비용 배분 태그, 청구서를 프로젝트별로 나눠 보려면
AWS 청구서는 서비스별로 묶여 있어서 프로젝트별 비용을 보려면 비용 배분 태그가 필요하다. 태그를 자원에 붙이는 일과 청구 화면에서 켜는 일이 따로 있고, 붙이기 전 기간은 소급으로도 메울 수 없다.
모든 글
2 / 5페이지
Organizations와 SCP, 허용하지 않고 한도만 정하는 정책
SCP는 구성원 계정이 할 수 있는 일의 상한만 정하고 권한을 주지는 않는다. 실제 권한은 IAM 정책으로 따로 줘야 하고, 조직을 만든 관리 계정에는 그 상한조차 걸리지 않는다.
AWS WAF, 막기 전에 세어 보기
WAF 규칙을 처음부터 Block으로 켜면 정상 요청까지 막힐 수 있고, 막힌 요청은 애플리케이션 로그에 남지 않는다. 그래서 새 규칙은 먼저 Count로 붙여 어떤 요청이 걸리는지 확인한 뒤에 막는다.
Amazon Inspector가 쌓아 준 취약점, 무엇부터 고칠까
Inspector를 켜면 취약점 목록이 심각도와 함께 길게 쌓인다. 고칠 순서는 바깥에서 닿는 경로가 있는지, 알려진 공격 코드와 고친 버전이 있는지를 함께 보고 정하고, 목록이 비어 있으면 검사가 됐는지부터 확인한다.
CloudTrail, 기본으로 남지 않는 기록
CloudTrail은 계정을 만들 때부터 켜져 있지만, 기본으로 볼 수 있는 것은 자원과 설정을 다룬 기록 90일치다. 파일을 읽은 기록과 그보다 오래된 기록은 미리 설정해 두지 않으면 나중에 만들 수 없다.
ECS 서비스 오토스케일링, 늘릴 때와 줄일 때가 다른 이유
ECS 서비스에 자동 확장을 걸면 태스크는 빨리 늘어나고 천천히 줄어든다. 목표 추적 정책이 늘릴 때는 서두르고 줄일 때는 보수적으로 움직이도록 만들어져 있고, 줄이는 순간에는 처리 중인 요청이 끊길 수 있기 때문이다.
RDS 장애 조치와 유지보수 창, 맡긴 대가로 오는 재부팅
RDS는 보안 패치를 몇 달에 한 번씩 유지보수 창에서 적용하고, 그때 데이터베이스가 잠시 내려가거나 대기 인스턴스로 넘어간다. 데이터베이스가 돌아와도 앱이 끊긴 연결과 옛 주소를 붙들고 있으면 장애가 이어진다.
S3 사전 서명 URL, 서명이 보증하지 않는 것
사전 서명 URL은 만료 전까지 몇 번이든 쓸 수 있고, 만든 쪽의 자격 증명보다 오래 살지 못한다. 누가 보내는지, 무엇이 올라오는지는 서명과 상관없이 서비스가 따로 확인해야 한다.
GitHub Actions와 OIDC, 액세스 키 없이 AWS에 배포하는 원리
GitHub Actions에서 OIDC를 쓰면 저장소에 AWS 액세스 키를 두지 않고도 배포할 수 있다. 대신 AWS가 어떤 저장소의 어떤 작업을 믿을지 역할의 신뢰 조건에 적어야 하고, 옛 키는 따로 찾아 지워야 한다.
CloudWatch 알람, 데이터가 안 들어오면 어떤 상태가 될까
CloudWatch 알람에는 정상과 경보 말고 데이터 부족이라는 상태가 하나 더 있다. 오류가 0건인 것과 오류 지표가 아예 오지 않는 것은 다르고, 값이 빈 구간을 어떻게 볼지는 지표마다 정해야 한다.