Lucidscale에서 AWS 인프라스트럭처 데이터 불러오기 및 관리

지원되는 AWS 리전, 리소스 및 회선

Lucidscale에서 사용할 수 있는 AWS의 지원되는 지역, 리소스 및 회선에 대한 전체 목록은 지원되는 AWS 지역, 리소스 및 회선 문서를 참조하세요. 

AWS 인프라 가져오기

다음 네 가지 방법 중 하나를 사용하여 AWS 클라우드 인프라 데이터를 가져올 수 있습니다:

• 신뢰할 수 있는 액세스: 적절한 정책으로 교차 계정 IAM 역할을 제공하세요. 이 역할은 다음과 같은 권한 범위로 설정할 수 있습니다:
  • 계정 수준 액세스를 통해 가져오기: 개인 계정 하나 가져오기
    조직 수준 액세스를 통해 가져오기: 하나의 조직 단위 또는 전체 조직에서 모든 AWS 계정 가져오기
• 일회용 인증: 적절한 정책이 첨부된 IAM 사용자에 대한 자격 증명을 입력합니다.
• 파일 업로드: 구성된 AWS CLI 프로필에서 Lucid가 제공한 Python 스크립트를 실행하여 데이터를 로컬에서 JSON 파일로 수집한 다음 생성된 파일을 제공합니다.

각 방법에 대한 자세한 내용과 사용 사례에 가장 적합한 방법을 결정하려면 다음 표를 확인하세요.

*리소스 유형 1은 지원되는 리소스 섹션에 나열된 모든 매핑된 리소스입니다. 리소스 유형 2는 클라우드 인벤토리로, 문서에 수동으로 배치할 수 있는 매핑되지 않은 다양한 리소스를 의미합니다.
**데이터 허브를 통해 사용자가 반복 일정(일별, 주별, 월별, 연간)으로 설정할 수 있는 자동 데이터 소스 새로 고침 기능을 사용할 수 있습니다. 데이터 허브를 통해 클릭 한 번으로 수동 새로 고침도 수행할 수 있습니다.

신뢰할 수 있는 액세스 가져오기를 사용하면 Lucid는 이러한 자격 증명을 저장하므로 정보를 다시 입력하지 않고도 데이터를 새로 고치거나 새 가져오기를 시작할 수 있습니다. 이 저장 기능을 통해 Lucid는 자동 데이터 새로 고침을 수행할 수 있습니다. 자격 증명은 AWS 데이터 허브 자격 증명 탭을 통해 삭제할 수 있습니다. Lucid는 향후 재사용을 위해 IAM 사용자 자격 증명을 저장하지 않으므로 일회용 인증은 수동 새로 고침으로만 제한됩니다.

매우 큰 규모의 환경에서 작업하는 경우, 가져오는 데이터의 양을 줄이거나 Lucid가 AWS에 호출하는 API의 수를 줄이세요. Lucid는 사용자당 최대 50개의 동시 계정 가져오기를 지원합니다. 각 가져오기가 완료되면 새 가져오기를 시작할 수 있습니다.

신뢰할 수 있는 액세스(교차 계정 역할)

신뢰할 수 있는 액세스는 계정 간 IAM 역할을 사용하므로 클라우드 액셀러레이터는 읽기 전용 액세스를 가정하여 계정 메타데이터를 가져오고 데이터 소스를 만들 수 있습니다. 신뢰할 수 있는 액세스 범위는 두 가지입니다:

• 조직 수준 (다중 계정 AWS 조직에 권장)
• 계정 수준 (단일 계정 가져오기)

이 가이드는 두 가지 방법에 대한 자세한 실행 단계를 제공하며, 여러 인프라를 코드로 구현하는 방법을 포함합니다: Terraform, CloudFormation 자동화, 수동 IAM 생성 등 여러 인프라를 코드로 구현하는 방법이 포함되어 있습니다.

신뢰할 수 있는 액세스: 조직 수준

전체 AWS 조직에서 인프라 가져오기를 중앙에서 관리하려면 아래 단계를 따르세요.

먼저 다음 전제 조건을 확인합니다:

• 선택한 바스티온 계정은 Lucid에서 다른 가져오기용 바스티온으로 이미 등록되어 있지 않아야 합니다.
• 조직 수준 등록을 시작할 수 있는 Lucid 데이터 허브에 액세스할 수 있는 사용자입니다.

그런 다음 Lucid 데이터 허브로 이동하여 IAM 리소스 생성 방법을 선택합니다.

1. Lucid 홈 페이지를 엽니다.
2. 왼쪽 탐색 하단에서 데이터 허브를 클릭합니다.
3. AWS 데이터 가져오기를 선택합니다.
4. 신뢰할 수 있는 액세스를 선택합니다.
5. 자격 증명 범위에서 AWS 조직에 연결을 선택합니다.
6. 옵션 중에서 권한을 자동으로 설정하는 옵션을 선택합니다:
   1. CloudFormation 템플릿을 사용하세요.
   2. Terraform 모듈을 사용하세요.

방법 1: 자동화된 AWS 조직 권한 설정에 CloudFormation을 활용하기

Lucid의 통합 CloudFormation 템플릿을 사용해 AWS 조직 전반에 걸쳐 모든 필요한 IAM 역할과 권한을 단일 배포로 자동으로 설정하세요.

