구성 레코더 관리 - AWS Config

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

구성 레코더 관리

AWS Config 구성 레코더를 사용하여 리소스 구성의 변경 사항을 감지하고 이러한 변경 사항을 구성 항목으로 캡처합니다. 리소스 구성을 추적하려면 먼저 AWS Config 구성 레코더를 만들어야 합니다.

콘솔이나 AWS CLI를 AWS Config 사용하여 설정하는 경우, AWS Config 자동으로 컨피그레이션 레코더가 생성되고 시작됩니다. 자세한 설명은 시작하기 AWS Config 섹션을 참조하세요.

기본적으로 구성 레코더는 AWS Config 가 실행되는 리전에서 지원되는 모든 리소스를 기록합니다. 지정한 리소스 유형만 기록하는 사용자 지정된 구성 레코더를 만들 수 있습니다. 자세한 설명은 어떤 리소스 AWS Config 레코드 선택 섹션을 참조하세요.

구성 기록을 AWS Config 시작하면 서비스 사용 요금이 부과됩니다. 요금 정보는 AWS Config 요금을 참조하세요.

구성 레코더를 시작하면 계정 내 모든 AWS 리소스의 인벤토리를 가져옵니다. AWS Config

중요

구성 레코더가 꺼진 경우에도 삭제된 리소스에 대한 평가 결과가 계속 표시될 수 있음

구성 레코더를 끄면 삭제를 포함하여 리소스 구성 변경 사항을 AWS Config 추적하는 기능이 비활성화됩니다. 따라서 구성 레코더를 끄면 이전에 삭제된 리소스에 대한 평가 결과를 볼 수 있습니다.

구성 레코더 관리(콘솔)

AWS Config 콘솔을 사용하여 구성 레코더를 중지하거나 시작할 수 있습니다. 구성 레코더의 기록 빈도를 변경할 수도 있습니다.

To stop or start the configuration recorder
  1. https://console.aws.amazon.com/config/ 에서 AWS Management Console 로그인하고 AWS Config 콘솔을 엽니다.

  2. 탐색 창에서 설정을 선택합니다.

  3. 구성 레코더를 중지하거나 시작합니다.

    • 기록을 중지하려면 기록 켜짐에서 끄기를 선택합니다. 메시지가 나타나면 계속을 선택합니다.

    • 기록을 시작하려면 기록 꺼짐에서 켜기를 선택합니다. 메시지가 나타나면 계속을 선택합니다.

To change the recording frequency

AWS Config 연속 녹화일일 녹화를 지원합니다. 지속적인 기록을 사용하면 변경이 발생할 때마다 지속적으로 구성 변경 사항을 기록할 수 있습니다. 일일 기록을 사용하면 이전에 기록된 CI와 다른 경우에만 지난 24시간 동안의 리소스 최신 상태를 나타내는 구성 항목(CI)을 받을 수 있습니다. 자세한 내용은 기록 빈도를 참조하세요.

  1. https://console.aws.amazon.com/config/ 에서 AWS Management Console 로그인하고 AWS Config 콘솔을 엽니다.

  2. 탐색 창에서 설정을 선택합니다.

  3. ‘기록 빈도’의 옵션을 보려면 편집을 선택합니다.

구성 레코더 관리(AWS CLI)

를 사용하여 컨피그레이션 레코더를 중지하거나 시작할 수 있습니다. AWS CLI AWS CLI, AWS Config API 또는 AWS SDK 중 하나를 사용하여 구성 레코더의 이름을 바꾸거나 구성 레코더를 삭제할 수도 있습니다. 다음 단계에 따라 AWS CLI를 사용할 수 있습니다.

To stop the configuration recorder

stop-configuration-recorder 명령을 사용합니다.

$ aws configservice stop-configuration-recorder --configuration-recorder-name configRecorderName
To start the configuration recorder

start-configuration-recorder 명령을 사용합니다.

$ aws configservice start-configuration-recorder --configuration-recorder-name configRecorderName
To change the recording frequency

put-configuration-recorder 명령을 사용하여 구성 레코더의 기록 빈도를 변경합니다.

$ aws configservice put-configuration-recorder \ --configuration-recorder file://configurationRecorder.json

configurationRecorder.json파일은 구성 레코더 () recordingMode 의 기본 녹화 빈도와 함께 지정합니다name. roleArn 이 필드를 사용하여 특정 리소스 유형의 기록 빈도를 재정의할 수도 있습니다.

{ "name": "default", "roleARN": "arn:aws:iam::123456789012:role/config-role", "recordingMode": { "recordingFrequency": CONTINUOUS or DAILY, "recordingModeOverrides": [ { "description": "Description you provide for the override", "recordingFrequency": CONTINUOUS or DAILY, "resourceTypes": [ Comma-separated list of resource types to include in the override ] } ] } }

put-configuration-recorder는 파라미터에 대해 다음 필드를 사용합니다.

  • name— 구성 레코더의 이름. AWS Config 구성 레코더를 만들 때 “default”라는 이름을 자동으로 할당합니다.

