[AWS][SAA][EXAMTOPICS] Question 274

Monthly reports are stored in an Amazon S3 bucket by a company's financial application. The vice president of finance has directed that all access to these reports be documented, as well as any adjustments to the log files.

What activities can a solutions architect take to ensure compliance with these requirements?

• A. Use S3 server access logging on the bucket that houses the reports with the read and write data events and log file validation options enabled.
• B. Use S3 server access logging on the bucket that houses the reports with the read and write management events and log file validation options enabled.
• C. Use AWS CloudTrail to create a new trail. Configure the trail to log read and write data events on the S3 bucket that houses the reports. Log these events to a new bucket, and enable log file validation.
• D. Use AWS CloudTrail to create a new trail. Configure the trail to log read and write management events on the S3 bucket that houses the reports. Log these events to a new bucket, and enable log file validation.

 

한글 번역

월별 보고서는 회사의 재무 애플리케이션에 의해 Amazon S3 버킷에 저장됩니다. 재무 담당 부사장은 이러한 보고서에 대한 모든 액세스와 로그 파일에 대한 조정을 문서화하도록 지시했습니다.

솔루션 설계자는 이러한 요구 사항을 준수하기 위해 어떤 활동을 수행할 수 있습니까?

• A. 읽기 및 쓰기 데이터 이벤트와 로그 파일 유효성 검사 옵션이 활성화된 보고서가 있는 버킷에서 S3 서버 액세스 로깅을 사용합니다.
• B. 읽기 및 쓰기 관리 이벤트와 로그 파일 유효성 검사 옵션이 활성화된 보고서가 있는 버킷에서 S3 서버 액세스 로깅을 사용합니다.
• C. AWS CloudTrail을 사용하여 새 추적을 생성합니다. 보고서가 있는 S3 버킷에서 데이터 읽기 및 쓰기 이벤트를 기록하도록 추적을 구성합니다. 이러한 이벤트를 새 버킷에 기록하고 로그 파일 유효성 검사를 활성화합니다.
• D. AWS CloudTrail을 사용하여 새 추적을 생성합니다. 보고서가 있는 S3 버킷에서 읽기 및 쓰기 관리 이벤트를 기록하도록 추적을 구성합니다. 이러한 이벤트를 새 버킷에 기록하고 로그 파일 유효성 검사를 활성화합니다.

 

 

 

 

정답

• C. Use AWS CloudTrail to create a new trail. Configure the trail to log read and write data events on the S3 bucket that houses the reports. Log these events to a new bucket, and enable log file validation.

 

해설

Amazon S3 액세스 로그를 사용하여 요청 식별

Amazon S3 액세스 로그를 사용하여 Amazon S3 요청을 식별할 수 있습니다.

• Amazon S3 액세스 로그 대신 AWS CloudTrail 데이터 이벤트를 사용하는 것이 좋습니다. CloudTrail 데이터 이벤트는 설정이 더 쉽고 더 많은 정보를 포함합니다. 자세한 내용은 CloudTrail을 사용하여 Amazon S3 요청 식별 을 참조하십시오 .
• 받는 액세스 요청 수에 따라 로그를 분석하는 데 더 많은 리소스나 시간이 필요할 수 있습니다.

 

AWS CloudTrail을 사용하여 Amazon S3 API 호출 로깅

Amazon S3는 Amazon S3에서 사용자, 역할 또는 AWS 서비스가 수행한 작업의 기록을 제공하는 서비스인 AWS CloudTrail과 통합됩니다. CloudTrail은 Amazon S3 콘솔의 호출 및 Amazon S3 API에 대한 코드 호출을 포함하여 Amazon S3에 대한 API 호출의 하위 집합을 이벤트로 캡처합니다.