요구 사항

• 배포 계정: 조직 수준 권한을 가진 계정에서 이 템플릿을 배포하여 (1) CloudFormation StackSets 생성 및 관리, (2) 리소스 기반 위임 정책을 생성하고 관리해야 합니다. 이는 일반적으로 조직 관리 계정이거나 CloudFormation StackSets의 위임된 관리자 계정입니다.
• Bastion 계정 (권장): Bastion 계정으로 관리 회원이 아닌 계정을 사용하세요. 이 계정은 조직 전반에 걸쳐 가져오기를 조율할 것입니다.
  • Bastion 계정(대체 방법): 관리 계정을 bastion으로 사용할 수 있지만, 이는 AWS 모범 사례에 어긋나며 조직 정책상 요구하는 경우에만 사용해야 합니다. 이 옵션을 선택하면 CloudFormation 템플릿이 관리 계정에서 바로 bastion 역할 생성을 처리합니다.
• 계정 자격 요건: 바스티온 계정은 이전에 루시드에서 바스티온 계정으로 사용된 적이 없어야 합니다.

매개변수

• BastionAccountId: 타사 신뢰할 수 있는 액세스를 관리하는 데 사용할 12자리 AWS 계정 ID입니다. Lucid는 이 "바스티온 계정(" )에서 교차 계정 역할을 맡아 수입을 조정합니다.
• 바스티온루트 또는 조직유닛아이디: 선택한 BastionAccountId가 포함된 조직 단위(OU)(예: ou-xxxxxxxx) 또는 루트(예: r-xxxx)의 ID입니다.
• MembersRootOrOrganizationalUnitId: 이 매개변수는 Lucid가 리소스 데이터를 가져올 수 있는 AWS 조직 내 계정의 범위를 제어합니다.
  • 조직의 모든 계정에서 가져오기를 허용하려면 조직 루트의 ID(예: r-xxxx)를 사용하세요.
  • 하나의 특정 조직 단위(OU) 내에 중첩된 계정에 대해서만 가져오기를 허용하려면 해당 특정 OU의 ID(예: ou-xxxxxxxx)를 사용하세요.

지침

CloudFormation으로 권한을 자동으로 설정하려면 다음 단계를 따르세요:

1. AWS에서:
   • 위임된 관리자 방식을 사용하는 경우 Bastion 계정 ID를 확인하세요.
   • 위에 나열된 매개변수에 대해 조직 단위 또는 루트 ID를 식별하세요.
2. Lucid에서 ' Launch CloudFormation 템플릿 '을 클릭하면 AWS 콘솔에서 템플릿을 엽니다.
   • 템플릿이 미리 로드된 CloudFormation 스택 생성 페이지로 이동합니다.
3. UseManagementAccountAsBastion을 "false"(권장) 또는 "true"로 설정하세요.
   • 위임된 관리자(UseManagementAccountAsBastion = "false")를 사용할 경우, 다음을 제공하세요:
     • BastionAccountId: 당신이 선택한 보루 계정 ID입니다.
     • BastionRootOrOrganizationalUnitId: Bastion 계정을 포함하는 OU 또는 루트입니다.
4. "MembersRootOrOrganizationalUnitId"를 가져오기 범위를 제어하도록 설정하세요.
5. 조직에 리소스 정책이 없다면 "CreateOrgResourcePolicy"를 "true"(기본값)로 설정하세요. 
   • 관리 계정을 보루로 사용할 경우, 이 값을 "false"로 설정할 수 있습니다.
   • 조직에 기존 리소스 정책이 있다면, 스택 배포 시 실패를 방지하기 위해 이 값을 "false"로 설정하세요. 대신, 기존 조직 자원 정책의 "Statement" 배열에 다음 "Statement" 객체를 수동으로 추가하세요(이는 기존 정책에 추가하는 것이지 대체하는 것은 아닙니다). 표시된 곳에는 실제 Bastion 계정 ID를 반드시 대체하세요":
     
     {
      "시드": "진술",
      "효과": "허용",
      "교장": {
        "AWS": [
          "arn:aws:iam::<YOUR_BASTION_ACCOUNT_ID>:root"
        ]
      },
      "액션": [
        "조직: 목록 계정",
        "조직: ListAccountsForParent",
        "조직: ListChildren",
        "조직: ListParents",
        "조직들:ListRoots",
        "조직:DescribePolicy",
        "조직:조직 단위 설명",
        "조직:조직을 설명하기",
        "조직:설명계정",
        "조직: 목록 조직단위 부모"
      ],
      "자원": "*"
     }
      
6. 선택적으로 BastionRoleName과 MemberRoleName을 커스터마이즈할 수 있습니다.
7. 스택 생성 을 클릭하고 배포가 완료될 때까지 기다리세요.
   • 템플릿은 자동으로 다음과 같은 기능을 수행합니다:
     • 선택한 바스티온 계정에서 보루 역할을 생성하세요.
     • StackSets를 배포하여 대상 계정 간에 멤버 역할을 생성합니다.
     • 위임된 관리자를 사용하는 경우, 조직의 자원 정책을 위임 접근에 맞게 설정하세요.
     • 조직에 추가될 미래 계정에 대해 자동 배포를 활성화하세요.
8. bastion 계정의 AWS IAM 콘솔에서 "역할"로 가세요.
9. 바스티온 역할(기본 이름: 'lucid-import-bastion-role' 또는 사용자 지정 이름)을 찾아보세요.
10. 역할의 ARN을 복사해.
11. Lucid 데이터 허브 탭으로 돌아가서 'Lucid에 교차 계정 역할 추가' 섹션까지 아래로 스크롤합니다.
    • "Bastion role ARN" 필드에 Bastion 역할 ARN을 붙여넣으세요.
    • 커스텀 MemberRoleName을 사용했다면, "Member account role name" 필드를 일치하도록 업데이트하세요.
    • 선택적으로, 이 연결을 식별하기 위해 Credential 표시 이름을 업데이트할 수도 있습니다.
12. 다음을 클릭하여 루시드에 교차 계정 역할을 등록합니다.
13. 역할을 선택하고 다음을 클릭합니다.
14. 계정 가져오기 및 문서 만들기 단계를 진행합니다.

