IAM and security groups for existing clusters
출처: 문서
본문
기존 클러스터를 위한 IAM과 보안 그룹
이 페이지에서는 기존 클러스터와 마이그레이션 도구를 함께 사용할 때의 보안 시나리오를 설명해요. 여기에는 서로 간의 원활한 통신을 보장하기 위해 필요한 구성 변경 사항도 포함돼요.
Amazon OpenSearch Service 가져오기
Amazon OpenSearch Service에는 다음 구성을 사용하세요.
OpenSearch Service
OpenSearch Domain이 제대로 작동하도록 하려면 일반적으로 두 가지 주요 구성이 필요해요:
-
보안 그룹 구성
도메인에는 해당 마이그레이션 서비스(Traffic Replayer, Migration Console,
Reindex-from-Snapshot)의 통신을 허용하는 보안 그룹이 있어야 해요. CDK는 마이그레이션 서비스에 적용되는osClusterAccessSG보안 그룹을 자동으로 생성해요. 그다음 사용자가 이 보안 그룹을 기존 도메인에 추가해서 접근을 허용해야 해요. -
액세스 정책 구성은 다음 중 하나여야 해요:
- 모든 액세스를 허용하는 개방형 액세스 정책
- 최소한 해당 마이그레이션 서비스(Traffic Replayer, Migration Console,
Reindex-from-Snapshot)의 AWS Identity and Access Management(IAM) 작업 역할이 도메인에 액세스할 수 있도록 구성
관리형 서비스 역할 매핑(관리형 클러스터 간 마이그레이션)
두 관리형 클러스터 간에 마이그레이션할 때, 예를 들어 두 도메인이 모두 Amazon OpenSearch Service로 생성된 경우에는, 소스 클러스터와 대상 클러스터 모두를 수정할 수 있는 충분한 권한을 Migration Assistant 구성 요소에 제공해야 해요.
다음 단계에 따라 필요한 권한을 부여하세요:
-
AWS Management Console에서 CloudFormation > Stacks로 이동하세요.
-
OSMigrations-<stage>-<region>으로 시작하는 스택을 찾으세요(CDK 배포 시 생성됨). -
Resources 탭으로 가서 다음 IAM 역할을 찾으세요:
arn:aws:iam::****:role/OSMigrations-<stage>-<region>-migration-console-task arn:aws:iam::****:role/OSMigrations-<stage>-<region>-reindex-from-snapshot-task arn:aws:iam::****:role/OSMigrations-<stage>-<region>-traffic-replayer-default-task -
소스 클러스터와 대상 클러스터 양쪽에서 다음 단계에 따라 사용자를 각 Amazon Resource Name(ARN)에 매핑하세요: A. OpenSearch Dashboards에 접속하세요. Elasticsearch를 사용 중이라면 Kibana에 접속하세요. B. Security -> Roles -> all_access로 이동하세요. C. "Mapped users" 섹션에서 각 ARN을 백엔드 역할로 추가하세요. D. 변경 사항을 저장하세요.