CloudFormation 스택 알림 구성 점검

설명

CloudFormation 스택에 notification_arns를 지정하지 않으면 이 설정을 통한 SNS 알림이 전달되지 않습니다. 다른 감시 경로도 없다면 배포 실패나 예상치 못한 변경을 운영자가 늦게 알 수 있습니다. 스택 이벤트 자체는 CloudFormation에서 계속 확인할 수 있습니다.

인프라 변경의 성공 여부와 실패 원인을 담당 팀이 확인할 수 있도록 구성하세요. 기존 EventBridge 등 다른 알림 경로가 요구를 충족하는지도 함께 검토하세요.

잠재적 영향

• 스택 배포 실패를 늦게 발견할 수 있습니다.
• 예상치 못한 인프라 변경의 파악이 지연될 수 있습니다.
• 장애 대응과 원인 조사가 늦어질 수 있습니다.

해결 방법

• SNS 알림이 필요한 스택의 notification_arns에 승인된 운영용 주제를 지정하세요.
• 게시 권한과 수신 구독을 구성하고 배포 실패·롤백 이벤트가 담당 팀에 전달되는지 테스트하세요.
• 수신 대상과 운영 책임을 정기적으로 확인하세요. 알림은 변경을 승인하거나 실패를 방지하는 통제를 대신하지 않습니다.

예시

스택 설정 일부이며 배포에 필요한 template_body 또는 template_url은 생략했습니다. 예제의 SNS ARN을 실제 사용할 주제로 바꾸고 권한과 구독을 별도로 구성하세요.

변경 전

resource "aws_cloudformation_stack" "example" {
  name = "networking-stack"

  parameters = {
    VPCCidr = "10.0.0.0/16"
  }
}

변경 후

resource "aws_cloudformation_stack" "example" {
  name = "networking-stack"

  parameters = {
    VPCCidr = "10.0.0.0/16"
  }

  notification_arns = ["arn:aws:sns:us-east-1:123456789012:stack-events"]
}

설명:

• 변경 전: 스택에 SNS 알림 주제를 지정하지 않습니다. 다른 감시 경로의 유무도 확인해야 합니다.
• 변경 후: 스택 이벤트의 SNS 수신 주제를 지정합니다. 실제 전달과 구독자의 수신을 확인해야 합니다.

참조

• CWE-778
• AWS aws_cloudformation_stack