방법 2: Terraform 사용으로 AWS 조직 권한 자동 설정

하위 모듈

• 조직 읽기 위임 서브모듈: 위임된 관리자 액세스 권한이 있는 바스티온 계정을 구성하여 AWS 조직 구조를 스캔합니다. (이후 Lucid가 이 거점 계정에서 역할을 맡아 가져오기를 수행합니다).
  • 관리 계정 또는 조직에 대한 정책 관리가 위임된 구성원 계정에서 배포해야 합니다.
  • 리소스 기반 위임 정책이 이미 존재하는 경우 배포가 실패합니다. 이 하위 모듈을 추가하는 대신 여기에 링크된 Lucid에서 제공하는 JSON 정책의 권한을 기존 리소스 기반 정책에 수동으로 추가하세요.
  • 리소스 기반 위임 정책이 이미 있는 경우 배포가 실패합니다. 이 하위 모듈을 추가하는 대신 모듈 main.tf 파일의권한을 기존 리소스 기반 정책에수동으로 추가하세요 .
• 바스티온 역할 서브모듈: Lucid가 맡게 될 바스티온 계정의 기본 IAM 역할을 만듭니다.
  • Lucid 계정의 AWS 가져오기 설정 페이지에서 복사한 고유한 "외부 ID" 값을 사용하여 external_id 파라미터를 설정합니다.
• 가져오기 역할 하위 모듈: 리소스 데이터를 읽기 위해 멤버 계정에 배포할 IAM 역할을 만듭니다.
  • 이 모듈은 회원 계정에 바스티온 계정이 맡을 수 있는 역할을 만들지만, 이 모듈은 회원 계정에 대한 해당 프로세스를 자동화할 수 없습니다. 이 모듈은 향후 조직에 새 계정을 추가하려는 경우를 포함하여 데이터를 가져오려는 모든 회원 계정에 배포해야 합니다. 조직의 표준 관행에 따라 이 모듈의 코드를 새로 추가된 계정에 적용하세요.

지침

먼저, 루시드의 테라폼 모듈을 추가할 계정에 테라폼이 설정되어 있는지 확인합니다.

그런 다음 다음 단계에 따라 Lucid의 Terraform 모듈을 구성하고 배포합니다:

• 테라폼 레지스트리에서 보기를 클릭하여 권한을 구성하기 위해 Lucid의 테라폼 모듈에 액세스하거나 이 링크를 통해직접 모듈에 액세스하세요.
• 모듈 레지스트리 페이지에서 하위 모듈을 클릭합니다. main.tf의 드롭다운에서 세 가지 필수 하위 모듈(조직 읽기 위임, 바스티온 역할 및 가져오기 역할)을 각각 구성합니다.
• 각 서브모듈의 사용 설명서 페이지에 있는 "사용법" 지침에 따라 해당 모듈을 Terraform 구성 코드에 추가하세요.
• 테라폼 코드를 배포하고 루시드 모듈에 포함된 리소스가 생성될 때까지 기다립니다.
• 바스티온 계정의 AWS IAM 콘솔에서 생성된 lucid-import-bastion-role(또는 해당 사용자 지정 이름)의 ARN을 복사합니다. 또는 테라폼 구성에서 이 ARN을 출력합니다.

마지막으로 새 IAM 역할을 Lucid에 추가합니다.

1. Lucid 데이터 허브 탭으로 돌아가서 'Lucid에 교차 계정 역할 추가' 섹션까지 아래로 스크롤합니다.
   1. '바스티온 역할 ARN' 필드에 바스티온 계정 역할 ARN을 입력합니다.
   2. 첫 번째 CloudFormation 템플릿/테라폼 모듈을 구성할 때 사용자 지정 MemberRoleName을 사용한 경우 "회원 계정 역할 이름" 필드를 해당 값으로 업데이트합니다.
   3. (선택 사항) 가져오기를 조정하는 데 사용되는 바스티온 역할을 나타내도록 '자격증명 표시 이름'의 미리 채워진 값을 업데이트합니다. 이 표시 이름은 Lucid의 데이터 허브에서 사용되므로 향후 사용 및 관리를 위해 자격 증명을 식별할 수 있습니다.
2. 다음을 클릭하여 루시드에 교차 계정 역할을 등록합니다.
3. 역할을 선택하고 다음을 클릭합니다.
4. 계정 가져오기 및 문서 만들기단계를 진행합니다.

신뢰할 수 있는 액세스: 계정 수준

계정 간 IAM 역할을 통해 개인 계정에 대한 AWS 인프라를 가져오려면 아래 단계를 따르세요.

1단계: 새 교차 계정 만들기

선택한 계정에 대한 새 교차 계정 IAM 역할(예: 가져오기 자격증명)을 등록하려면 먼저 다음과 같이 시작하세요:

1. Lucid 홈 화면으로 이동합니다.
2. 페이지 왼쪽의 탐색 메뉴 하단에서 데이터 허브를 클릭합니다.
3. AWS 데이터 가져오기를 선택합니다.
4. 신뢰할 수 있는 액세스를 선택합니다.
5. 자격 증명 범위에서 개인 AWS 계정에 연결을 선택합니다.
6. 새 자격 증명을 등록할 때 선호하는 방법을 선택합니다(예 AWS IAM 역할):
   • 테라폼 모듈 사용
   • CloudFormation 템플릿 사용
   • 수동으로 만들기 

여기에서 새 교차 계정 역할 자격 증명을 만드는 데 선호하는 방법을 선택할 수 있습니다. Terraform 모듈을 사용한 자동 생성( Terraform 선택), CloudFormation 스택을 사용한 자동 생성( CloudFormation 선택) 또는 IAM 역할 및 정책을 사용한 수동 생성( 수동 생성 선택) 중 하나를 선택할 수 있습니다. 선택한 방법에 대해 1단계를 완료한 다음 2단계로 건너뛰어 Lucid에 교차 계정 역할을 추가합니다.

