CloudTrail 로그 파일 무결성 검증 비활성화

설명

CloudTrail 로그 파일 무결성 검증을 활성화하면 로그 변경이나 삭제를 확인하는 데 사용할 서명된 다이제스트가 생성됩니다. 이 설정은 로그 변조를 막거나 검증을 자동 실행하는 기능은 아닙니다.

잠재적 영향

다이제스트가 없으면 보관된 감사 로그가 원본 그대로인지 확인하기 어려워질 수 있습니다.

해결 방법

enable_log_file_validation: true를 설정하고 로그와 다이제스트를 보관하세요. 필요할 때 CloudTrail 로그 검증 도구로 무결성을 확인하세요.

예시

로그 무결성 검증을 활성화하는 예시입니다. 버킷, IAM 역할과 KMS 키는 별도로 준비해야 합니다.

변경 전

yaml

- name: CloudTrail 생성
  community.aws.cloudtrail:
    state: present
    name: default
    s3_bucket_name: mylogbucket
    region: us-east-1
    is_multi_region_trail: true
    cloudwatch_logs_role_arn: "arn:aws:iam::123456789012:role/CloudTrail_CloudWatchLogs_Role"
    cloudwatch_logs_log_group_arn: "arn:aws:logs:us-east-1:123456789012:log-group:CloudTrail/DefaultLogGroup:*"
    kms_key_id: "alias/MyAliasName"

- name: CloudTrail 생성 v2
  community.aws.cloudtrail:
    state: present
    name: default
    s3_bucket_name: mylogbucket
    region: us-east-1
    is_multi_region_trail: true
    enable_log_file_validation: false
    cloudwatch_logs_role_arn: "arn:aws:iam::123456789012:role/CloudTrail_CloudWatchLogs_Role"
    cloudwatch_logs_log_group_arn: "arn:aws:logs:us-east-1:123456789012:log-group:CloudTrail/DefaultLogGroup:*"
    kms_key_id: "alias/MyAliasName"

변경 후