Amazon Web Services

이러한 요구 사항은 어떤 템플릿을 선택하든 관계없이 적용됩니다.

계정이 표준 AWS 파티션에 있음

표준 AWS 상용 파티션의 AWS Organizations 및 계정만 지원됩니다. 다른 파티션(예: AWS GovCloud 또는 AWS 중국)의 계정은 지원되지 않습니다.

지원되는 AWS 리전에 배포

AWS에 의해 기본적으로 활성화된 AWS 리전 중 하나에 CloudFormation 템플릿을 배포합니다(GovCloud 및 중국 리전은 지원되지 않음).

미국 동부(버지니아 북부) - us-east-1

미국 동부(오하이오) - us-east-2

미국 서부(캘리포니아 북부) - us-west-1

미국 서부(오리건) - us-west-2

아시아 태평양 (뭄바이) - ap-south-1

아시아 태평양(오사카) - ap-northeast-3

아시아 태평양(서울) - ap-northeast-2

아시아 태평양(싱가포르) - ap-southeast-1

아시아 태평양(시드니) - ap-southeast-2

아시아 태평양(도쿄) - ap-northeast-1

캐나다(중부) - ca-central-1

유럽(프랑크푸르트) - eu-central-1

유럽(아일랜드) - eu-west-1

유럽(런던) - eu-west-2

유럽(파리) - eu-west-3

유럽(스톡홀름) - eu-north-1

남아메리카(상파울루) - sa-east-1

AWS 계정 권한

CloudFormation 스택을 배포하는 데 사용하는 AWS IAM 주체(사용자 또는 역할)에는 템플릿이 프로비저닝하는 모든 리소스를 생성할 수 있는 충분한 권한이 있어야 합니다.

필수 권한 범위: AdministratorAccess 또는 다음을 생성하도록 허용하는 사용자 지정 정책:

•IAM 역할 및 관리되는 정책

•S3 버킷 및 버킷 정책

•CloudTrail 트레일

•Lambda 함수(CloudFormation 사용자 지정 리소스로 호출됨)

•CloudFormation 스택 및 StackSets

자격 증명이 충분한지 확실하지 않은 경우 진행하기 전에 AWS 관리자에게 문의하십시오.

계정/조직당 스택을 한 번만 배포

각 템플릿은 고정된 이름(예: CwppServiceRole)을 가진 리소스를 생성합니다. 동일한 계정에 두 번째 스택을 배포하면 리소스가 이미 존재한다는 오류가 발생하며 실패합니다. 이전 배포가 실패했거나 다시 실행해야 하는 경우, 먼저 기존 CloudFormation 스택을 제거합니다.

명시적 거부 정책의 CWP 서비스 역할에 대한 예외

AWS 계정 또는 조직에서 aws:PrincipalARN에 StringNotLike 조건이 포함된 명시적 Deny가 있는 서비스 제어 정책(SCP) 또는 리소스 기반 정책을 이용하는 경우, CWP가 생성하는 IAM 역할에 대한 예외를 추가해야 합니다. 이 예외가 없으면 거부 정책으로 인해 CWP의 작동이 차단됩니다.

필수 예외 사항:

•모든 계정

다음 역할을 허용 목록에 추가합니다. arn:aws:iam::*:role/CwppServiceRole.

•관리 계정(조직 전체 배포 전용)

조직 전체에 배포하려면 관리 계정 허용 목록에 다음 또한 추가해야 합니다. arn:aws:iam::*:role/CwppManagementServiceRole.

이 역할은 관리 계정의 리소스 기반 정책에 추가하기만 하면 됩니다. SCP는 관리 계정에 적용되지 않으므로 이 역할에 대해서는 SCP 업데이트가 필요하지 않습니다.

예시 정책:

{

  "Effect": "Deny",

  "Resource": "*",

  "Condition": {

    "StringNotLike": {

      "aws:PrincipalARN": "arn:aws:iam::*:role/CwppServiceRole"

    }

  }

}

CloudFormation 스택을 배포하기 전에 해당 정책의 StringNotLike 허용 목록에 필요한 역할이 포함되어 있는지 확인합니다.