방법 1: 자동화된 개인 AWS 계정 역할 생성을 위해 Terraform 사용

먼저, Lucid의 가져오기 역할을 배포하려는 AWS 계정에서 IAM 역할을 생성하고 관리할 수 있는 충분한 권한이 있는 AWS 자격 증명으로 Terraform 환경이 구성되어 있는지 확인합니다. 자세한 내용은 Terraform의 시작하기 - AWS 설명서를 참조하세요.

다음으로 Lucid의 설정 프로세스 1단계를 진행하여 Lucid의 Terraform 모듈을 구성하고 배포합니다.

1. Lucid 내에서 계정 수준 가져오기를 위한 Terraform 옵션을 선택한 후,Terraform 레지스트리에서 보기를 클릭하여 AWS 권한 구성을 위한 모듈에 액세스하거나 여기에서 Terriform 레지스트리의 가져오기 역할 모듈에 직접 액세스하세요. 
2. 역할 가져오기 모듈의 Readme 페이지에서 '사용법' 아래의 '비조직 레벨 가져오기' 섹션을 찾아 따라가서 Terraform 구성 코드에 모듈을 추가합니다.
   1. 이 서브모듈에는 external_id 값이 필요합니다. 루시드 탭으로 돌아가서 루시드의 1단계 설정에서 제공된 외부 ID 옆에 있는 복사를 클릭하여 이 외부 ID의 값을 가져옵니다.
3. 테라폼 코드를 배포하고 루시드 모듈에 포함된 리소스가 생성될 때까지 기다립니다.
4. 역할을 배포한 AWS 계정의 AWS IAM 콘솔로 이동하여 lucid-import-account-role (또는 사용자 지정 역할_이름)을 찾은 다음 요약 페이지에서 해당 ARN을 복사합니다. 또는 테라폼 구성에서 이 ARN을 출력합니다.

방법 2: CloudFormation을 사용하여 자동화된 개인 AWS 계정 역할 생성하기

CloudFormation으로 새 역할을 자동으로 만들려면 다음 단계를 따르세요:

1. 가져오려는 계정을 사용하여 AWS 콘솔에 로그인합니다.
2. Lucid에서 CloudFormation 시작을 클릭하여 새 브라우저 탭을 엽니다. 나중에 다시 돌아올 수 있도록 Lucid 브라우저 탭을 열어 두세요.
3. AWS 콘솔에서 스택 생성을 클릭합니다.
4. 스택이 생성된 후 AWS 콘솔에서 리소스 탭으로 이동하여 "LucidscaleImportRole" (또는 사용자 지정 CrossAccountRole 이름)을 선택합니다. ARN 역할을 복사합니다.
5. 데이터 허브에 교차 계정 역할을 등록하는 단계로 건너뛰세요.

방법 3: AWS IAM 콘솔을 사용하여 수동으로 개인 AWS 계정 역할 생성하기

AWS IAM 콘솔에서 새 역할을 수동으로 생성하려면 다음 단계를 따르세요:

1. '1단계: 역할 만들기 시작하기'에서 역할 만들기를 선택합니다.

1. AWS 계정으로 이동합니다. 나중에 다시 돌아올 수 있도록 Lucid 브라우저 탭을 열어 둡니다.
2. Lucidscale은 Lucidscale 계정과 연결된 고유한 외부 ID를 자동으로 생성합니다. 이는 AWS 보안 권장 사항과 일치합니다.

2. 읽기 전용 액세스 정책을 추가합니다:
   1. AWS에서 다음을 클릭하여 권한 단계로 이동합니다.
   2. '권한 추가' 페이지에서 ReadOnlyAccess 정책을 검색하여 선택합니다. 이 설정은 Lucid에서 기본적으로 활성화되어 있으며, 생성한 Lucidscale 문서에 모든 리소스가 올바르게 표시되는 데 필요합니다.
3. 사용자 지정 권한을 추가합니다:
   1. 루시드 탭으로 다시 이동하여 "3. 사용자 지정 권한 추가" 를 클릭하고 권한 복사를 클릭하여 JSON 텍스트 파일을 복사합니다.
   2. 새 탭 또는 창을 열고 AWS IAM 콘솔로 이동한 다음 왼쪽 탐색 창으로 이동하여 정책을 선택합니다.
   3. 정책 페이지에서 정책 만들기를 클릭합니다.
   4. '정책 만들기' 페이지에서 JSON 탭으로 전환하고 복사한 파일을 AWS 콘솔의 JSON 탭에 붙여넣습니다.
   5. Next: Tags(다음: 태그)를 클릭합니다.
   6. 원하는 경우 정책에 태그를 추가하고 Next: Review(다음: 검토)를 클릭합니다.
   7. 정책에 이름과 설명을 지정합니다.
   8. 정책 만들기를 클릭합니다.
4. 사용자 지정 정책을 역할에 첨부합니다:
   1. 새 교차 계정 역할을 생성하던 이전 AWS 탭에서 새로 고침 버튼을 클릭하고 방금 생성한 정책의 이름을 검색합니다.
   2. 정책을 선택하고 다음을 클릭합니다.
   3. 역할에 이름과 설명을 입력합니다. 원하는 경우 역할에 태그를 추가합니다.
   4. 역할 만들기를 클릭합니다.

