메인 콘텐츠로 건너뛰기

AWS Solutions Library

AWS 기반 신뢰할 수 있는 보안 엔클레이브 지침

보안 엔클레이브를 사용하여 매우 민감한 워크로드를 보호하고 격리

개요

이 지침은 국가 안보, 국방 및 국가 법 집행 기관의 민감한 워크로드를 위한 포괄적인 클라우드 아키텍처를 구축하는 방법을 보여줍니다. AWS의 다중 계정 아키텍처를 사용하면 민감한 데이터와 워크로드를 안전하게 유지하면서 임무를 완수할 수 있습니다. 이 지침은 다양한 미국 보안 프레임워크에 맞춰 중앙 ID 및 액세스 관리, 거버넌스, 데이터 보안, 포괄적인 로깅, 네트워크 설계 및 세분화를 처리하면서 엄격하고 고유한 보안 및 규정 준수 요구 사항을 충족할 수 있도록 설계되었습니다.

작동 방식

개요

이 아키텍처 다이어그램은 고유한 보안 및 규정 준수 요구 사항이 있는 포괄적인 다중 계정 워크로드를 구성하는 방법을 보여줍니다.

아키텍처 다이어그램 다운로드
Architecture diagram illustrating AWS Trusted Secure Enclaves, showing the organization management account, security accounts, infrastructure accounts, sensitive application OUs, and network connections to a corporate data center and the internet.

조직 관리 계정

이 아키텍처 다이어그램은 조직이 단일 고객 엔터티에 의해 모두 제어되는 여러 계정을 그룹화하는 방법을 보여줍니다. 이 아키텍처 다이어그램의 단계에 따라 이 지침의 조직 관리 계정 부분을 배포합니다.

아키텍처 다이어그램 다운로드
Architecture diagram illustrating AWS Trusted Secure Enclaves organization management. The diagram shows organizational units (Security OU, Infrastructure OU, Dev OU, Prod OU, Central OU, Test OU), AWS KMS, SCPs, and integration with a Virtual Private Cloud (VPC), AD Connector, AWS IAM Identity Center, and corporate users.

보안 계정

이 아키텍처 다이어그램은 AWS 서비스 및 계정 전반에 걸쳐 포괄적인 로그 수집을 중앙 집중식으로 구성하는 방법을 보여줍니다. 이 아키텍처 다이어그램의 단계에 따라 이 지침의 보안 계정 부분을 배포합니다.

아키텍처 다이어그램 다운로드
Architecture diagram illustrating AWS trusted and secure enclave organization security, showing management and security accounts, log archive (Amazon S3, CloudWatch, CloudTrail), and security tooling such as GuardDuty, Security Hub, AWS Config, Firewall Manager, Macie, IAM Access Analyzer, and Alarm.

인프라 계정

이 아키텍처 다이어그램은 Virtual Private Cloud(VPC)를 사용하여 중앙 집중화되고 격리된 네트워킹 환경을 구축하는 방법을 보여줍니다. 이 아키텍처 다이어그램의 단계에 따라 이 지침의 인프라 계정 부분을 배포합니다.

아키텍처 다이어그램 다운로드
Architecture diagram showing an AWS infrastructure design for trusted secure enclaves. The diagram illustrates the organization management account, infrastructure accounts for operations and DevOps, shared network components, perimeter security including AWS Network Firewall, ELB, AWS WAF, NAT gateway, and integration with corporate data centers via AWS Direct Connect. The layout demonstrates central VPCs, CI/CD tooling, firewalls, and connectivity to the internet.

애플리케이션, 커뮤니티, 팀 또는 그룹 계정(민감한 경우)

이 아키텍처 다이어그램은 소프트웨어 개발 수명 주기의 여러 단계에 속하는 워크로드 간 또는 서로 다른 IT 관리자 역할 간의 세분화 및 분리를 구성하는 방법을 보여줍니다. 이 아키텍처 다이어그램의 단계에 따라 이 지침의 애플리케이션, 커뮤니티, 팀 또는 그룹 계정 부분을 배포합니다. 

아키텍처 다이어그램 다운로드
Architecture diagram showing the AWS Trusted Secure Enclaves setup for sensitive accounts, including organization management accounts, organizational units, and teams (Dev, Test, Prod, Shared) using VPCs, AWS Nitro System hosts, ELB, and AWS WAF.

Well-Architected 원칙

위의 아키텍처 다이어그램은 Well-Architected 모범 사례를 고려하여 생성된 솔루션의 예시입니다. Well-Architected를 완전히 충족하려면 가능한 많은 Well-Architected 모범 사례를 따라야 합니다.

이 지침에서는 AWS CloudFormation 스택 및 구성을 갖춘 조직을 사용하여 AWS 환경의 안전한 기반을 구축합니다. 이는 기술 보안 제어의 구현을 가속화하는 코드형 인프라(IaC) 솔루션을 제공합니다. 구성 규칙은 규정된 아키텍처에 부정적인 영향을 미치는 것으로 확인된 모든 구성 델타를 해결합니다. 민감한 기밀 워크로드에 AWS 글로벌 상용 인프라를 사용하고 보안 시스템을 자동화하여 프로세스 및 절차를 지속적으로 개선하면서 임무를 더 빠르게 수행할 수 있습니다.

