Cloud Custodian 및 AWS CDK를 사용하여 Systems Manager용 AWS 관리형 정책을 EC2 인스턴스 프로파일에 자동으로 연결 - AWS 권장 가이드
요약사전 조건 및 제한 사항아키텍처도구에픽관련 리소스첨부

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Cloud Custodian 및 AWS CDK를 사용하여 Systems Manager용 AWS 관리형 정책을 EC2 인스턴스 프로파일에 자동으로 연결

작성자: Ali Asfour(AWS) 및 Aaron Lennon(AWS)

환경: PoC 또는 파일럿

기술: DevOps DevelopmentAndTesting; 관리 및 거버넌스, 보안, ID, 규정 준수, 인프라

워크로드: 오픈 소스

AWS 서비스: 아마존 SNS, 아마존 SQS, AWS, AWS, CodeBuild AWS Systems Manager CodePipeline, AWS CodeCommit

요약

Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스를 AWS Systems Manager와 통합하여 운영 작업을 자동화하고 가시성과 제어를 강화할 수 있습니다. Systems Manager와 통합하려면 EC2 인스턴스에 AWS Systems Manager Agent(SSM Agent)가 설치되어 있고 AmazonSSMManagedInstanceCore AWS Identity and Access Management(IAM) 정책이 인스턴스 프로파일에 연결되어 있어야 합니다. 

하지만 모든 EC2 인스턴스 프로파일에 AmazonSSMManagedInstanceCore 정책이 연결되도록 하려는 경우, 인스턴스 프로파일이 없는 새 EC2 인스턴스나 인스턴스 프로파일은 있지만 AmazonSSMManagedInstanceCore 정책이 없는 EC2 인스턴스를 업데이트하는 데 어려움을 겪을 수 있습니다. 또한 여러 Amazon Web Services(AWS) 계정과 AWS 리전에 이 정책을 추가하는 것도 어려울 수 있습니다.

이 패턴은 AWS 계정에 세 가지 클라우드 관리 정책을 배포하여 이러한 문제를 해결하는 데 도움이 됩니다.

  • 첫 번째 Cloud Custodian 정책은 인스턴스 프로파일은 있지만 AmazonSSMManagedInstanceCore 정책이 없는 기존 EC2 인스턴스를 확인합니다. 그러면 AmazonSSMManagedInstanceCore 정책이 첨부됩니다. 

  • 두 번째 Cloud Custodian 정책은 인스턴스 프로파일이 없는 기존 EC2 인스턴스를 확인하고 AmazonSSMManagedInstanceCore 정책이 연결된 기본 인스턴스 프로파일을 추가합니다.

  • 세 번째 클라우드 관리 정책은 계정에 AWS Lambda 함수를 생성하여 EC2 인스턴스 및 인스턴스 프로파일 생성을 모니터링합니다. 이렇게 하면 EC2 인스턴스가 생성될 때 AmazonSSMManagedInstanceCore 정책이 자동으로 연결됩니다.

이 패턴은 AWS DevOps 도구를 사용하여 별도의 컴퓨팅 환경을 프로비저닝하지 않고도 다중 계정 환경에 Cloud Custodian 정책을 대규모로 지속적으로 배포합니다. 

사전 조건 및 제한 사항

사전 조건 

  • 두 개 이상의 활성 AWS 계정. 한 계정은 보안 계정이고 다른 계정은 멤버 계정입니다.

  • 보안 계정에서 AWS 리소스를 프로비저닝할 수 있는 권한. 이 패턴은 관리자 권한을 사용하지만 조직의 요구 사항 및 정책에 따라 권한을 부여해야 합니다.

  • 보안 계정에서 구성원 계정으로 IAM 역할을 수임하고 필요한 IAM 역할을 생성하는 기능. 자세한 내용은 IAM 설명서의 IAM 역할을 사용한 AWS 계정 간 액세스 권한 위임을 참조하십시오.

  • AWS Command Line Interface(AWS CLI), 설치 및 구성됨. 테스트 목적으로 aws configure 명령을 사용하거나 환경 변수를 설정하여 AWS CLI를 구성할 수 있습니다. 중요: 프로덕션 환경에서는 권장되지 않으므로 이 계정에는 최소 권한 액세스 권한만 부여하는 것이 좋습니다. 자세한 내용은 IAM 설명서의 최소 권한 부여를 참조하십시오.