2단계: Lucid에 교차 계정 역할 추가하기

선택한 방법(Terraform, CloudFormation 또는 수동 생성)으로 역할 ARN을 얻었으면 Lucid의 AWS 가져오기 설정으로 돌아가 2단계를 완료합니다:

1. 복사한 역할 ARN을 Lucid의 AWS 가져오기 설정 2단계에서 제공된 양식의 '역할 ARN' 필드에 붙여넣습니다.
   • 원하는 경우 '자격증명 표시 이름'에 미리 채워진 값을 업데이트합니다. 이 표시 이름은 향후 사용 및 관리를 위해 자격 증명을 찾을 수 있도록 '데이터 허브 > AWS > 자격 증명' 섹션에서 사용되며, 선택한 AWS 계정의 가져오기를 조정하는 데 사용되는 교차 계정 역할을 나타냅니다.
2. 다음을 클릭하여 Lucid에 교차 계정 역할을 등록한 다음 자격 증명 역할을 선택하고 다음을 다시 클릭합니다.
3. 데이터 가져오기 및 문서 생성을 위한 AWS 계정을 선택합니다.

일회용 승인

일회용 인증은 수명이 짧은 IAM 사용자 액세스 키(액세스 키 ID + 비밀)를 사용하여 AWS 계정을 가져옵니다. Lucid는 스캔이 완료된 후에는 이러한 자격 증명을 저장하지 않으므로 이후 업데이트를 위해서는 자격 증명을 다시 입력해야 합니다. 이 플로우는 일회성 가져오기 또는 교차 계정 역할을 배포할 수 없는 경우에 사용합니다.

전제 조건

• IAM 정책, 사용자 및 액세스 키를 생성할 수 있는 권한이 있는 AWS 계정입니다.
• 클라우드 액셀러레이터 액세스 권한과 데이터 허브에서 가져올 수 있는 권한이 있는 Lucid 사용자입니다.
• 데이터 허브에서 Lucid가 제공하는 사용자 지정 정책 JSON에 액세스합니다.

임시 STS 자격 증명(선택 사항)
AWS 임시 자격 증명에는 세 가지 필드가 포함됩니다: AccessKeyId, SecretAccessKey, SessionToken입니다. Lucid는 세션 토큰을 액세스 키 및 비밀번호와 함께 제공하면 일회용 가져오기를 위해 이러한 임시 자격 증명을 수락합니다. 임시 자격 증명을 생성하려면 aws sts assume-role 또는 SSO 플로우를 사용할 수 있습니다.

    aws sts assume-role --role-arn
 arn:aws:iam::123456789012:role/YourRole --role-session-name
 lucid-session
    

      aws configure sso
 ### 프롬프트를 따릅니다: SSO 시작 URL, 지역을 입력한 다음 역할 및 계정을 선택합니다.
    

AWS IAM 사용자 생성 및 등록(단계별)

1단계: 루시드에서 시작

1. Lucid 홈 페이지를 엽니다.
2. 왼쪽 하단 탐색에서 데이터 허브를 클릭합니다.
3. AWS 데이터 가져오기를 선택합니다.
4. 일회용 인증을 선택합니다.

2단계: AWS에서 사용자 지정 정책 생성

1. Lucid 데이터 허브 등록 흐름에서 1단계에서 제공된 사용자 지정 JSON 정책을 다운로드하거나 복사합니다.
2. AWS 콘솔에서 IAM → 정책 → 정책 생성을 엽니다.
3. JSON 탭으로 전환하여 Lucid에서 제공한 정책 JSON을 붙여넣습니다.
4. (선택 사항) 필요한 권한 범위를 이해한 경우 정책을 사용자 지정합니다.
5. 다음을 클릭하고 정책에 의미 있는 이름을 지정한 다음(예: "lucid_custom_iam_user_policy"), 설명과 태그를 추가한 다음 정책 만들기를 클릭합니다.

3단계: IAM 사용자 만들기 및 권한 연결하기

1. IAM → 사용자에서 사용자 만들기를 클릭합니다.
2. 사용자 아이디를 입력하고 프로그래매틱 액세스를 활성화합니다.
3. 권한 단계에서 정책 직접 첨부를 선택합니다.
4. 더 광범위한 읽기 액세스가 허용되는 경우 ReadOnlyAccess (AWS 관리형)를 첨부합니다.
5. 또한 2단계에서 만든 사용자 지정 정책을 첨부합니다.
6. 사용자 생성을 완료하고 해당 사용자의 보안 자격증명 탭으로 이동합니다.

4단계: 액세스 키 만들기

1. 보안 자격증명 탭의 액세스 키 아래에서 액세스 키 만들기를 클릭합니다.
2. 사용 사례의 경우 메시지가 표시되면 타사 서비스를 선택합니다.
3. 액세스 키 ID와 비밀 액세스 키를 복사하거나 CSV를 다운로드합니다. 비밀번호는 다른 민감한 자격 증명과 마찬가지로 취급하세요.

5단계: Lucid에 자격 증명 등록 및 가져오기

1. Lucid 데이터 허브로 돌아가서 CSV를 업로드하거나 자격 증명을 수동으로 입력하도록 선택합니다.
   • (선택 사항) 임시 STS 자격 증명을 사용하는 경우, 세션 토큰을 액세스 키 ID 및 비밀 액세스 키와 함께 제공합니다.
2. 다음을 클릭합니다.
3. 가져오려는 지역과 리소스 유형을 구성하고, 무겁거나 지원되지 않는 리소스 유형을 선택 해제하여 가져오기 표면을 좁힙니다.
4. 계정 가져오기의 이름을 입력하고 마침을 클릭합니다.

