interplanetary detour

Sysops 과정은 총 12개 모듈로 구성되어 있으며, 개중에 한 단계 더 분리된 모듈도 존재한다.

Tess와 Arch에서 배운 기초적인 내용이 포함되어 있어 복습 목적의 정리 또한 병행한다.

Module 1 : Systems Operations on AWS 소개

Region

• AWS 서비스가 제공되기 위한 인프라의 논리적인 위치
• 지리적 대표 도시명으로 나타낸다.
• 멀티 AZ로 DR(Disaster Recovery) 구성을 위해 반드시 2개 이상의 AZ가 포함되어야 한다.
• 현재 25개 리전 존재

Availability Zone

• 하나 이상의 데이터센터를 클러스터로 묶은 논리적 단위
• 현재 81개 AZ 존재

Edge Location

• AWS Route53, AWS CloudFront, AWS WAF 등 글로벌 서비스를 위한 인프라
• Region, AZ와 다르게 사용자가 지정할 수 없음

AWS Well-Architected Framework

• AWS 아키텍처 모범 사례를 포함한 백서
• 5가지 핵심 요소
  • 보안
  • 안정성
  • 성능 효율성
  • 비용 최적화
  • 운영 우수성

AWS Well-Architected Tool

• WAF와 다르게 Management Console의 툴로써 제공되며, 일련의 질문에 대답하며 더 간편하게 인프라 구조를 검토할 수 있다.

시스템 운영의 요소

• 배포
  • 인프라 환경의 구성

• 모니터링
  • 모니터링을 통해 개선점 등을 발견
• 고도화
  
  • 구조의 효율성을 위한 변경
• 보안
  • 권한의 핸들링 등 보안 솔루션 관리
• 최적화
  • 고도화와 유사하게 시스템 최적화

운영 우수성 원칙

• 설계 원칙
  • 코드형 작업 수행
  • 작은 규모로 손쉽게 롤백이 가능한 변경 수행
  • 운영 절차의 지속적 개선
  • 장애 예측
  • 모든 운영 실패에서 교훈 습득

단계별 운영 우수성 핵심 서비스

• 준비
  • AWS Trusted Advisor
  • AWS CloudFormation
  • AWS 개발자 도구
  • AWS X-Ray
  • AWS Config
  • AWS Systems Manager
• 실행
  • Amazon CloudWatch
  • Personal/Service Dashboard
  • Amazon CloudWatch
  • Amazon ElasticSearch
  • Amazon SNS
  • Auto Scaling
  • AWS Systems Manager
• 개선
  • Amazon QuickSight
  • Amazon Athena
  • Amazon S3
  • Amazon CloudWatch
  • Amazon Machine Image
  • Amazon SNS
  • AWS Lambda
  • AWS CloudFormation

AWS Trusted Advisor

• 비즈니스 레벨 이상의 AWS Support Plan을 이용할 때 제공받을 수 있는 유지 보수에 대해 도움을 주는 서비스이다.
• https://aws.amazon.com/ko/premiumsupport/plans/

AWS Simple Monthly Calculator

• 리소스에 대한 월별 지불할 비용을 계산해주는 서비스
• 예산 산출에 이용된다.
• 현재 콘솔 상에서 이용하는 AWS Pricing Calculator 개발로 인해 Deprecate 예정이다.
• https://calculator.s3.amazonaws.com/index.html?lng=ko_KR

AWS Cost Explorer

• 비용 및 사용량에 대한 데이터를 분석하여 시각적으로 확인할 수 있게 해주는 서비스
• 가계부와 비슷하다고 볼 수 있음
• https://aws.amazon.com/ko/aws-cost-management/aws-cost-explorer/

Module 2a - 액세스 관리

IAM (Identity and Access Management)

• 인증
  • 맞는 사용자(관리자)인지 확인
  • Management Console 접근은 사용자 ID와 PW, CLI와 SDK 접근은 액세스 키와 시크릿 액세스 키로 인증
• 인가
  • 관리자에 대해 권한을 제어
  • JSON 파일로 Policy를 지정
  • 권한을 할당할 때 최소 권한의 원칙 준수

IAM 권한 유형

• 자격 증명 기반 정책
  • IAM 사용자 종속 
  • 리소스에 관계없이 IAM 사용자에게 권한을 지정한다.
• 리소스 기반 정책
  • 리소스 종속 
  • 리소스에 대한 특정 IAM 사용자의 권한을 지정한다. 
  • 자격 증명 기반과 달리 JSON 파일에 Principal 속성이 포함되어 있다. IAM 사용자를 나타낸다.

STS & Role

• 임시 자격 증명
• 강사가 사옥에 들어갈 때 방문증을 받듯이 임시로 역할을 부여
• STS와 Role은 같이 동작한다.
  • STS가 임시 자격 증명을 발행한다.
  • Role이 권한을 위임한다.