  • devops-cdk-cloudcustodian.zip 파일(첨부)이 로컬 컴퓨터에 다운로드됩니다.

  • Python에 대해 숙지.

  • 필수 도구(Node.js, AWS Cloud Development Kit(AWS CDK) 및 Git)가 설치 및 구성됩니다. devops-cdk-cloudcustodian.zip 파일의 install-prerequisites.sh 파일을 사용하여 이러한 도구를 설치할 수 있습니다. 이 파일을 루트 권한으로 실행해야 합니다. 

제한 사항

  • 프로덕션 환경에서도 이 패턴을 사용할 수 있지만 모든 IAM 역할 및 정책이 조직의 요구 사항 및 정책을 충족하는지 확인하십시오. 

패키지 버전

  • Cloud Custodian 버전 0.9 이상

  • TypeScript 버전 3.9.7 이상

  • Node.js 버전 14.15.4 이상

  • npm 버전 7.6.1 이상

  • AWS CDK 버전 1.96.0 이상

아키텍처

이 다이어그램은 다음 워크플로를 보여줍니다.

  1. 클라우드 관리자 정책은 보안 계정의 AWS CodeCommit 리포지토리로 푸시됩니다. Amazon CloudWatch Events 규칙은 AWS CodePipeline 파이프라인을 자동으로 시작합니다.

  2. 파이프라인은 AWS에서 처리하는 지속적 통합 CodeCommit 및 지속적 전달 (CI/CD) 파이프라인의 지속적 통합 부분에서 가장 최신 코드를 가져와서 전송합니다. CodeBuild

  3. CodeBuild Cloud Custodian 정책에 대한 정책 구문 검증을 비롯한 전체 DevSecOps 작업을 수행하고 이러한 정책을 --dryrun 모드에서 실행하여 식별된 리소스를 확인합니다.

  4. 오류가 없는 경우 다음 작업에서는 관리자에게 변경 사항을 검토하고 구성원 계정에 배포를 승인하도록 알립니다.

기술 스택

  • AWS CDK

  • CodeBuild

  • CodeCommit

  • CodePipeline

  • IAM

  • Cloud Custodian 

자동화 및 규모 조정

AWS CDK 파이프라인 모듈은 AWS 스택으로 AWS 리소스를 배포하는 것 외에도 소스 코드의 구축 및 테스트를 CodePipeline 오케스트레이션하는 데 사용하는 CI/CD 파이프라인을 제공합니다. CodeBuild CloudFormation 이 패턴은 조직의 모든 멤버 계정 및 리전에 사용할 수 있습니다. Roles creation 스택을 확장하여 멤버 계정에 다른 IAM 역할을 배포할 수도 있습니다. 

도구

  • AWS Cloud Development Kit (AWS CDK) 는 코드로 클라우드 인프라를 정의하고 AWS를 통해 프로비저닝하기 위한 소프트웨어 개발 프레임워크입니다. CloudFormation

  • AWS Command Line Interface(AWS CLI)는 명령줄 쉘에서 명령을 사용하여 AWS 서비스와 상호 작용할 수 있는 오픈 소스 도구입니다.

  • CodeBuildAWS는 클라우드의 완전 관리형 빌드 서비스입니다.

  • CodeCommitAWS는 자산을 비공개로 저장하고 관리하는 데 사용할 수 있는 버전 제어 서비스입니다.

  • CodePipelineAWS는 소프트웨어를 출시하는 데 필요한 단계를 모델링, 시각화 및 자동화하는 데 사용할 수 있는 지속적 전송 서비스입니다.

  • AWS Identity and Access Management는 AWS 리소스에 대한 사용자의 액세스를 안전하게 제어할 수 있게 지원하는 웹 서비스입니다.

  • Cloud Custodian은 많은 조직이 퍼블릭 클라우드 계정을 관리하는 데 사용하는 도구와 스크립트를 하나의 오픈소스 도구로 통합합니다.

  • Node.js 는 구글 크롬의 V8 JavaScript 엔진을 기반으로 구축된 JavaScript 런타임입니다.

code

이 패턴에 사용되는 모듈, 계정 함수, 파일, 배포 명령의 자세한 목록은 devops-cdk-cloudcustodian.zip 파일(첨부)의 README 파일을 참조하십시오.

에픽

작업설명필요한 기술

CodeCommit 리포지토리를 설정합니다.