운영 우수성 백서 읽기

이 지침에서는 조직을 사용하여 CloudTrail을 통한 API 로깅과 같은 조직 가드레일의 배포를 용이하게 합니다. 이 지침은 또한 규범적 AWS SCP를 가드레일 메커니즘으로 사용하여 예방적 제어를 제공합니다. 이 메커니즘은 주로 환경 내에서 특정 또는 전체 API 범주를 거부(워크로드가 지정된 리전에만 배포되도록 하기 위해)하거나 특정 AWS 서비스에 대한 액세스를 거부하는 데 사용됩니다. CloudTrail 및 CloudWatch 로그는 AWS 서비스 및 계정 전반에 걸쳐 규정된 포괄적인 로그 수집 및 중앙 집중화를 지원합니다. AWS 보안 기능 및 다양한 보안 관련 서비스는 세계에서 가장 엄격한 보안 요구 사항을 충족하는 데 도움이 되는 정의된 패턴으로 구성됩니다.

보안 백서 읽기

이 지침은 여러 가용 영역을 사용하므로 하나의 가용 영역(AZ)이 손실되어도 애플리케이션 가용성에 영향을 미치지 않습니다. CloudFormation을 사용하여 안전하고 통제된 방식으로 인프라의 프로비저닝 및 업데이트를 자동화할 수 있습니다. 또한 이 지침은 사용자 환경 내에서 AWS 리소스 구성 및 구성 변경을 평가하기 위한 사전 구축된 규칙을 제공합니다. 또는 AWS Lambda에서 사용자 지정 규칙을 생성하여 모범 사례 및 지침을 정의할 수도 있습니다. 요구 사항에 맞게 환경을 확장하는 기능을 자동화하고 잘못된 구성이나 일시적인 네트워크 문제와 같은 장애를 완화할 수 있습니다.

신뢰성 백서 읽기

이 지침은 단일 게이트웨이를 통해 여러 VPC를 연결하고 중앙 허브 역할을 하는 Transit Gateway를 사용해 클라우드 인프라 관리를 단순화하여 네트워크 아키텍처를 쉽게 확장하고 유지 관리할 수 있도록 합니다. 이를 통해 네트워크 아키텍처가 단순화되고 조직 내 여러 AWS 계정 간에 효율적으로 트래픽을 라우팅할 수 있습니다.

성능 효율성 백서 읽기

이 지침은 불필요한 비용이나 최적이 아닌 리소스의 사용을 방지하거나 제거할 수 있는 기능을 제공합니다. 조직은 리소스 사용과 비용 최적화를 강력하게 분리할 수 있도록 중앙 집중화 및 통합 결제를 제공합니다. 이 지침은 비용 효율성을 위해 중앙 집중식 엔드포인트를 사용하여 AWS 퍼블릭 API 엔드포인트를 프라이빗 VPC 주소 스페이스로 이동하는 방법을 설명합니다. 또한 AWS Cost & Usage Report(AWS CUR)를 사용하여 AWS 사용량을 추적하고 요금을 추정할 수 있습니다.

비용 최적화 백서 읽기

이 지침은 자체 데이터 센터 내 워크로드 관리와 관련된 탄소 발자국을 줄이는 데 도움이 됩니다. AWS 글로벌 인프라는 기존 데이터 센터보다 지원 인프라(예: 전력, 냉각, 네트워킹), 높은 사용률, 더 빠른 기술 갱신을 제공합니다. 또한 워크로드의 세분화 및 분리를 통해 불필요한 데이터 이동을 줄일 수 있으며, Amazon S3는 스토리지 계층과 데이터를 효율적인 스토리지 계층으로 자동 이동하는 기능을 제공합니다.

지속 가능성 백서 읽기

고지 사항

샘플 코드, 소프트웨어 라이브러리, 명령줄 도구, 개념 증명, 템플릿 또는 기타 관련 기술(AWS 직원을 통해 제공되는 상기 항목 포함)은 AWS 이용 계약 또는 귀하와 AWS 간의 서면 계약(둘 중 해당되는 것)에 따라 AWS 콘텐츠로 제공됩니다. 이 AWS 콘텐츠를 프로덕션 계정, 프로덕션 또는 기타 중요한 데이터에 사용해서는 안 됩니다. 귀하는 특정 품질 제어 방식 및 표준에 따라 프로덕션급 사용에 적절하게 샘플 코드와 같은 AWS 콘텐츠를 테스트, 보호 및 최적화할 책임이 있습니다. AWS 콘텐츠를 배포하면 Amazon EC2 인스턴스를 실행하거나 Amazon S3 스토리지를 사용할 때와 같이 요금이 부과되는 AWS 리소스를 생성하거나 사용하는 것에 대한 AWS 요금이 발생할 수 있습니다.

오늘 원하는 내용을 찾으셨나요?

페이지의 콘텐츠 품질을 개선할 수 있도록 피드백을 보내주십시오.