AWS CloudTrail을 사용하여 Amazon EFS API 호출 로깅 - Amazon Elastic File System

문서의 영문과 번역 사이에 충돌이 있는 경우에는 영문 버전을 따릅니다. 번역 버전은 기계 번역을 사용하여 제공합니다.

AWS CloudTrail을 사용하여 Amazon EFS API 호출 로깅

Amazon EFS는 Amazon EFS의 사용자, 역할 또는 AWS 서비스가 수행한 작업에 대한 레코드를 제공하는 서비스인 AWS CloudTrail과 통합됩니다. CloudTrail은 Amazon EFS 콘솔의 호출 및 Amazon EFS API 코드 호출 등 Amazon EFS에 대한 모든 API 작업 호출을 이벤트로 캡처합니다.

추적을 생성하면 Amazon EFS 이벤트를 비롯하여 CloudTrail 이벤트를 Amazon S3 버킷으로 지속적으로 배포할 수 있습니다. 추적을 구성하지 않은 경우 이벤트 기록에서 CloudTrail 콘솔의 최신 이벤트를 볼 수도 있습니다. CloudTrail에서 수집하는 정보를 사용하여 Amazon EFS에 수행된 요청, 요청이 수행된 IP 주소, 요청을 수행한 사람, 요청이 수행된 시간 및 추가 세부 정보를 확인할 수 있습니다.

CloudTrail에 대한 자세한 내용은 AWS CloudTrail User Guide를 참조하십시오.

CloudTrail의 Amazon EFS 정보

CloudTrail은 계정 생성 시 AWS 계정에서 활성화됩니다. Amazon EFS에서 활동이 수행되면 해당 활동은 이벤트 기록에서 다른 AWS 서비스 이벤트와 함께 CloudTrail 이벤트에 기록됩니다. AWS 계정에서 최신 이벤트를 확인, 검색 및 다운로드할 수 있습니다. 자세한 내용은 CloudTrail 이벤트 기록에서 이벤트 보기를 참조하십시오.

Amazon EFS 이벤트를 비롯하여 AWS 계정에 이벤트를 지속적으로 기록하려면 추적을 생성하십시오. 추적은 CloudTrail이 Amazon S3 버킷으로 로그 파일을 전송할 수 있도록 합니다. 콘솔에서 추적을 생성하면 기본적으로 모든 AWS 리전에 추적이 적용됩니다. 추적은 AWS 파티션에 있는 모든 AWS 리전의 이벤트를 로깅하고 지정된 Amazon S3 버킷으로 로그 파일을 전송합니다. 또는 CloudTrail 로그에서 수집된 이벤트 데이터를 추가 분석 및 처리하도록 다른 AWS 서비스를 구성할 수 있습니다. 자세한 내용은 AWS CloudTrail User Guide:에서 다음 주제를 참조하십시오.

모든 Amazon EFS API 호출을 CloudTrail에서 로깅합니다. 예를 들어 CreateFileSystem, CreateMountTargetCreateTags 작업에 대한 호출은 CloudTrail 로그 파일의 항목을 생성합니다.

모든 이벤트 및 로그 항목에는 요청을 생성한 사용자에 대한 정보가 들어 있습니다. 자격 증명 정보를 이용하면 다음을 쉽게 판단할 수 있습니다.

  • 요청을 루트로 했는지 아니면 AWS Identity and Access Management(IAM) 사용자 자격 증명으로 했는지.

  • 역할 또는 연합된 사용자에 대한 임시 보안 자격 증명을 사용하여 요청이 생성되었는지 여부.

  • 다른 AWS 서비스에서 요청했는지 여부.

자세한 내용은 AWS CloudTrail User GuideCloudTrail userIdentity 요소 단원을 참조하십시오.

Amazon EFS 로그 파일 항목 이해

추적은 지정한 Amazon S3 버킷에 이벤트를 로그 파일로 제공할 수 있는 구성입니다. CloudTrail 로그 파일에는 하나 이상의 로그 항목이 포함됩니다. 이벤트는 어떤 소스로부터의 단일 요청을 나타내며 요청된 작업, 작업 날짜와 시간, 요청 파라미터 등에 대한 정보가 포함되어 있습니다. CloudTrail 로그 파일은 퍼블릭 API 호출의 주문 스택 추적이 아니므로 특정 순서로 표시되지 않습니다.

다음 예는 콘솔에서 파일 시스템의 태그를 만든 경우 CreateTags 작업을 실행하는 CloudTrail 로그 항목을 보여줍니다.