파일 업로드

JSON 파일 업로드를 통해 AWS 인프라를 가져오려면 다음 단계를 따르세요:

1. Lucid 홈페이지의 왼쪽 탐색 메뉴에서 데이터 허브를 클릭합니다.
2. 오른쪽 상단에서 AWS 데이터 가져오기를 선택합니다.
3. 파일 업로드를 선택합니다.
4. Lucid 데이터 허브 탭에서 Lucid가 제공하는 프로필 권한을 다운로드하거나 복사합니다.
5. 이러한 권한이 포함된 명명된 프로필로 AWS CLI를 구성하세요.
6. Lucid 데이터 허브 탭에서 Python 스크립트를 다운로드하거나 복사합니다.
7. AWS CLI에서 Python 스크립트를 실행합니다. aws.json 파일이 생성됩니다.
8. Lucid 데이터 허브 탭에서 파일 선택을 선택하고 aws.json 파일을 업로드합니다.
   • 한 번에 최대 50개의 계정을 가져올 수 있습니다. 업로드하는 파일에 50개 이상의 계정이 있는 경우 파일을 여러 개의 JSON 파일로 나누어 가져오세요.
9. 다음을 클릭합니다. 
10. 가져오려는 각 계정의 별칭 이름을 입력합니다.
11. AWS 계정 가져오기를 선택합니다.

AWS 파일 업로드 스크립트 설명
Lucid에서 제공하는 가져오기 스크립트인 awscliscript.py입니다, 를 사용하려면 CLI에서 명명된 프로필을 구성해야 합니다. 네임드 프로필은 AWS CLI 명령에 적용할 수 있는 설정 및 자격 증명의 모음입니다. AWS 프로필 생성에 대한 자세한 지침은 AWS CLI의 구성 및 자격 증명 파일 설정에 대한 AWS 설명서를 참조하세요.

aws config를 실행하면 입력한 자격 증명이 기본이라는 이름의 프로필에 저장됩니다. 계정이 여러 개 있는 경우 해당 계정에 대한 네임드 프로필을 만드는 것이 좋습니다. 예를 들어, 두 개의 계정, 즉 preprod와 prod가 있고 자격 증명을 두 개의 개별 프로필로 저장하는 경우, aws ec2 describe-instances -- profile preprod를 수행하여 preprod에 있는 ec2 인스턴스를 쉽게 설명할 수 있습니다. 그런 다음 프로드에서 인스턴스를 설명하기 위해 프로필 인수를 aws ec2 describe-instances -- profile prod로 변경할 수 있습니다.

요구 사항

• Python: 버전 3.0~3.9. 설치 중에 "경로에 파이썬 추가" 가 선택되었는지 확인합니다.
• AWS CLI: 설치 및 구성.
• `보토코어`: 버전 1.27.77. pip3 설치 botocore==1.27.77을 사용하여 설치합니다.

매개변수

• -p, --profile [필수]
  • 사용할 AWS 프로필의 이름을 지정합니다. 이 옵션을 반복하여 여러 프로필에서 가져올 수 있습니다.
• -r, --regions [필수]
  • 리소스를 가져올 하나 이상의 AWS 리전을 지정합니다. 이 옵션은 앞의 --profile 옵션과 일치해야 합니다.
• -c, --count
  • 리소스 개수가 포함된 JSON 파일을 출력합니다. 이 플래그를 사용하면 생성된 JSON 파일은 Lucidscale 가져오기에 적합하지 않습니다.
• -a, --anon
  • 모든 문자열을 해싱하여 출력 데이터를 익명화합니다.
• -o, --output
  • 생성된 출력 JSON의 파일명을 지정합니다.

예제
python3 awscliscript.py --profile preprod --regions us-east-1 us-west-1

위의 명령은 스크립트를 실행하여 us-east-1 및 us-west-1 지역에 있는 사전 프로비저닝 프로필의 리소스에 대한 데이터를 생성합니다.

Data Hub를 사용하여 AWS 인프라 데이터 및 자격 증명 관리

계정 가져오기 및 문서 만들기

AWS 계정을 가져와서 Lucid 문서를 만들려면 다음 단계를 따르세요:

1. 데이터 허브로 가져올 계정을 선택합니다.
2. 다음을 클릭합니다.
3. 이 섹션 말미에 있는 교차 계정 역할을 사용한 계정 구성에 자세히 설명된 지침에 따라 가져오려는 지역을 지정할 수 있습니다.
4. AWS 계정 가져오기를 클릭합니다.

가져오기가 완료된 후 AWS 계정을 시각화하려면 다음과 같이 하세요:

1. 데이터 허브로 돌아갑니다.
2. 새 문서 만들기를 선택합니다.
3. 가져온 계정을 선택하고 계정 선택을 클릭합니다.
4. 세부 정보를 검토하고 필터를 추가하여 불필요한 리소스를 제외할 수 있습니다.
5. AWS 문서 생성을 선택합니다.

루시드 스케일 문서는 루시드 계정의 백그라운드에서 생성됩니다. 페이지 오른쪽 하단에 표시되는 상태 모달을 통해 생성되면 알려드립니다.

새 문서를 만든 후 바로 표시되는 상태 모달에서 문서를 열 수 있습니다. 문서(및 이전에 생성한 문서)는 생성 후 Lucid 홈 페이지의 "문서" 섹션에 저장되며 액세스할 수 있습니다.

가져온 계정에 액세스

AWS 계정을 가져오면 "AWS에서 지정한 계정 이름으로 데이터 소스로 나열됩니다: 가져온 계정" 섹션에 표시됩니다. 이 섹션에서 + 새 계정을클릭하여 새 계정을 데이터 허브로 가져올 수도 있습니다.

이 섹션에 나열된 계정은 새 Lucidscale 문서를 만드는 데 사용할 수 있는 데이터 소스입니다. 데이터 소스("계정")에는 Lucidscale 문서를 만드는 데 사용되는 AWS 계정 메타데이터가 포함되어 있습니다. '마지막 업데이트' 필드에는 연결된 AWS 계정의 업데이트를 고려하여 데이터 소스를 마지막으로 새로 고친 시점이 표시됩니다.