  • roleARN— 구성 레코더가 AWS Config 위임하고 사용하는 IAM 역할의 Amazon 리소스 이름 (ARN).

  • recordingMode— 구성 변경 사항을 기록하는 데 AWS Config 사용하는 기본 기록 빈도를 지정합니다. AWS Config 연속 녹화일일 녹화를 지원합니다. 지속적인 기록을 사용하면 변경이 발생할 때마다 지속적으로 구성 변경 사항을 기록할 수 있습니다. 일일 기록을 사용하면 이전에 기록된 CI와 다른 경우에만 지난 24시간 동안의 리소스 최신 상태를 나타내는 구성 항목(CI)을 받을 수 있습니다.

    • recordingFrequency— 구성 변경을 기록하는 데 AWS Config 사용되는 기본 녹화 빈도입니다.

      참고

      AWS Firewall Manager 리소스 모니터링을 위한 연속 녹화에 따라 달라집니다. Firewall Manager를 사용하는 경우 기록 빈도를 계속으로 설정하는 것이 좋습니다.

    • recordingModeOverrides - 이 필드를 사용하여 기록 모드에 대한 재정의를 지정할 수 있습니다. recordingModeOverride 객체 배열입니다. recordingModeOverrides 배열의 각 recordingModeOverride 객체는 세 개의 필드로 구성됩니다.

      • description - 재정의에 제공하는 설명입니다.

      • recordingFrequency - 재정의에 지정된 모든 리소스 유형에 적용되는 기록 빈도입니다.

      • resourceTypes— 오버라이드에 AWS Config 포함되는 리소스 유형을 지정하는 쉼표로 구분된 목록입니다.

참고

필수 및 선택 필드

put-configuration-recorder에 대한 recordingMode 필드는 선택 사항입니다. 기본적으로 구성 레코더의 기록 빈도는 지속적인 기록으로 설정됩니다.

참고

Limits

다음과 같은 리소스 유형에는 일일 기록이 지원되지 않습니다.

  • AWS::Config::ResourceCompliance

  • AWS::Config::ConformancePackCompliance

  • AWS::Config::ConfigurationRecorder

현재 및 향후에 지원되는 모든 리소스 유형 기록(ALL_SUPPORTED_RESOURCE_TYPES) 기록 전략의 경우 이러한 리소스 유형이 지속적인 기록으로 설정됩니다.

To delete the configuration recorder

delete-configuration-recorder 명령을 사용합니다.

$ aws configservice delete-configuration-recorder --configuration-recorder-name default
To rename the configuration recorder

구성 레코더 이름을 변경하려면 이름을 삭제한 후 원하는 이름의 새 구성 레코더를 만들어야 합니다.

  1. 다음 describe-configuration-recorders 명령을 사용하여 현재 구성 레코더의 이름을 찾습니다.

    $ aws configservice describe-configuration-recorders { "ConfigurationRecorders": [ { "roleARN": "arn:aws:iam::012345678912:role/myConfigRole", "name": "default" } ] }
  2. 다음 delete-configuration-recorder 명령을 사용하여 현재 구성 레코더를 삭제합니다.

    $ aws configservice delete-configuration-recorder --configuration-recorder-name default
  3. 다음 put-configuration-recorder 명령을 사용하여 원하는 이름의 구성 레코더를 만듭니다.

    $ aws configservice put-configuration-recorder --configuration-recorder name=configRecorderName,roleARN=arn:aws:iam::012345678912:role/myConfigRole
  4. 다음 start-configuration-recorder 명령을 사용하여 기록을 재개합니다.

    $ aws configservice start-configuration-recorder --configuration-recorder-name configRecorderName

구성 레코더의 드리프트 감지

AWS::Config::ConfigurationRecorder 리소스 유형은 구성 레코더의 상태에 대한 모든 변경 사항을 추적하는 구성 레코더의 구성 항목(CI)입니다. 이 CI를 사용하여 구성 레코더의 상태가 이전 상태와 다른지, 즉 드리프트되었는지 확인할 수 있습니다. 예를 들어 이 CI는 추적할 수 있도록 설정한 AWS Config 리소스 유형에 대한 업데이트가 있는지, 구성 레코더를 중지 또는 시작했는지, 구성 레코더를 삭제 또는 제거했는지 추적합니다. 드리프트된 구성 레코더는 의도한 리소스 유형의 변경 사항을 정확하게 감지하지 못한다는 것을 나타냅니다. 구성 레코더가 드리프트된 경우 이로 인해 거짓 부정 또는 거짓 긍정 규정 준수 결과가 나올 수 있습니다.

AWS::Config::ConfigurationRecorder리소스 유형은 의 AWS Config 시스템 리소스 유형이며 이 리소스 유형의 기록은 지원되는 모든 지역에서 기본적으로 활성화됩니다. AWS::Config::ConfigurationRecorder 리소스 유형 기록에는 추가 요금이 부과되지 않습니다.