{ "eventVersion": "1.06", "userIdentity": { "type": "Root", "principalId": "111122223333", "arn": "arn:aws:iam::111122223333:root", "accountId": "111122223333", "accessKeyId": "AKIAIOSFODNN7EXAMPLE", "sessionContext": { "attributes": { "mfaAuthenticated": "false", "creationDate": "2017-03-01T18:02:37Z" } } }, "eventTime": "2017-03-01T19:25:47Z", "eventSource": "elasticfilesystem.amazonaws.com", "eventName": "CreateTags", "awsRegion": "us-west-2", "sourceIPAddress": "192.0.2.0", "userAgent": "console.amazonaws.com", "requestParameters": { "fileSystemId": "fs-00112233", "tags": [{ "key": "TagName", "value": "AnotherNewTag" } ] }, "responseElements": null, "requestID": "dEXAMPLE-feb4-11e6-85f0-736EXAMPLE75", "eventID": "eEXAMPLE-2d32-4619-bd00-657EXAMPLEe4", "eventType": "AwsApiCall", "apiVersion": "2015-02-01", "recipientAccountId": "111122223333" }

다음 예는 콘솔에서 파일 시스템의 태그를 삭제한 경우 DeleteTags 작업을 실행하는 CloudTrail 로그 항목을 보여줍니다.

{ "eventVersion": "1.06", "userIdentity": { "type": "Root", "principalId": "111122223333", "arn": "arn:aws:iam::111122223333:root", "accountId": "111122223333", "accessKeyId": "AKIAIOSFODNN7EXAMPLE", "sessionContext": { "attributes": { "mfaAuthenticated": "false", "creationDate": "2017-03-01T18:02:37Z" } } }, "eventTime": "2017-03-01T19:25:47Z", "eventSource": "elasticfilesystem.amazonaws.com", "eventName": "DeleteTags", "awsRegion": "us-west-2", "sourceIPAddress": "192.0.2.0", "userAgent": "console.amazonaws.com", "requestParameters": { "fileSystemId": "fs-00112233", "tagKeys": [] }, "responseElements": null, "requestID": "dEXAMPLE-feb4-11e6-85f0-736EXAMPLE75", "eventID": "eEXAMPLE-2d32-4619-bd00-657EXAMPLEe4", "eventType": "AwsApiCall", "apiVersion": "2015-02-01", "recipientAccountId": "111122223333" }

EFS 서비스 연결 역할에 대한 로그 항목

Amazon EFS 서비스 연결 역할은 AWS 리소스에 대한 API 호출을 수행합니다. EFS 서비스 연결 역할에서 수행한 호출의 경우 CloudTrail 로그 항목에 username: AWSServiceRoleForAmazonElasticFileSystem이 표시됩니다. EFS 및 서비스 연결 역할에 대한 자세한 내용은 Amazon EFS 서비스 연결 역할 사용 단원을 참조하십시오.

다음 예제에서는 Amazon EFS에서 AWSServiceRoleForAmazonElasticFileSystem 서비스 연결 역할을 생성할 때 CreateServiceLinkedRole 작업을 보여 주는 CloudTrail 로그 항목을 표시합니다.

{     "eventVersion": "1.05",     "userIdentity": {         "type": "IAMUser",         "principalId": "111122223333",         "arn": "arn:aws:iam::111122223333:user/user1",         "accountId": "111122223333",         "accessKeyId": "A111122223333",         "userName": "user1",         "sessionContext": {             "attributes": {                 "mfaAuthenticated": "false",                 "creationDate": "2019-10-23T22:45:41Z"             }         },         "invokedBy": "elasticfilesystem.amazonaws.com”     },     "eventTime": "2019-10-23T22:45:41Z",     "eventSource": "iam.amazonaws.com",     "eventName": "CreateServiceLinkedRole",     "awsRegion": "us-east-1",     "sourceIPAddress": "192.0.2.0",     "userAgent": "user_agent",     "requestParameters": {         "aWSServiceName": "elasticfilesystem.amazonaws.com”     },     "responseElements": {         "role": {             "assumeRolePolicyDocument": "111122223333-10-111122223333Statement111122223333Action111122223333AssumeRole111122223333Effect%22%3A%20%22Allow%22%2C%20%22Principal%22%3A%20%7B%22Service%22%3A%20%5B%22 elasticfilesystem.amazonaws.com%22%5D%7D%7D%5D%7D",             "arn": "arn:aws:iam::111122223333:role/aws-service-role/elasticfilesystem.amazonaws.com/AWSServiceRoleForAmazonElasticFileSystem",             "roleId": "111122223333",             "createDate": "Oct 23, 2019 10:45:41 PM",             "roleName": "AWSServiceRoleForAmazonElasticFileSystem",             "path": "/aws-service-role/elasticfilesystem.amazonaws.com/“         }     },     "requestID": "11111111-2222-3333-4444-abcdef123456",     "eventID": "11111111-2222-3333-4444-abcdef123456",     "eventType": "AwsApiCall",     "recipientAccountId": "111122223333" }

