시작 시 EC2 인스턴스에 필수 태그가 있는지 확인

Susanne Kangnoh 및 Archit Mathur, Amazon Web Services

요약

Amazon Elastic Compute Cloud(Amazon EC2)는 Amazon Web Services(AWS) 클라우드에서 확장 가능 컴퓨팅 용량을 제공합니다. Amazon EC2를 사용하면 하드웨어에 사전 투자할 필요가 없어 더 빠르게 애플리케이션을 개발하고 배포할 수 있습니다.

태그를 사용하면 다양한 방식으로 AWS 리소스를 분류할 수 있습니다. EC2 인스턴스 태깅은 계정에 리소스가 많을 때 태그에 따라 특정 리소스를 빠르게 식별하려는 경우에 유용합니다. 태그를 사용하여 EC2 인스턴스에 사용자 지정 메타데이터를 할당할 수 있습니다. 각 태그는 사용자 정의 키와 값으로 구성됩니다. 조직의 요구 사항에 맞는 일관된 태그 집합을 생성하는 것이 좋습니다. 

이 패턴은 EC2 인스턴스에서 특정 태그를 모니터링하는 데 도움이 되는 AWS CloudFormation 템플릿을 제공합니다. 템플릿은 AWS CloudTrail TagResource 또는 UntagResource 이벤트를 감시하는 Amazon CloudWatch Events를 생성하여 새로운 EC2 인스턴스 태깅 또는 태그 제거를 탐지합니다. 사전 정의된 태그가 누락된 경우, AWS Lambda 함수를 호출하고, Amazon Simple Notification Service(SNS)를 사용하여 사용자가 제공한 이메일 주소로 위반 메시지를 보냅니다. 

사전 조건 및 제한 사항

사전 조건 

• 활성 상태의 AWS 계정.

• 제공된 Lambda 코드를 업로드하기 위한 Amazon Simple Storage Service(S3).

• 위반 알림을 받으려는 이메일 주소입니다.

제한 사항

• 이 솔루션은 CloudTrail TagResource 또는 UntagResource 이벤트를 지원합니다. 다른 이벤트에 대한 알림은 생성되지 않습니다.

• 이 솔루션은 태그 키만 확인합니다. 키 값은 모니터링하지 않습니다.

아키텍처

워크플로 아키텍처

자동화 및 규모 조정

• 여러 AWS 리전 및 계정에 대해 AWS CloudFormation 템플릿을 여러 번 사용할 수 있습니다. 템플릿은 각 리전 또는 계정에서 한 번만 실행하면 됩니다.

도구

서비스

• Amazon EC2–Amazon Elastic Compute Cloud(Amazon EC2)는 클라우드에서 안전하고 확장 가능한 컴퓨팅 용량을 제공하는 웹 서비스입니다. 개발자가 보다 쉽게 웹 규모의 클라우드 컴퓨팅 작업을 할 수 있도록 설계되었습니다.

• AWS CloudTrail–CloudTrail은 AWS 계정의 거버넌스, 규정 준수, 운영 및 위험 감사에 도움이 되는 AWS 서비스입니다. 사용자, 역할 또는 AWS 서비스가 수행하는 작업들이 CloudTrail에 이벤트로 기록됩니다. 

• Amazon CloudWatch Events–Amazon CloudWatch Events는 AWS 리소스의 변경 사항을 설명하는 시스템 이벤트의 스트림을 거의 실시간으로 제공합니다. CloudWatch Events는 이러한 운영 변경 발생 시 이를 인지하고, 환경에 응답하기 위한 메시지를 전송하고, 함수를 활성화하고, 변경을 수행하고, 상태 정보를 기록하는 등 필요에 따라 교정 조치를 취합니다. 

• AWS Lambda–Lambda는 서버를 프로비저닝하거나 관리할 필요 없이 코드를 실행하는 데 도움이 되는 컴퓨팅 서비스입니다. Lambda는 필요 시에만 코드를 실행하며, 일일 몇 개의 요청에서 초당 수천 개의 요청까지 자동으로 규모를 조정합니다. 