CwppManagementServiceRole은 조직 전체 배포에만 해당하며, 관리 계정의 리소스 기반 정책 내에서만 유효합니다.

이러한 추가 요구 사항은 조직 템플릿 중 어느 것을 사용하든 적용됩니다.

관리 계정에서 배포

조직 템플릿은 AWS Organizations 관리 계정에 로그인한 상태에서 배포해야 합니다. 이 배포에는 구성원 계정을 사용할 수 없습니다.

루트 조직 단위 ID 찾기

배포 과정에서 루트 조직 단위 ID를 입력하라는 메시지가 표시됩니다. 이 ID는 모든 계정에 StackSets를 배포하는 데 사용됩니다. 이를 찾는 방법은 다음과 같습니다.

1.AWS Organizations 콘솔을 엽니다.

2.조직 트리의 맨 위에 있는 루트 항목을 클릭합니다.

3.ID를 복사합니다. 형식은 r-xxxx입니다.

자세한 지침은 조직 계층 구조 탐색에 대한 AWS 문서를 참조하십시오.

CloudFormation 조직 신뢰 접근 활성화 권한

템플릿은 CloudFormation과 AWS Organizations 간의 신뢰 접근을 자동으로 활성화합니다(Lambda 사용자 지정 리소스를 통해). 배포 주체는 cloudformation:ActivateOrganizationsAccess를 호출할 수 있도록 허용되어야 합니다. 이는 AdministratorAccess에 포함되어 있습니다. 범위가 지정된 권한 집합을 사용하는 경우 이 동작이 명시적으로 허용되었는지 확인합니다.

이러한 추가 요구 사항은 DHMC 템플릿 중 어느 것을 사용하든 적용됩니다.

충돌하는 기본 호스트 관리 구성(DHMC) 없음

이전에 AWS SSM 빠른 설정을 사용하여 DHMC를 부분적으로라도 구성했다면 DHMC 설정을 통한 조직 전체 온보딩을 사용할 수 없습니다. 이렇게 하면 두 구성이 충돌합니다. 그럴 경우 다음 방법을 사용합니다.

1.DHMC 이외의 조직 온보딩을 사용합니다.

2.기존 SSM 빠른 설정 구성에서 CWP이 배포될 모든 구성원 계정과 모든 리전에서 DHMC가 활성화되어 있는지 확인하십시오.

SSM 빠른 설정에 대한 권한

기본 조직 권한 외에도 배포 주체는 다음이 필요합니다.

•ssm-quicksetup:UpdateServiceSettings

•organizations:EnableAWSServiceAccess

•서비스 연결 역할을 생성할 권한

이는 모두 AdministratorAccess에 포함되어 있습니다. 템플릿은 Lambda를 생성하여 이러한 단계를 자동으로 수행하므로 수동으로 명령을 실행할 필요가 없습니다.

CWP에서 AWS EC2 인스턴스에 대한 VM(EC2 인스턴스) 보호 기능을 활성화하려면 두 가지 수준의 요구 사항을 충족해야 합니다. 우선 EC2 인스턴스가 SSM 관리 인스턴스(계정 수준 설정)로 등록되어야 하며, 그 후 각 인스턴스가 VM 수준 요구 사항을 충족해야 보호 제품을 설치할 수 있습니다. 다른 CWP 기능은 이러한 필수 조건을 충족하지 않는 계정에서도 작동합니다.

계정 필수 조건

이러한 요구 사항은 AWS 계정 수준에 적용됩니다. DHMC 템플릿 변형을 사용하는 경우 CWP이 온보딩 중에 이러한 요구 사항을 자동으로 구성합니다. 온보딩 과정(또는 그 이전)에서 DHMC가 설정되지 않은 계정의 경우, VM 보호 기능을 활성화하기 전에 이러한 단계를 수동으로 완료해야 합니다.