동일한 AWS 계정을 두 번 이상 가져올 수 있습니다. 가져올 때마다 해당 계정의 이전에 가져온 모든 버전과 함께 존재하는 독립적인 데이터 소스가 만들어집니다. 동일한 계정을 다시 가져오기 전에 기존 데이터 소스를 삭제할 필요가 없으며, 둘 다 데이터 허브에 공존하며 독립적으로 문서를 만드는 데 사용할 수 있습니다.

목록에서 계정을 선택하면 오른쪽에서 각 계정의 클라우드 인벤토리를 볼 수 있습니다. 이 인벤토리를 사용하면 문서를 만들기 전에 가져온 각 유형의 리소스의 전체 개수를 확인할 수 있습니다. 리소스 목록과 카운트가 포함된 CSV를 다운로드하려면 CSV 다운로드를 클릭하여 데이터 허브에서 직접 다운로드할 수도 있습니다.

인벤토리에는 교차 계정 역할에 연결된 권한 정책으로 액세스할 수 있는 모든 리소스가 나열됩니다. CloudFormation Stack 템플릿에서 "자동으로 새 역할 만들기"를 사용하도록 선택하면 계정의 모든 리소스 중 AWS의 ReadOnlyAccess 정책에 의해 액세스할 수 있는 리소스가 인벤토리에서 렌더링됩니다. 사용자 지정 정책을 사용하여 수동으로 역할을 만드는 경우 첨부된 권한 정책에 지정된 리소스 유형만 인벤토리에 렌더링됩니다. 

계정에 렌더링된 점3개 메뉴를 클릭하면 6가지 옵션이 표시됩니다: 새 문서 만들기, AWS에서 계정 업데이트, 업데이트 예약, 리소스 편집, 계정 이름 바꾸기, 계정 삭제입니다.

새 문서 만들기를 클릭하면 계정과 연결된 AWS 인프라가 새 문서의 작업 영역에 다이어그램으로 렌더링되기 시작합니다. 문서는 Lucid 홈 페이지의 백그라운드에서 생성되며 페이지 오른쪽 하단에 표시되는 상태 모달을 통해 렌더링이 완료되면 알려드립니다.

AWS에서 계정 업데이트 및 업데이트 예약을 사용하면 데이터 허브로 가져온 AWS 계정 데이터를 수동 또는 자동으로 업데이트하여 연결된 AWS 계정의 모든 변경 사항을 반영할 수 있습니다. 업데이트 후 계정에서 생성되는 새 문서에는 연결된 AWS 계정의 변경 사항이 반영됩니다.

리소스 편집 을 사용하면 각 데이터 세트에 포함된 리소스를 편집할 수 있습니다. 이 옵션을 선택하면 기존 데이터 집합에서 리소스를 추가하거나 제거할 수 있는 모달을 열 수 있습니다. 선택을 완료했으면 계정 저장 및 업데이트를 클릭합니다. 이렇게 하면 데이터 집합이 새로 고쳐지고 해당 데이터 집합을 참조하는 문서가 최신 정보로 업데이트됩니다.

계정 이름 바꾸기를 사용하면 선택한 데이터 세트의 이름을 변경할 수 있습니다.

계정 삭제는 가져온 계정을 Lucid 데이터 허브에서 제거하며, 해당 계정에서 만든 모든 문서는 AWS에서 데이터를 업데이트할 수 있는 기능을 잃게 됩니다. 계정을 다시 가져오기 위해 계정을 삭제할 필요는 없으며, 언제든지 + 새 계정에서 동일한 계정을 새로 가져올 수 있습니다.

저장된 자격 증명 공유 및 삭제

"Data Hub > AWS"의 저장된자격 증명 섹션 에는 AWS 계정을 Data Hub로 가져오는 데 사용할 수 있는 교차 계정 역할이 나와있습니다. 이 섹션에서 [+ New Cross-account role ] 을 클릭하여 AWS 계정을 가져오는 데 사용할 수 있는 새 자격 증명 세트를 추가합니다.  

생성한 교차 계정 역할을 다른 사용자와 공유할 수도 있습니다. 계정에 렌더링된 점 3개 메뉴를 클릭하면 자격 증명공유 및 자격 증명 삭제의 두 가지 옵션이 표시됩니다.

자격증명 공유를 클릭하면 이메일 주소를 지정하여 Lucid 계정의 다른 사용자와 교차 계정 역할을 공유할 수 있는 모달이 열립니다. 이 사용자에게 자격 증명에 대한 액세스 권한을 부여하면 연결된 AWS 계정을 데이터 허브로 가져와서 Lucidscale 문서를 만들 수 있습니다. 다른 사용자와 자격 증명을 공유한 후에는 동일한 모달에서 이메일 주소 옆의 X를 클릭하여 자격 증명에 대한 액세스 권한을 취소할수 있습니다.

자격 증명을 삭제하면 데이터허브에서 교차 계정 역할이 제거됩니다 . 자격 증명을 삭제하면 이전에 해당 자격 증명을 사용하여 가져온 모든 계정과해당 계정에서 만든 문서는 AWS에서 데이터를 업데이트할 수 없게 됩니다.

보안 정보

교차 계정 역할

교차 계정 역할은 계정에 대한 제3자 액세스 권한을 부여하기 위해 AWS에서 선호하는 방법입니다. 이 방법을 사용하면 Lucidscale에서 다이어그램을 쉽게 새로 고칠 수 있는 자격 증명을 안전하게 저장할 수 있습니다. 자세한 내용은 다음 자료를 참조하십시오.

• AWS 리소스에 대한 액세스 권한을 제3자에게 부여할 때 외부 ID를 사용하는 방법
• 제3자가 소유한 AWS 계정에 대한 액세스 권한 제공

적용된 외부 ID

Lucid는 AWS에서 제공하는 모범 보안 사례에 따라 외부 ID가 Lucid의 데이터베이스에서 고유하게 유지되도록 합니다. 따라서 Lucid는 사용자에게 고유한 외부 ID를 제공하고 사용자가 자신의 외부 ID를 입력하는 것을 허용하지 않습니다.