연동 사용자

• SAML 2.0 또는 OpenID Connect를 통해 외부 사용자와 신뢰 관계를 맺는다.
• 이후 STS와 Role을 통해 임시 접근 자격을 부여한다.

IAM 그룹

• IAM 사용자의 모음
• 한 IAM 사용자는 여러 그룹에 속할 수 있음
• 권한은 IAM 정책을 통해 부여됨
• 그룹을 중첩할 수 없음
• 그룹은 보안 주체가 아님

Role on Resource

EC2 인스턴스의 어떤 애플리케이션이 S3 또는 DynamoDB와 상호 작용을 해야한다고 가정했을 때, 애플리케이션에 Role을 부여해서 접근 권한을 지정해 상호 작용을 할 수 있게 한다.

PassRole

Role을 부여할 수 있는 관리 권한

정책 평가 우선순위

• 명시적 Deny : Deny
• 명시적 Allow : Allow
• 명시적 Allow + 명시적 Deny : Deny
• 명시되어 있지 않음 : Deny

Policy 항목 5가지 : 예시 

1. (Required) Resource : EC2
2. (Required) Action : stop / start
3. (Required) Effect : allow / deny
4. (Optional) Condition : 특정 IP 지정 등 조건 지정
5. (리소스 기반 정책) Principal : IAM 사용자 아이덴티티 기술

Policy 생성 방법

• 편집기로 JSON 문서 작성
• AWS 관리형 정책 사용
  • 수정, 편집 불가
• IAM Policy Generator/Simulator 등의 GUI 기반 툴을 통해 생성

자격 증명 관리

• 환경 간 권한은 일관되어야 한다.
• IAM 자격 증명 보고서 검토
  • 주기적 액세스 키 교체
  • 불필요한 자격 증명 삭제

ARN (Amazon Resource Name)

Policy에 리소스 아이덴티티를 기술할 때 사용된다.

AWS Organizations

개발 계정, 테스트 계정, 프로덕션 계정, 공유 서비스 계정 등 여러 계정을 하나의 엔터프라이즈 기업에서 부서별로 관리할 수 있게 해주는 서비스이다.

• 중앙 집중식 계정 관리 및 감사
• 자동화된 계정 생성 및 관리
• 그룹 기반 계정 관리
• 서비스 비용 통합 결제
• SCP(Service Control Policy) : OU(Organization Unit), 루트 계정에도 액세스 제어가 가능
• 트리 구조로 조직도와 같이 구성된다.

Module 2b : 시스템 검색

AWS 리소스와의 상호 작용

• AWS Management Console
  • GUI 관리 툴을 사용해 AWS 서비스에 접속
• AWS CLI
  • 명령어를 통해 AWS 서비스에 접속
• SDK
  • 대부분의 주요 프로그래밍 언어에서 AWS 서비스 API 호출

AWS CLI

• 명령어 구조 : Service - Operation - Parameter - Options
• 단계마다 help 명령어가 전부 제공된다.

Commands & Options

• aws configure 명령어를 통해 액세스 키, 시크릿 액세스 키, 리전 이름, 출력 형식 등을 설정할 수 있다.
• --dry-run
  • 명령어를 실행하지 않고 권한만 확인한다.

AWS Session Manager

• IAM 정책으로 중앙 집중식 액세스 제어
  • 이 때문에 SSH 등 보안성 통신이 아니어도 보안적 이슈가 생기지 않는다.
• Windows, Linux 크로스 플랫폼 지원
• VPC Endpoint를 통해 EC2 인스턴스에 리모트로 연결
  • Jumping Host 없음
  • 인바운드 포트 불필요 (내부적으로 포트포워딩)
  • SSH 키 없음
  • ssm-user에 대한 관리 권한
• 세션 활동 및 로깅 감사
  • AWS CloudTrail (API 호출 로그)
  • Amazon S3
  • Amazon CloudWatch

AWS Systems Manager

리소스를 규모에 따라 안전하게 관리하고 운영할 수 있도록 지원한다.

• 그룹 리소스 (업무 단위로 그룹핑)
• 데이터 시각화
• 작업 수행
• 에이전트 기반

AWS Config

변경 사항을 일관된 형식으로 기록하고 정규화한다. 사내 인프라에 대한 규정을 준수하게 하는 목적.

• 리소스 검색
• 레코드 구성
• 변경 사항 캡처
• 변경 사항 분석 및 문제 해결
• Organizations 환경에서 복수 계정 인벤토리 데이터가 하나의 대시보드에 표시될 수 있다.
• 설정 프로세스
  1. 설정 지정
  2. 규칙 선택
  3. AWS Config에서 리소스 기록 시작
  4. 데이터 보기

AWS Config 규칙

• 관리형 규칙
  • AWS에서 정의하고 관리
  • 구성이 거의 또는 전혀 필요없음
• 사용자 지정 규칙
  • 고객이 정의 및 유지
  • AWS Lambda 사용