•보호 기능 배포가 지원되는 리전

VM Protection은 기본 호스트 관리 구성(DHMC)을 수동으로 추가 구성하지 않고도 다음 AWS 리전의 EC2 인스턴스에 배포할 수 있습니다.

미국 동부(오하이오) - us-east-2

미국 동부(버지니아 북부) - us-east-1

미국 서부(캘리포니아 북부) - us-west-1

미국 서부(오리건) - us-west-2

아시아 태평양 (뭄바이) - ap-south-1

아시아 태평양(서울) - ap-northeast-2

아시아 태평양(싱가포르) - ap-southeast-1

아시아 태평양(시드니) - ap-southeast-2

아시아 태평양(도쿄) - ap-northeast-1

캐나다(중부) - ca-central-1

유럽(프랑크푸르트) - eu-central-1

유럽(스톡홀름) - eu-north-1

유럽(아일랜드) - eu-west-1

유럽(런던) - eu-west-2

유럽(파리) - eu-west-3

남아메리카(상파울루) - sa-east-1

•EC2 인스턴스는 SSM 관리 인스턴스여야 함

CWP은 AWS Systems Manager(SSM)를 통해 ESET 보호 제품을 배포합니다. SSM이 EC2 인스턴스에 접근하려면 해당 인스턴스가 SSM 관리 인스턴스로 등록되어 있어야 합니다. 계정 내 모든 인스턴스에 대해 이를 보장하기 위해 권장되는 방법은 기본 호스트 관리 구성(DHMC)을 활성화하는 것입니다. 이렇게 하면 각 인스턴스에 전용 IAM 인스턴스 프로필이 없어도 계정 및 리전의 모든 EC2 인스턴스가 자동으로 등록됩니다.

DHMC는 AWS 콘솔의 Systems Manager > Fleet Manager > 계정 관리에서 리전별로 활성화하거나 SSM 빠른 설정을 통해 조직 전체에서 활성화할 수 있습니다. 자세한 내용은 AWS DHMC 문서를 참조하십시오.

VM 수준 요구 사항

이러한 요구 사항은 각 EC2 인스턴스에 적용됩니다. 계정 수준 설정이 완료되면 다음 조건을 모두 충족하는 경우에만 보호 제품을 인스턴스에 배포할 수 있습니다.

•EC2 인스턴스에서 아웃바운드 인터넷 접근이 가능해야 함

보호 배포 대상으로 지정된 각 EC2 인스턴스에는 아웃바운드 인터넷 접근이 필요합니다. NAT 게이트웨이가 없는 비공개 서브넷에 있는 인스턴스의 경우, 보호 기능을 배포하기 전에 아웃바운드 인터넷 접근을 구성해야 합니다.

•SSM Agent가 설치되어 실행 중이어야 함

AWS SSM은 SSM Agent를 통해 EC2 인스턴스와 통신합니다. AWS 제공하는 대부분의 AMI(Amazon Linux, Ubuntu Server, Windows Server)에는 SSM Agent가 사전 설치되어 있습니다. 사용자 지정 또는 타사 AMI의 경우 에이전트가 설치되어 실행 중인지 확인하십시오.

에이전트 설치 지침 및 실행 중인 인스턴스에서 에이전트 상태를 확인하는 방법은 AWS SSM Agent 문서를 참조하십시오.

AWS에서 Linux용 EC2 인스턴스에 대한 보호 기능을 제대로 배포하려면 보호 대상 계정 또는 조직에 AWS System Manager가 활성화되어 있어야 하고, EC2 인스턴스에 SSM Agent가 설치되어 있어야 합니다.

•VM이 지원되는 운영 체제를 실행해야 함

CWP은 지원되는 OS 배포판이 실행되는 인스턴스에만 ESET 보호 제품을 배포할 수 있습니다. 지원되는 OS 배포판의 전체 목록은 아래 참조 자료를 확인하십시오.