IAM 사용자를 위한 안전하고 제한된 액세스

생성한 IAM 사용자에 대해 제한된 "describe" 수준의 권한을 요청합니다. 이러한 권한으로 생성된 IAM 사용자는 AWS 인프라의 설정을 변경하거나 데이터베이스의 데이터를 읽을 수 없습니다. IAM 사용자는 AWS 인프라의 구조적 메타데이터를 읽는 데만 사용됩니다. 

CLI 스크립트 대안

AWS 인프라 검사 중에 수행하는 작업을 검토하고 제어하려는 경우 IAM 사용자를 만드는 대신 제공된 Python 스크립트를 다운로드하여 사용할 수 있습니다. 이 시나리오에서는 IAM 자격 증명이 Lucidscale에 전달되지 않으며, 메타데이터를 Lucidscale에 업로드하기 전에 사용자 환경에서 실행될 코드와 결과 메타데이터를 모두 검토할 수 있습니다. 가져온 JSON은 Lucid 데이터 허브에서 액세스하여 Lucidscale 문서를 만드는 데 사용할 수 있습니다. 

문서(문서)의 안전한 보관

Lucidscale은 AWS에서 가져온 메타데이터와 생성된 문서를 기밀 데이터에 대한 업계 표준 보호 기능을 사용해 저장합니다. 가져온 AWS 데이터는 루시드스케일 문서의 일부로 포함되어 있으므로 사용자는 루시드의 표준 공유 권한을 사용하여 데이터에 대한 액세스를 제어할 수 있습니다. 문서를 보호하는 방법에 대한 자세한 내용은 콘텐츠 보안 페이지를 참조하거나 영업팀에 문의하세요.

액세스 키를 저장할 수 없음

Lucidscale은 AWS 인프라의 초기 스캔을 수행한 후 AWS IAM 자격 증명을 저장하지 않습니다. 귀하의 자격 증명은 표준 암호화 방법을 사용하여 당사 서버로 전송됩니다. 클라이언트는 최대 AES-256의 암호화 프로토콜을 협상할 수 있습니다. 사용자 환경에 대한 "설명 및 나열" 액세스 권한만 제공하는 교차 계정 역할을 저장할 수 있습니다.

FAQ

Lucidscale은 어떻게 AWS 환경에 액세스할 수 있나요? Lucidscale의 액세스 수준은 어느 정도인가요?

Lucidscale과 AWS에서 권장하는 방법은 교차 계정 역할을 사용하는 것입니다. 우리는 리소스 인벤토리를 얻을 수 있도록 환경에 대한 "설명 및 나열" 액세스 권한을 부여하는 정책을 제공합니다. Lucid에 저장된 자격 증명은 Lucid 계정에서만 액세스할 수 있습니다. 이 가져오기 방법을 사용하면 한 번의 작업으로 계정의 데이터를 업데이트할 수 있습니다. AWS에서 제공하는 권한 정책을 사용하면 교차 계정 역할이 AWS에서 요청할 수 있는 액세스 권한을 정확히 결정할 수 있습니다. 

IAM 사용자 방법을 사용하는 경우 자격 증명은 전혀 저장되지 않고 한 번 사용된 후 삭제됩니다. 일반적으로 사용자는 이 가져오기 방법을 AWS 임시 자격 증명과 함께 사용하는데, 이 방법은 추가 데이터 업데이트를 허용하지 않기 때문입니다.

JSON 파일을 생성하는 명령줄 인터페이스(CLI)를 통해 실행할 수 있는 Python 스크립트를 사용하는 메서드도 있습니다. JSON 파일을 생성한 후 사용자는 가져오기 전에 콘텐츠를 검토하고 원하는 경우 데이터를 제거할 수 있습니다. 그러면 사용자는 이 JSON 파일을 Lucidscale에 업로드하고 Lucidscale에 자격 증명 정보를 채우지 않을 수 있습니다.

Lucidscale 상용과 Lucidscale for Gov는 교차 계정 역할을 통해 가져올 때 어떻게 상호 작용하나요?

제품의 기능은 각각 동일하지만 AWS는 이 두 환경에 대해 보안을 다르게 설정합니다. AWS IAM 역할 및 리소스 기반 정책은 단일 파티션 내에서만 계정 간에 액세스 권한을 위임합니다. Lucid GovSuite는 별도의 AWS 파티션에 있으므로 GovCloud 이외의 AWS 계정에서 교차 계정 역할을 통해 AWS 데이터를 가져올 수 없습니다. 권장되는 가져오기 방법인 교차 계정 역할은 동일한 유형의 계정에만 액세스를 허용하므로, Lucid 상용 환경에서는 교차 계정 역할을 통해 상용 AWS 클라우드 계정에 액세스하고 가져올 수 있고, Lucid GovSuite 환경에서는 교차 계정 역할을 통해 AWS GovCloud 계정에 액세스하고 가져올 수 있습니다.

IAM 사용자 또는 CLI 스크립트에서 생성된 JSON을 통해 상용 AWS 계정을 Lucidscale for Gov로 가져올 수 있는 기능을 지원합니다.

Lucidscale은 어떤 API에 액세스하나요?

주로 설명 및 나열 API 엔드포인트를 사용합니다.

가져올 메타데이터(데이터 패널에 표시된 필드 및 값)를 선택할 수 있습니까? 그렇지 않은 경우 어떤 메타데이터를 가져오나요?

아니요, 현재는 가져올 메타데이터를 선택할 수 없습니다. 그러나 우리는 앞으로 그렇게 할 수 있는 능력을 만들려고 합니다. 설명 API 호출의 모든 메타데이터를 가져옵니다.

이 문서에 관한 피드백 공유