Secret Manager 모니터링에 관해
간단히 설명하겠습니다
알아야 할 것이 두 가지 있습니다
첫 번째는 CloudTrail이 Secret Manager
API에 만들어진 API 호출을 캡처한다는 것입니다 더불어
아주 독특한데 CloudTrail도 관련 이벤트를 캡처한다는 것입니다
여러분의 계정에 보안이나 준수에 영향을 미칠 수 있는 이벤트를 캡처합니다
운영 문제 해결에 도움이 될 수도
있습니다
이러한 이벤트는 비API 서비스 이벤트라고 합니다
Secret Manager에 특화돼 있습니다
보다시피 CloudTrail은 CloudTrail에서
API 호출과 비API 이벤트를 둘 다 받습니다
비API 서비스 이벤트는 무엇일까요?
첫 번째는 교체 시작 관련 이벤트입니다
교체가 시작되면
CloudTrail에 등록됩니다
교체 후 이벤트입니다
그리고 아주 중요한 교체 실패 이벤트가 있습니다
교체 유기 이벤트가 있습니다
자동 교체 대신 수동으로 대상 비밀을
변경하는 경우입니다
이 역시 CloudTrail에 등록됩니다
StartSecretVersionDelete 이벤트
CancelSecretVersionDelete 이벤트와
EndSecretVersionDelete 이벤트가 있습니다
따라서 시크릿 관리자 내에서 어떤 일이 발생하면
CloudTrail에
기록된다는 것입니다
매우 중요한 이벤트들입니다
그리고 일종의 경고도 만들 수 있습니다
아주 중요한 것은 예를 들어
교체가 실패했을 때입니다
CloudWatch Logs와 CloudWatch Alarms
자동화를 결합할 수 있습니다 이를 통해
교체 실패 이벤트가 발생하면 경고를 생성할 수 있습니다
어떻게 하면 될까요?
CloudTrail는 로그를 CloudWatch Logs에 저장합니다
더불어 지표 필터를 만들 수 있습니다
이 지표 필터는
교체 실패 등에 대한 이벤트를 위한 지표를 생성할 수 있습니다
그 다음 CloudWatch Alarm으로 전송되어
지표 임계값에 도달할 때마다 SNS로
알림을 보내게 됩니다
아주 중요하고 알아두시면 좋습니다
이러한 방법으로
Secret Manager와 관련된
중요한 문제가 있다는 것을 알 수 있습니다
또 다른 방법은
교체 자체를 해결하는 것입니다
교체 실패가 발생하면 Secret Manager는
모든 API 호출과 비API 이벤트를
CloudTrail에 저장합니다
Secret Manager는 비밀의 교체에 따라
교체 자체를 실행할 Lambda 함수를
호출하려 할 것입니다
예를 들어 이 Lambda 함수는 Amazon RDS 데이터베이스의
암호를 바꾸기 위한 목표가 있습니다
그러나 오류로 인해 교체가 작동하지 않았다고 가정해봅니다
이유는 모릅니다
어떤 일이 벌어지는지 디버그하려면 어디를
봐야 할까요?
CloudTrail을 봐야 할까요 아니면 Lambda 함수 로그를 볼까요?
당연히 Lambda 함수 로그를 보는 것이 더
낫습니다 실제 코드 실행을 담고 있고
실행 중에 무슨 일이 일어났는지에
대한 적절한 오류 메시지를 제공하기 때문입니다
CloudWatch Logs에 있는 이 모든 로그는
정말 도움이 됩니다 더불어 관리자로서
교체 문제를 디버그할 수 있는 곳입니다
그러나 교체가 실패했다는 경고를 받으려면
CloudTrail을 보거나 Lambda 함수 실패률에 대한 경고를 받을 수 있습니다
여기까지 Secret Manager 문제 해결과
모니터링에 대한 내용이었습니다
즐거우셨기를 바라고 다음 강의에서 뵙겠습니다