•VM이 보호 제품 시스템 요구 사항을 충족해야 함

보호 기능 배포 대상으로 지정된 각 VM은 ESET 보호 제품에 대한 최소 하드웨어 및 소프트웨어 요구 사항을 충족해야 합니다.

Windows Server

o프로세서: Intel 또는 AMD 싱글 코어 x64

o메모리: 256MB의 여유 RAM

o하드 드라이브: 700MB의 여유 디스크 공간

Linux

o프로세서: Intel/AMD x64 2코어(vCPU)

o메모리: 2GB RAM

o하드 드라이브: 700MB의 여유 디스크 공간

oGlibc 2.28 이상

oLinux 커널 버전 4.18 이상

o모든 UTF-8 인코딩 로캘

o보안 부팅을 비활성화해야 함

ocurl 또는 wget이 설치되어 있어야 함

o다른 패키지는 Live Installer에 의존하는데, 이를 실행하려면 종속성/라이브러리가 설치되어 있어야 합니다.

oglibc

olibgcc

oopenssl (libssl)

ocurl (libcurl)

otar

1.AWS CloudFormation > Stacks로 이동합니다.

2.CWP 스택(배포 시 사용한 이름; 기본 이름은 CWPP-Integration)을 찾습니다.

3.스택 이름을 클릭합니다.

4.제거 버튼을 클릭합니다.

5.스택 삭제를 클릭하여 확인합니다.

6.삭제가 완료될 때까지 기다립니다(Events 탭에서 진행 상황을 확인할 수 있습니다).

1.AWS S3 > Buckets로 이동합니다.

2.eset-cwpp-ct-로 시작하고 그 뒤에 계정 ID가 붙는 버킷 이름을 찾으세요.

1.AWS 조직 콘솔로 이동합니다.

2.탐색 창에서 서비스를 선택합니다.

3.서비스 목록에서 AWS CloudFormation StackSets를 선택합니다.

4.신뢰할 수 있는 액세스 비활성화를 클릭하고 작업을 확인합니다.

5.IAM > 역할로 이동합니다.

6.AWSServiceRoleForCloudFormationStackSetsOrgAdmin 서비스 연결 역할을 찾아 삭제합니다.

1.AWS Organizations 콘솔로 이동합니다.

2.탐색 창에서 서비스를 선택합니다.

3.서비스 목록에서 Systems Manager를 선택합니다.

4.신뢰할 수 있는 액세스 비활성화 버튼을 클릭합니다.

5.메시지가 표시되면 작업을 확인하세요.

1. AWS Organizations 콘솔로 이동합니다.

2.탐색 창에서 서비스를 선택합니다.

3.서비스 목록에서 QuickSetup을 선택합니다.

4.신뢰할 수 있는 액세스 비활성화 버튼을 클릭하세요.

5.메시지가 표시되면 작업을 확인하세요.

1.IAM > 역할로 이동합니다.

2.AWS-QuickSetup-SSM-RoleForEnablingExplorer를 검색합니다.

3.찾으면 역할 이름을 클릭하세요.

4.역할 삭제 버튼을 클릭합니다.

5.삭제를 확인합니다.

다음 서비스 연결 역할이 생성되었을 수 있습니다:

AWSServiceRoleForAmazonSSM

ServiceRoleForAccountDiscoverySSM

AWSServiceRoleForSSMQuickSetup

이전 단계에서 설명한 Explorer 역할을 삭제한 것과 동일한 방법으로 지정된 역할을 삭제합니다.

1.AWS Systems Manager > Fleet Manager로 이동합니다.

2.계정 관리를 클릭합니다.

3.DHMC가 필요하지 않은 경우 기본 호스트 관리 구성 활성화 옵션을 비활성화하고, DHMC를 계속 사용하려면 기존 IAM 역할을 선택하십시오.

4.변경 사항을 저장하려면 구성을 클릭하십시오.

5.모든 AWS 리전에서 이 단계를 반복합니다.