Config 규칙을 통한 자동 해결

비준수 리소스를 찾는 것은 작업의 절반에 불과하며, 자동 문제 해결이 이를 자동으로 수정합니다. AWS Config는 규칙에 문제 해결 작업을 연결할 수 있으므로 리소스가 NON_COMPLIANT가 되면 사람이 처리할 때까지 기다리지 않고 수정 작업이 실행됩니다. 이를 통해 안전하지 않은 구성이 노출되는 시간이 줄어듭니다.

Config 문제 해결은 AWS Systems Manager (SSM) 자동화 문서를 기반으로 하며, 이를 런북이라고도 합니다. AWS는 S3 버킷의 퍼블릭 액세스를 비활성화하거나 볼륨을 암호화하는 문서 등 미리 정의된 문서를 다양하게 제공합니다. 문서에는 리소스를 다시 규정 준수 상태로 되돌리는 정확한 단계가 정의되어 있습니다.

문제 해결 작업을 Config 규칙에 연결하고, 리소스 ID와 같은 규칙의 출력을 런북의 입력 매개변수에 매핑합니다. 규칙이 비준수를 보고하면 Config는 해당 특정 리소스에 대해 SSM 문서를 호출하여 탐지부터 수정까지의 순환을 완성합니다.

문제 해결은 비준수가 탐지되는 즉시 실행되는 자동 방식일 수도 있고, 운영자가 검토한 후 수정 작업을 실행하는 수동 방식일 수도 있습니다. 명확하고 안전한 수정에는 자동 방식이 적합하고, 워크로드를 중단할 수 있어 실행 전에 사람의 판단이 필요한 변경에는 수동 방식이 적합합니다.

SSM 문서는 사용자가 지정한 IAM 역할로 실행되며, 이 역할에는 보안 그룹 수정이나 암호화 활성화와 같은 수정 작업을 수행할 권한이 필요합니다. 최소 권한 원칙에 따라 이 역할에는 런북에 필요한 작업만 허용해야 합니다. 사실상 리소스를 변경할 수 있는 권한을 갖기 때문입니다.

문제 해결을 재시도할 횟수와 재시도할 기간을 구성할 수 있습니다. 수정 작업이 반복해서 실패하면 리소스는 비준수 상태로 남고 사람이 확인해야 할 대상으로 표시됩니다. 이 동작을 이해하면 예상하지 못한 상황을 방지할 수 있습니다. 문제 해결은 최선의 노력에 따른 자동화이지 보장이 아니므로 결과를 계속 모니터링해야 합니다.

전형적인 구성은 s3-bucket-public-read-prohibited 규칙을 퍼블릭으로 표시된 모든 버킷에 퍼블릭 액세스 차단을 적용하는 문제 해결 런북과 함께 사용하는 것입니다. 누군가 버킷을 공개하는 순간 Config가 이를 탐지하고 런북이 버킷을 다시 보호하므로, 운영자의 개입 없이도 대개 몇 분 안에 처리됩니다.

문제 해결은 잘못된 상태가 발생한 후에 대응합니다. SCP 또는 권한 경계와 같은 예방적 보호 장치는 잘못된 상태가 처음부터 발생하지 않도록 막습니다. 가장 강력한 설계는 두 가지를 모두 결합합니다. 가능한 것은 예방하고, 빠진 부분은 자동으로 해결하는 방식입니다. 시험에서는 예방적 제어와 탐지 후 수정하는 제어를 자주 비교합니다.

자동 수정에는 부작용이 발생할 수 있습니다. 리소스를 다시 암호화하거나 다시 보호하는 과정에서 서비스가 잠시 중단되거나 정상적인 변경과 충돌할 수 있습니다. 먼저 비프로덕션 환경에서 런북을 테스트하고, 규칙의 범위를 신중하게 설정하십시오. 또한 민감한 리소스에는 수동 문제 해결을 고려하여 자동화로 인해 수정하려는 잘못된 구성보다 더 큰 피해가 발생하지 않도록 하십시오.

준수 팩을 사용하면 조직의 모든 계정에 규칙과 문제 해결 작업을 한 번에 배포할 수 있습니다. 이를 통해 어디서나 일관된 자동 복구 상태를 적용할 수 있으므로 어느 계정에서 잘못된 구성이 발생하더라도 동일한 자동화 표준으로 탐지하고 수정할 수 있습니다.

자동 문제 해결은 Config의 전체 흐름을 완성합니다. 상태를 기록하고, 규칙으로 평가한 다음, 최소 권한 역할로 실행되는 SSM 런북을 통해 자동으로 수정합니다. 예방적 보호 장치와 신중하게 함께 사용하면 환경을 지속적으로 규정 준수 상태로 유지하고, 안전하지 않은 설정이 남아 있는 시간을 크게 줄일 수 있습니다.

자동 문제 해결에 대한 지식을 테스트해 보십시오.

자동 문제 해결은 SSM 자동화 문서를 Config 규칙에 연결하여 비준수 리소스를 자동으로 또는 수동 검토 후 수정합니다. 런북은 최소 권한의 IAM 역할로 실행되며 재시도 횟수를 구성할 수 있습니다. 예방적 보호 장치와 함께 사용하고, 먼저 런북을 테스트하며, 준수 팩을 통해 조직 전체에 배포하여 자동 복구되고 지속적으로 규정 준수 상태를 유지하는 환경을 구축하십시오.