• Amazon S3-Amazon Simple Storage Service(S3)는 웹 사이트, 모바일 애플리케이션, 백업, 데이터 레이크 등 다양한 스토리지 솔루션에 사용할 수 있는 확장성이 뛰어난 객체 스토리지 서비스입니다.

• Amazon SNS–Amazon Simple Notification Service(SNS)는 애플리케이션, 최종 사용자 및 디바이스가 클라우드에서 즉시 알림을 전송하고 수신할 수 있게 해 주는 웹 서비스입니다.

코드

이 패턴에는 두 개의 파일이 포함된 첨부 파일이 포함됩니다.

• index.zip은(는) 이 패턴의 Lambda 코드가 포함된 압축 파일입니다.

• ec2-require-tags.yaml은(는) Lambda 코드를 배포하는 CloudFormation 템플릿입니다.

이러한 파일을 사용하는 방법에 대한 자세한 내용은 에픽 섹션을 참조하세요.

에픽

Lambda 코드 배포

작업	설명	필요한 기술
코드를 S3 버킷에 업로드합니다.	새 S3 버킷을 생성하거나 기존 S3 버킷을 사용하여 첨부한 index.zip 파일(Lambda 코드)을 업로드합니다. 이 버킷은 모니터링하려는 리소스(EC2 인스턴스)와 동일한 AWS 리전에 있어야 합니다.	클라우드 아키텍트
CloudFormation 템플릿을 배포합니다.	S3 버킷과 동일한 AWS 리전에서 Cloudformation 콘솔을 열고 첨부 파일에 제공된 ec2-require-tags.yaml 파일을 배포합니다. 다음 에픽에서 템플릿 파라미터에 대한 값을 입력합니다.	클라우드 아키텍트

CloudFormation 템플릿에서 파라미터 작성

작업	설명	필요한 기술
S3 버킷 이름을 제공합니다.	첫 번째 에픽에서 생성하거나 선택한 S3 버킷의 이름을 입력합니다. 이 S3 버킷에는 Lambda 코드용.zip 파일이 들어 있으며 모니터링하려는 CloudFormation 템플릿 및 EC2 인스턴스와 동일한 AWS 리전에 있어야 합니다.	클라우드 아키텍트
S3 키를 입력합니다.	S3 버킷에 있는 Lambda 코드 .zip 파일의 위치를 앞에 슬래시 없이 입력합니다(예: index.zip 또는 controls/index.zip).	클라우드 아키텍트
이메일 주소를 입력합니다.	위반 알림을 받을 사용 중인 이메일 주소를 입력합니다.	클라우드 아키텍트
로깅 수준을 정의합니다.	로깅 수준 및 상세 정보를 지정합니다. Info는 애플리케이션 진행 상황에 대한 자세한 정보 메시지를 지정하며 디버깅용으로만 사용해야 합니다. Error는 애플리케이션을 계속 실행할 수 있는 오류 이벤트를 지정합니다. Warning은 잠재적으로 유해한 상황을 지정합니다.	클라우드 아키텍트
필수 태그 키를 입력합니다.	확인할 태그 키를 입력합니다. 키를 여러 개 지정하려면 스페이스 없이 쉼표로 구분합니다. (예를 들어, ApplicationId,CreatedBy,Environment,Organization은 네 개의 키를 검색합니다.) CloudWatch Events의 이벤트가 이러한 태그 키를 검색하고 찾을 수 없는 경우 알림을 보냅니다.	클라우드 아키텍트

구독 확인

작업	설명	필요한 기술
이메일 구독을 확인합니다.	CloudFormation 템플릿이 성공적으로 배포되면 입력한 이메일 주소로 구독 이메일 메시지가 전송됩니다. 알림을 받기 시작하려면 이 이메일 구독을 확인해야 합니다.	클라우드 아키텍트

관련 리소스

• 버킷 생성(Amazon S3 설명서)

• 객체 업로드(Amazon S3 설명서)

• Amazon EC2 리소스 태깅(Amazon EC2 설명서)

• AWS CloudTrail을 사용하여 AWS API 호출에서 트리거되는 CloudWatch Events 규칙 생성(Amazon CloudWatch 설명서)

첨부

이 문서와 관련된 추가 콘텐츠에 액세스하려면 attachment.zip 파일의 압축을 풉니다.