다음 예제에서는 sessionContext에 표시된 AWSServiceRoleForAmazonElasticFileSystem 서비스 연결 역할에서 생성된 CreateNetworkInterface 작업을 보여 주는 CloudTrail 로그 항목을 표시합니다.

{     "eventVersion": "1.05",     "userIdentity": {         "type": "AssumedRole",         "principalId": "AIDACKCEVSQ6C2EXAMPLE",         "arn": "arn:aws:sts::0123456789ab:assumed-role/AWSServiceRoleForAmazonElasticFileSystem/0123456789ab",         "accountId": "0123456789ab",         "sessionContext": {             "sessionIssuer": {                 "type": "Role",                 "principalId": "AIDACKCEVSQ6C2EXAMPLE",                 "arn": "arn:aws:iam::0123456789ab:role/aws-service-role/elasticfilesystem.amazonaws.com/AWSServiceRoleForAmazonElasticFileSystem",                 "accountId": "0123456789ab",                 "userName": "AWSServiceRoleForAmazonElasticFileSystem"             },             "webIdFederationData": {},             "attributes": {                 "mfaAuthenticated": "false",                 "creationDate": "2019-10-23T22:50:05Z"             }         },         "invokedBy": "AWS Internal"     },     "eventTime": "20You 19-10-23T22:50:05Z",     "eventSource": "ec2.amazonaws.com",     "eventName": "CreateNetworkInterface",     "awsRegion": "us-east-1",     "sourceIPAddress": "elasticfilesystem.amazonaws.com”,     "userAgent": "elasticfilesystem.amazonaws.com",     "requestParameters": {         "subnetId": "subnet-71e2f83a",         "description": "EFS mount target for fs-1234567 (fsmt-1234567)",         "groupSet": {},         "privateIpAddressesSet": {}     },     "responseElements": {         "requestId": "0708e4ad-03f6-4802-b4ce-4ba987d94b8d",         "networkInterface": {             "networkInterfaceId": "eni-0123456789abcdef0",             "subnetId": "subnet-12345678",             "vpcId": "vpc-01234567",             "availabilityZone": "us-east-1b",             "description": "EFS mount target for fs-1234567 (fsmt-1234567)",             "ownerId": "666051418590",             "requesterId": "0123456789ab",             "requesterManaged": true,             "status": "pending",             "macAddress": "00:bb:ee:ff:aa:cc",             "privateIpAddress": "192.0.2.0",             "privateDnsName": "ip-192-0-2-0.ec2.internal",             "sourceDestCheck": true,             "groupSet": {                 "items": [                     {                         "groupId": "sg-c16d65b6",                         "groupName": "default"                     }                 ]             },             "privateIpAddressesSet": {                 "item": [                     {                         "privateIpAddress": "192.0.2.0",                         "primary": true                     }                 ]             },             "tagSet": {}         }     },     "requestID": "11112222-3333-4444-5555-666666777777",     "eventID": "aaaabbbb-1111-2222-3333-444444555555",     "eventType": "AwsApiCall",     "recipientAccountId": "111122223333" }

EFS IAM 인증을 위한 로그 항목

NFS 클라이언트에 대한 Amazon EFS IAM 권한 부여는 NewClientConnectionUpdateClientConnection CloudTrail 이벤트를 생성합니다. 초기 연결 및 재연결 직후에 연결이 승인되면 NewClientConnection 이벤트가 발생합니다. 연결이 재승인되고 허용되는 작업 목록이 변경되면 UpdateClientConnection이 생성되며, 새로운 허용 작업 목록에 ClientMount가 포함되지 않은 경우에도 생성됩니다. EFS IAM 권한 부여에 대한 자세한 내용은 IAM을 사용하여 Amazon EFS에 대한 NFS 액세스 제어 단원을 참조하십시오.

