(콘솔)

AWS Config 콘솔을 사용하여 AWS Config가 기록하는 리소스 유형을 선택할 수 있습니다.

리소스를 선택하려면

  1. AWS Management 콘솔에 로그인하고 https://console.aws.amazon.com/config/에서 AWS Config 콘솔을 엽니다.

  2. 설정 페이지를 엽니다.

    • AWS Config 규칙을 지원하는 리전에서 AWS Config를 사용하는 경우, 탐색 창에서 설정을 선택합니다. 지원되는 리전 목록은 Amazon Web Services 일반 참조AWS Config 리전 및 엔드포인트를 참조하십시오.

    • 그렇지 않은 경우, 리소스 인벤토리 페이지에서 설정 아이콘( 
            settings icon
          )을 선택합니다.

  3. 기록할 리소스 유형 섹션에서 AWS Config가 기록하도록 할 AWS 리소스 유형을 지정합니다.

    • 모든 리소스 - AWS Config가 다음 옵션을 통해 지원되는 모든 리소스를 기록합니다.

      • 이 리전 내에서 지원되는 모든 리소스 유형 기록 - AWS Config가 지원되는 모든 유형의 리전 리소스에 대한 구성 변경을 기록합니다. 가 새로운 유형의 리전 리소스를 추가로 지원하면 해당 유형의 리소스를 자동으로 기록하기 시작합니다.

      • 전역 리소스 포함 - AWS Config에서 지원되는 유형의 전역 리소스와 기록하는 리소스(예: IAM 리소스)를 포괄합니다. 가 새로운 유형의 전역 리소스를 추가로 지원하면 해당 유형의 리소스를 자동으로 기록하기 시작합니다.

    • 특정 유형 - AWS Config가 사용자가 지정한 AWS 리소스 유형의 구성 변경만 기록합니다.

  4. 변경 내용을 저장합니다:

    • AWS Config 규칙을 지원하는 리전에서 AWS Config를 사용하는 경우, 저장을 선택합니다.

    • 그렇지 않은 경우, 계속을 선택합니다. AWS Config가 리소스 구성을 읽을 수 있는 권한을 요청하는 중입니다. 페이지에서 Allow를 선택합니다.

리소스 선택(AWS CLI)

AWS CLI를 사용하여 AWS Config에서 기록하도록 할 리소스 유형을 선택할 수 있습니다. 기록 그룹에서 지정한 리소스 유형을 기록하는 구성 레코드를 만들어 이를 수행합니다. 기록 그룹에서 지원되는 모든 유형의 리소스를 기록할지, 특정 유형의 리소스만 기록할지 지정합니다.

지원되는 모든 리소스를 선택하려면

  1. 다음 put-configuration-recorder 명령을 사용합니다.

    $ aws configservice put-configuration-recorder --configuration-recorder name=default,roleARN=arn:aws:iam::123456789012:role/config-role --recording-group allSupported=true,includeGlobalResourceTypes=true

    이 명령은 --recording-group 파라미터에 대해 다음 옵션을 사용합니다.

    • allSupported=true - AWS Config는 지원되는 모든 유형의 리전 리소스에 대한 구성 변경을 기록합니다. 가 새로운 유형의 리전 리소스를 추가로 지원하면 해당 유형의 리소스를 자동으로 기록하기 시작합니다.

    • includeGlobalResourceTypes=true - AWS Config에서 지원되는 유형의 전역 리소스와 기록하는 리소스를 포괄합니다. 가 새로운 유형의 전역 리소스를 추가로 지원하면 해당 유형의 리소스를 자동으로 기록하기 시작합니다.

      이 옵션을 true로 설정하기 전에 allSupported 옵션을 true로 설정해야 합니다.

      전역 리소스를 포함시키지 않으려면 이 옵션을 false로 설정하거나 제외시킵니다.

  2. (선택 사항) 구성 레코더에 원하는 설정이 있는지 확인하려면 다음 describe-configuration-recorders 명령을 사용합니다.

    $ aws configservice describe-configuration-recorders

    다음은 응답의 예입니다.

    { "ConfigurationRecorders": [ { "recordingGroup": { "allSupported": true, "resourceTypes": [], "includeGlobalResourceTypes": true }, "roleARN": "arn:aws:iam::123456789012:role/config-role", "name": "default" } ] }

특정 유형의 리소스를 선택하려면

  1. 다음 예와 같이 aws configservice put-configuration-recorder 명령을 사용한 후, --recording-group 옵션을 통해 하나 이상의 리소스 유형을 전달합니다.

    $ aws configservice put-configuration-recorder --configuration-recorder name=default,roleARN=arn:aws:iam::012345678912:role/myConfigRole --recording-group file://recordingGroup.json

    recordingGroup.json 파일은 AWS Config가 기록할 리소스 유형을 지정합니다.

    { "allSupported": false, "includeGlobalResourceTypes": false, "resourceTypes": [ "AWS::EC2::EIP", "AWS::EC2::Instance", "AWS::EC2::NetworkAcl", "AWS::EC2::SecurityGroup", "AWS::CloudTrail::Trail", "AWS::EC2::Volume", "AWS::EC2::VPC", "AWS::IAM::User", "AWS::IAM::Policy" ] }

    resourceTypes 키의 리소스 유형을 지정하기 전에 allSupportedincludeGlobalResourceTypes 옵션을 false로 설정하거나 제외시켜야 합니다.

  2. (선택 사항) 구성 레코더에 원하는 설정이 있는지 확인하려면 다음 describe-configuration-recorders 명령을 사용합니다.

    $ aws configservice describe-configuration-recorders

    다음은 응답의 예입니다.

    { "ConfigurationRecorders": [ { "recordingGroup": { "allSupported": false, "resourceTypes": [ "AWS::EC2::EIP", "AWS::EC2::Instance", "AWS::EC2::NetworkAcl", "AWS::EC2::SecurityGroup", "AWS::CloudTrail::Trail", "AWS::EC2::Volume", "AWS::EC2::VPC", "AWS::IAM::User", "AWS::IAM::Policy" ], "includeGlobalResourceTypes": false }, "roleARN": "arn:aws:iam::123456789012:role/config-role", "name": "default" } ] }