추적을 생성하면 Amazon S3에 대한 이벤트를 포함하여 CloudTrail 이벤트를 Amazon S3 버킷에 지속적으로 전달할 수 있습니다. 추적을 구성하지 않아도 CloudTrail 콘솔의 이벤트 기록 에서 가장 최근 이벤트를 볼 수 있습니다 . CloudTrail에서 수집한 정보를 사용하여 Amazon S3에 대한 요청, 요청이 이루어진 IP 주소, 요청한 사람, 요청한 시간 및 추가 세부 정보를 확인할 수 있습니다.

구성 및 활성화 방법을 포함하여 CloudTrail에 대한 자세한 내용은 AWS CloudTrail 사용 설명서 를 참조하십시오 .

Amazon S3 서버 액세스 로그 및 CloudWatch Logs와 함께 CloudTrail 로그 사용

AWS CloudTrail 로그는 Amazon S3에서 사용자, 역할 또는 AWS 서비스가 수행한 작업에 대한 기록을 제공하는 반면, Amazon S3 서버 액세스 로그는 S3 버킷에 대한 요청에 대한 자세한 기록을 제공합니다. 다양한 로그의 작동 방식과 해당 속성, 성능 및 비용에 대한 자세한 내용은 Amazon S3에 대한 로깅 옵션을 참조하십시오 .

AWS CloudTrail 로그를 Amazon S3에 대한 서버 액세스 로그와 함께 사용할 수 있습니다. CloudTrail 로그는 Amazon S3 버킷 수준 및 객체 수준 작업에 대한 자세한 API 추적을 제공합니다. Amazon S3에 대한 서버 액세스 로그는 Amazon S3의 데이터에 대한 객체 수준 작업에 대한 가시성을 제공합니다. 서버 액세스 로그에 대한 자세한 내용은 서버 액세스 로깅을 사용하여 요청 로깅 을 참조하십시오 .

CloudTrail 로그를 Amazon S3용 CloudWatch와 함께 사용할 수도 있습니다. CloudTrail과 CloudWatch Logs의 통합은 CloudTrail에서 캡처한 S3 버킷 수준 API 활동을 지정한 CloudWatch 로그 그룹의 CloudWatch 로그 스트림으로 전달합니다. 특정 API 활동을 모니터링하기 위한 CloudWatch 경보를 생성하고 특정 API 활동이 발생할 때 이메일 알림을 수신할 수 있습니다. 특정 API 활동을 모니터링하기 위한 CloudWatch 경보에 대한 자세한 내용은 AWS CloudTrail 사용 설명서 를 참조하십시오 . Amazon S3에서 CloudWatch를 사용하는 방법에 대한 자세한 내용은 Amazon CloudWatch로 지표 모니터링 단원 을 참조하십시오 .

mazon S3 SOAP API 호출을 사용한 CloudTrail 추적

CloudTrail은 Amazon S3 SOAP API 호출을 추적합니다. HTTP를 통한 Amazon S3 SOAP 지원은 더 이상 사용되지 않지만 HTTPS를 통해 계속 사용할 수 있습니다. Amazon S3 SOAP 지원에 대한 자세한 내용은 부록 a: SOAP API 사용 을 참조하십시오 .

중요한

최신 Amazon S3 기능은 SOAP에 대해 지원되지 않습니다. REST API 또는 AWS SDK를 사용하는 것이 좋습니다.

CloudTrail 로깅으로 추적되는 Amazon S3 SOAP 작업SOAP API 이름CloudTrail 로그에 사용된 API 이벤트 이름

ListAllMyBuckets	ListBuckets
버킷 생성	CreateBucket
버킷 삭제	DeleteBucket
GetBucketAccessControlPolicy	GetBucketAcl
SetBucketAccessControlPolicy	PutBucketAcl
GetBucketLoggingStatus	GetBucketLogging
SetBucketLoggingStatus	PutBucketLogging

 

참조 문서

https://docs.aws.amazon.com/AmazonS3/latest/userguide/LogFormat.html

Amazon S3 server access log format - Amazon Simple Storage Service

https://docs.aws.amazon.com/AmazonS3/latest/userguide/cloudtrail-logging.html

Logging Amazon S3 API calls using AWS CloudTrail - Amazon Simple Storage Service