다음 예제는 NewClientConnection 이벤트를 보여 주는 CloudTrail 로그 항목입니다.

{ "eventVersion": "1.05", "userIdentity": { "type": "AssumedRole", "principalId": "AIDACKCEVSQ6C2EXAMPLE", "arn": "arn:aws:sts::0123456789ab:assumed-role/abcdef0123456789", "accountId": "0123456789ab", "accessKeyId": "AKIAIOSFODNN7EXAMPLE ", "sessionContext": { "sessionIssuer": { "type": "Role", "principalId": "AIDACKCEVSQ6C2EXAMPLE", "arn": "arn:aws:iam::0123456789ab:role/us-east-2", "accountId": "0123456789ab", "userName": "username" }, "webIdFederationData": {}, "attributes": { "mfaAuthenticated": "false", "creationDate": "2019-12-23T17:50:16Z" }, "ec2RoleDelivery": "1.0" } }, "eventTime": "2019-12-23T18:02:12Z", "eventSource": "elasticfilesystem.amazonaws.com", "eventName": "NewClientConnection", "awsRegion": "us-east-2", "sourceIPAddress": "AWS Internal", "userAgent": "elasticfilesystem", "requestParameters": null, "responseElements": null, "eventID": "27859ac9-053c-4112-aee3-f3429719d460", "readOnly": true, "resources": [ { "accountId": "0123456789ab", "type": "AWS::EFS::FileSystem", "ARN": "arn:aws:elasticfilesystem:us-east-2:0123456789ab:file-system/fs-01234567" }, { "accountId": "0123456789ab", "type": "AWS::EFS::AccessPoint", "ARN": "arn:aws:elasticfilesystem:us-east-2:0123456789ab:access-point/fsap-0123456789abcdef0" } ], "eventType": "AwsServiceEvent", "recipientAccountId": "0123456789ab", "serviceEventDetails": { "permissions": { "ClientRootAccess": true, "ClientMount": true, "ClientWrite": true }, "sourceIpAddress": "10.7.3.72" } }

파일 시스템 유휴 암호화용 Amazon EFS 로그 파일 항목

Amazon EFS는 전송 중 암호화와 유휴 암호화라는 두 가지 파일 시스템 암호화 사용 옵션을 제공합니다. 자세한 내용은 EFS의 데이터 암호화 단원을 참조하십시오.

유휴 파일 시스템 암호화를 사용하는 경우, Amazon EFS가 사용자를 대신해 수행하는 호출이 AWS CloudTrail 로그에 표시됩니다(AWS 소유 계정인 경우). CloudTrail 로그에 다음 계정 ID 중 하나를 확인할 수 있는 경우, 파일 시스템을 생성한 AWS 리전에 따라 이 ID는 Amazon EFS 서비스가 소유한 ID입니다.

AWS 리전 계정 ID
미국 동부(오하이오) 771736226457
미국 동부(버지니아 북부) 055650462987
미국 서부(캘리포니아 북부 지역) 208867197265
미국 서부(오레곤) 736298361104
아프리카(케이프타운) 855919597013
아시아 태평양(홍콩) 832882505983
아시아 태평양(뭄바이) 063610658798
아시아 태평양(서울) 518632624599
아시아 태평양(싱가포르) 448676862907
아시아 태평양(시드니) 288718191711
아시아 태평양(도쿄) 620757817088
캐나다(중부) 838331228873
중국(베이징) 365623262523
중국(닝샤) 361049930386
유럽(프랑크푸르트) 992038834663
유럽(아일랜드) 805538244694
유럽(런던) 838331228873
유럽(밀라노) 393586363892
유럽(파리) 063566772258
유럽(스톡홀름) 030059730498
중동(바레인) 545970776878
남아메리카(상파울루) 041656882570
AWS GovCloud(US-East) 167972735943
AWS GovCloud (US-West) 174619389399

유휴 암호화의 Amazon EFS 암호화 컨텍스트

Amazon EFS는 데이터 키를 생성하고 Amazon EFS 데이터를 해독하라는 AWS KMS API 요청을 보낼 때 암호화 컨텍스트를 보냅니다. 파일 시스템 ID는 유휴 암호화가 적용된 모든 파일 시스템에 대한 암호화 컨텍스트입니다. CloudTrail 로그 항목의 requestParameters 필드에서 암호화 컨텍스트는 다음과 비슷하게 표시됩니다.

"EncryptionContextEquals": {} "aws:elasticfilesystem:filesystem:id" : "fs-4EXAMPLE"