  1. 로컬 컴퓨터의 작업 디렉터리에 devops-cdk-cloudcustodian.zip 파일(첨부)을 압축 해제합니다.

  2. 보안 계정의 AWS Management 콘솔에 로그인하고 CodeCommit 콘솔을 연 다음 새 devops-cdk-cloudcustodian 리포지토리를 생성합니다.

  3. 프로젝트 디렉터리로 변경하고 CodeCommit 리포지토리를 오리진으로 설정하고 변경 내용을 커밋한 다음 다음 명령을 실행하여 오리진 브랜치에 푸시합니다.

  • cd devops-cdk-cloudcustodian 

  • git init --initial-branch=main

  • git add . git commit -m 'initial commit' 

  • git remote add origin https://git-codecommit.us-east-1.amazonaws.com/v1/devops-cdk-cloudcustodian 

  • git push origin main

이에 대한 자세한 내용은 AWS CodeCommit 설명서의 CodeCommit 리포지토리 생성을 참조하십시오.

개발자

필수 도구를 설치합니다.

이 install-prerequisites.sh 파일을 사용하여 Amazon Linux에 필요한 모든 도구를 설치할 수 있습니다. AWS CLI는 사전 설치되어 제공되므로 여기에 포함되지 않습니다.

이에 대한 자세한 내용은 AWS CDK 설명서의 AWS CDK 시작의 사전 조건 섹션을 참조하십시오.

개발자

필수 AWS CDK 패키지를 설치합니다.

  1. AWS CLI에서 다음 $ python3 -m venv .env 명령을 실행하여 가상 환경을 설정합니다.

  2. AWS CLI에서 다음 $ source .env/bin/activate 명령을 실행하여 가상 환경을 활성화합니다.

  3. 가상 환경을 활성화한 후 다음 $ pip install -r requirements.txt 명령을 실행하여 필요한 종속성을 설치합니다.

  4. 종속 항목(예를 들어, 다른 AWS CDK 라이브러리)을 추가하려면 requirements.txt 파일에 종속성을 추가한 후 다음 pip install -r requirements.txt 명령을 실행합니다.

다음 패키지는 AWS CDK에 필요하며 requirements.txt 파일에 포함되어 있습니다.

  • aws-cdk.aws-cloudwatch

  • aws-cdk.aws-codebuild

  • aws-cdk.aws-codecommit

  • aws-cdk.aws-codedeploy

  • aws-cdk.aws-codepipeline

  • aws-cdk.aws-codepipeline-actions

  • aws-cdk.aws-events

  • aws-cdk.aws-events-targets

  • aws-cdk.aws-iam

  • aws-cdk.aws-logs

  • aws-cdk.aws-s3

  • aws-cdk.aws-sns

  • aws-cdk.aws-sns-subscriptions

  • aws-cdk.aws-sqs

  • aws-cdk.core

개발자
작업설명필요한 기술

필수 변수를 업데이트하십시오.

CodeCommit 리포지토리의 루트 폴더에서 vars.py 파일을 열고 다음 변수를 업데이트하십시오.

  •  파이프라인을 배포하려는 AWS 리전으로 var_deploy_region = ‘us-east-1’을 업데이트합니다.

  •   CodeCommit 리포지토리 var_codecommit_repo_name = “cdk-cloudcustodian” 이름으로 업데이트하십시오.

  •   CodeCommit 브랜치 var_codecommit_branch_name = “main” 이름으로 업데이트하세요.

  •  변경을 승인하는 관리자의 이메일 주소로 var_adminEmail=notifyadmin@email.com’을 업데이트합니다.

  • 변경 시 Cloud Custodian 알림을 보내는 데 사용되는 Slack 웹후크로 var_slackWebHookUrl = https://hooks.slack.com/services/T00000000/B00000000/XXXXXXXXXXXXXXXXXXXXXXXX를 업데이트합니다.

  •  조직 ID로 var_orgId = ‘o-yyyyyyyyyy’를 업데이트합니다.

  • 파이프라인이 배포된 계정의 AWS 계정 ID로 security_account = ‘123456789011’을 업데이트합니다.

  • AWS CDK 스택을 부트스트랩하려는 멤버 계정으로 member_accounts = [‘111111111111’,’111111111112’,’111111111113’]을 업데이트하고 필요한 IAM 역할을 배포하십시오.

