Amazon Elastic Compute Cloud (EC2)

Amazon Elastic Compute Cloud (EC2) 정보

Amazon EC2 커넥터는 AWS 계정에서 인스턴스 인벤토리, 보안 그룹, VPC 토폴로지, AMI 메타데이터 및 관련 컴퓨팅 세부 정보를 수집하여 Iru Compliance의 통제에 첨부할 수 있도록 합니다. Iru는 **sts:AssumeRole**을 사용하여 사용자 계정에 직접 생성한 IAM 역할로 AWS API를 호출합니다. 이 역할은 Iru의 AWS principal을 신뢰하며 커넥터 마법사에 표시되는 external ID를 강제합니다. 액세스는 읽기 전용이므로 Iru는 이 소스를 통해 인스턴스를 시작, 중지 또는 종료하지 않습니다.

작동 방식

Iru는 Iru의 AWS 계정에서 실행됩니다. 사용자 계정에 다음과 같은 고객 관리형 IAM 역할을 생성합니다.

**sts:ExternalId**가 Iru에 표시된 값과 일치할 때만 Iru의 역할 ARN(마법사에 표시됨)을 신뢰합니다.
일반적으로 **AmazonEC2ReadOnlyAccess**를 통해, 또는 보안 팀이 최소 권한을 선호하는 경우 더 엄격한 인라인 정책을 통해 읽기 전용 EC2 및 관련 호출을 허용합니다.

역할 ARN을 커넥터에 다시 복사합니다. 그러면 Iru가 해당 역할을 위임받아 리전별 EC2 데이터를 읽습니다(Iru는 활성화된 리전을 순회합니다).

세부 정보	값
카테고리	Developer tools
인증	교차 계정 IAM 역할(`sts:AssumeRole` + external ID)

참고 자료: AmazonEC2ReadOnlyAccess, EC2 IAM.

사전 요구 사항

역할을 생성하고 정책을 연결할 수 있는 IAM 권한(예: IAMFullAccess 또는 범위가 더 좁은 관리자 역할).
사용자 테넌트의 커넥터 화면에 표시되는 Iru principal ARN 및 external ID(현재 Iru에 표시되는 값과 일치하지 않는 한 아래 예시의 샘플 값은 사용하지 마세요).

Amazon EC2를 Iru에 연결

Iru Compliance
AWS

여기서 시작하세요. 소스 마법사를 열고 신뢰 정책을 검토하세요(external ID도 기록해 두세요). AWS에서 역할을 생성할 준비가 되면 AWS 탭으로 전환하여 IAM 역할 생성을 따르세요. Role ARN을 얻은 후 Iru Compliance 탭으로 돌아가 아래의 Iru에 역할 ARN 제출을 완료하세요.

Iru에서 신뢰 정책 가져오기

소스 열기

Iru Compliance의 왼쪽 탐색 모음에서 컴플라이언스를 펼치고 소스를 선택하세요.

AWS Elastic Compute Cloud (EC2) 켜기

**AWS Elastic Compute Cloud (EC2)**를 찾으세요(범주 또는 이름 또는 설명으로 검색 사용). 해당 카드에서 토글을 켜세요. Iru가 외부 서비스에 대한 액세스를 요청하고 있습니다 마법사 탭은 열어 두세요.

신뢰 정책 JSON 검토

마법사는 역할 ARN을 요청하고 IAM 역할이 사용해야 하는 신뢰 정책(Principal 및 sts:ExternalId)을 표시합니다. 아래는 구조의 예시입니다. 계정, principal ARN 및 external ID가 정확히 일치하도록 마법사에 표시된 실제 JSON을 복사하세요.

copy=false

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::753695775620:role/IruConnect"
      },
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "YOUR_EXTERNAL_ID"
        }
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

역할을 생성하기 위해 AWS로 전환

참고용으로 Iru 마법사 탭을 열어 둔 채 AWS 탭으로 전환하여 IAM 역할 생성을 따르세요.

Iru에 역할 ARN 제출

새 역할의 Role ARN을 확보할 수 있도록 먼저 AWS 탭(IAM 역할 생성까지)을 완료하세요.

IAM Role ARN 붙여넣기

Iru 마법사 탭으로 돌아가세요. Role ARN 필드에 Role ARN을 붙여넣으세요.

연결 완료

Submit Role을 선택하세요. 연결이 성공하면 마법사에 연결 구성됨이 표시됩니다.