  • 파이프라인이 AWS CDK를 멤버 계정에 자동으로 부트스트랩하도록 하려면 cdk_bootstrap_member_accounts = True를 True로 설정하십시오.  True로 설정하면 보안 계정에서 위임할 수 있는 멤버 계정의 기존 IAM 역할 이름도 필요합니다. 또한 이 IAM 역할에는 AWS CDK를 부트스트랩하는 데 필요한 권한이 있어야 합니다.

  • 보안 계정에서 위임할 수 있는 멤버 계정의 기존 IAM 역할로 cdk_bootstrap_role = ‘AWSControlTowerExecution’을 업데이트합니다. 또한 이 역할에는 AWS CDK를 부트스트랩하는 권한이 있어야 합니다. 참고: 이는 cdk_bootstrap_member_accounts가 True로 설정된 경우에만 적용됩니다.

개발자

account.yml 파일을 멤버 계정 정보로 업데이트하십시오.

여러 계정에 대해 c7n-org Cloud Custodian 도구를 실행하려면 accounts.yml 구성 파일을 리포지토리의 루트에 배치해야 합니다. 다음은 AWS용 Cloud Custodian 구성 파일 예제입니다.

accounts:
- account_id: '123123123123'
  name: account-1
  regions:
  - us-east-1
  - us-west-2
  role: arn:aws:iam::123123123123:role/CloudCustodian
  vars:
    charge_code: xyz
  tags:
  - type:prod
  - division:some division
  - partition:us
  - scope:pci
개발자
작업설명필요한 기술

보안 계정을 부트스트랩합니다.

다음 명령을 실행하여 cloudcustodian_stack 애플리케이션을 통해 deploy_account를 부트스트랩합니다.

cdk bootstrap -a 'python3 
cloudcustodian/cloudcustodian_stack.py
개발자

옵션 1 - 멤버 계정을 자동으로 부트스트랩합니다.

vars.py파일에서 cdk_bootstrap_member_accounts 변수를 True로 설정하면 member_accounts 변수에 지정된 계정이 파이프라인에 의해 자동으로 부트스트랩됩니다.

필요한 경우 보안 계정에서 위임할 수 있고 AWS CDK를 부트스트랩하는 데 필요한 권한이 있는 IAM 역할로 *cdk_bootstrap_role*을 업데이트할 수 있습니다.

member_accounts  변수에 추가된 새 계정은 파이프라인에 의해 자동으로 부트스트랩되므로 필요한 역할을 배포할 수 있습니다.

개발자

옵션 2 - 멤버 계정을 수동으로 부트스트랩합니다.

이 방법을 사용하는 것은 권장되지 않지만 다음 명령을 실행하여 cdk_bootstrap_member_accounts 값을 False로 설정하고 이 단계를 수동으로 수행할 수 있습니다.

$ cdk bootstrap -a 'python3 cloudcustodian/member_account_roles_stack.py' \

--trust {security_account_id} \

--context assume-role-credentials:writeIamRoleName={role_name} \

--context assume-role-credentials:readIamRoleName={role_name} \

--mode=ForWriting \

--context bootstrap=true \

--cloudformation-execution-policies arn:aws:iam::aws:policy/AdministratorAccess

중요: 보안 계정에서 위임할 수 있고 AWS CDK를 부트스트랩하는 데 필요한 권한을 가진 IAM 역할의 이름으로 {security_account_id} 및 {role_name} 값을 업데이트해야 합니다.

다른 접근 방식을 사용하여 회원 계정을 부트스트랩할 수도 있습니다 (예: AWS CloudFormation 사용). 이에 대한 자세한 내용은 AWS CDK 설명서의 부트스트래핑을 참조하십시오.

개발자
작업설명필요한 기술

멤버 계정에서 IAM 역할을 생성합니다.

다음 명령을 실행하여 member_account_roles_stack 스택을 배포하고 멤버 계정에 IAM 역할을 생성합니다.

cdk deploy --all -a 'python3 cloudcustodian/member_account_roles_stack.py' --require-approval never
개발자

Cloud Custodian 파이프라인 스택을 배포하십시오.

다음 명령을 실행하여 보안 계정에 배포되는 Cloud Custodian cloudcustodian_stack.py 파이프라인을 생성합니다.

cdk deploy -a 'python3 cloudcustodian/cloudcustodian_stack.py'
개발자

관련 리소스

첨부

이 문서와 관련된 추가 콘텐츠에 액세스하려면 attachment.zip 파일의 압축을 풉니다.