소스가 활성인지 확인

Iru가 외부 서비스에 대한 액세스를 요청하고 있습니다 브라우저 탭을 닫은 다음 컴플라이언스 → 소스로 돌아가 EC2 카드가 활성 상태인지 확인하세요.

이 역할을 생성하기 전에 Iru Compliance 탭에서 Iru에서 신뢰 정책 가져오기를 완료하세요. Trusted entity를 구성할 때 실제 마법사의 external ID와 신뢰 정책을 사용하세요.

IAM 역할 생성

역할 생성 워크플로 시작

EC2 워크로드를 소유한 AWS 계정에 로그인하세요. IAM → Roles → Create role을 여세요.

신뢰할 수 있는 엔터티 구성

AWS account → Another AWS account를 선택하세요. Iru의 AWS 계정 ID(마법사에 다른 값이 표시되지 않는 한 753695775620)를 입력하세요. Require external ID를 활성화하고 Iru 마법사의 external ID를 붙여넣으세요.

EC2 읽기 권한 연결

권한에서 **AmazonEC2ReadOnlyAccess**를 연결하세요.보안 팀이 관리형 정책을 사용하지 않는 경우 대신 아래 JSON으로 인라인 정책을 연결하세요. 이 JSON은 최소 권한 대안의 예시이므로 팀의 검토 후 작업을 강화하거나 확장하세요.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:Describe*",
        "ec2:Get*",
        "elasticloadbalancing:Describe*",
        "cloudwatch:ListMetrics",
        "cloudwatch:GetMetricStatistics",
        "cloudwatch:Describe*",
        "autoscaling:Describe*"
      ],
      "Resource": "*"
    }
  ]
}

역할 이름 지정 및 ARN 복사

마법사를 완료하고 역할 이름을 지정하세요(예: IruEC2ReadOnly). 새 역할을 열고 요약 페이지 상단에서 Role ARN을 복사하세요. Iru Compliance 탭으로 다시 전환하여 Iru에 역할 ARN 제출을 완료하세요.

신뢰 정책 확인

역할의 Trust relationships 탭을 열고 JSON이 Iru에 표시된 내용과 일치하는지 확인하세요. external ID의 오타는 **AssumeRole**에서 **AccessDenied**가 발생하는 가장 흔한 원인입니다.

Iru Compliance 탭에서 계속 진행하여 Role ARN을 붙여넣고 마법사를 완료하세요(Iru에 역할 ARN 제출).

문제 해결

소스를 켰을 때 아무것도 열리지 않습니다

Iru 사이트에 대한 팝업 차단 설정을 확인하고 다시 시도하세요.

AssumeRole에서 AccessDenied 발생

신뢰 정책의 external ID와 principal이 Iru 마법사와 한 글자도 다르지 않게 일치하는지 확인하세요.

인벤토리가 비어 있습니다

역할이 인스턴스와 같은 계정에 있는지, 그리고 예상한 리전에 인스턴스가 있는지 확인하세요.

보안 그룹 / VPC 데이터 누락

ec2:Describe* 권한이 포함되어 있는지 확인하세요(관리형 정책에는 이미 포함되어 있음). 사용자 지정 정책에는 해당하는 Describe* 작업이 필요합니다.

고려 사항

EC2 API는 리전별로 작동하므로 첫 동기화에 시간이 더 걸릴 수 있습니다…

EC2 API는 리전별로 작동하므로 여러 리전에 걸친 첫 동기화에 시간이 더 걸릴 수 있습니다.

AmazonEC2ReadOnlyAccess는 관련 ELB 및…도 포함합니다

AmazonEC2ReadOnlyAccess는 보다 완전한 파악을 위해 관련 ELB 및 Auto Scaling 읽기도 포함합니다.

이 통합은 인스턴스를 변경하지 않습니다…

이 통합은 인스턴스를 절대 변경하지 않으며, **조회(describe)**만 합니다.

소스 관리

모든 Compliance 소스를 찾아보고 관리합니다.

컴플라이언스 시작하기

프레임워크, 작업 및 아티팩트입니다.

Iru 개요

Endpoint, Compliance 및 Identity가 함께 작동하는 방식입니다.

아티팩트 관리

소스 및 작업의 증거를 업로드, 검토 및 정리합니다.

시작하기

작업

프레임워크

아티팩트

소스

정책

트러스트 센터

워크플로

Amazon Elastic Compute Cloud (EC2)