공지사항 📌

마지막 업데이트 날짜: 2026-10-20

공통 변경사항

보안 권고 사항에 따라, 진단 계정 등록 시 CSP사에서 자체적으로 발급받은 엑세스 키 사용을 중지하고 최소 권한만을 갖는 서비스 계정 생성 후 워크로드 인증 절차를 따를 것을 권고드립니다.

CSP별 진단 계정 등록 방법
- AWS: Access Key + Secret Key -> IAM Role ARN 등록 (IRSA 인증) - 기존과 동일
- GCP: Service Account Key File 업로드 -> Credential Configuration File 업로드
- Azure: Client Secret Key 미사용

또한 진단 계정 등록 시 아래와 같이 인증 방식을 선택(택1)하도록 변경되었으며, 계정 진단 시 선택한 인증 방식으로만 진행됩니다.

미사용 엑세스 키는 추후 삭제될 예정이며, 기간은 별도 공지드리겠습니다.

감사합니다.

AWS 진단 계정 등록

1. 진단용 IAM Role 생성

1-1. CQI Policy 생성 (필수)

아래 정보로 IAM Policy를 생성합니다.

IAM Policy
- IAM Policy Name : cqi_policy

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CQITrustedAdvisorV2AndInventory",
      "Effect": "Allow",
      "Action": [
        "trustedadvisor:ListChecks",
        "trustedadvisor:ListRecommendations",
        "trustedadvisor:ListRecommendationResources",
        "cost-optimization-hub:ListEnrollmentStatuses",
        "cloudfront:ListDistributions",
        "wafv2:ListWebACLs",
        "waf:ListWebACLs",
        "waf-regional:ListWebACLs",
        "sagemaker:ListNotebookInstances",
        "sagemaker:ListEndpointConfigs",
        "dms:DescribeReplicationInstances",
        "elasticmapreduce:ListClusters",
        "fsx:DescribeFileSystems",
        "outposts:ListOutposts"
      ],
      "Resource": "*"
    }
  ]
}

가이드 사진 펼치기접기

1-2. IAM Role 생성 (권장)

아래 정보로 IAM Role을 생성하고 IAM Role ARN을 복사해둡니다.

IAM Role
- IAM Role Name : CQI_Check_Role
- Permissions Policies : cqi_policy, SecurityAudit
- Trusted Entity Type : Custom trust policy (아래 코드를 복사하세요)

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": ["arn:aws:iam::253477182359:role/CQI_PROD_ROLE"]
      },
      "Action": "sts:AssumeRole",
      "Condition": {}
    }
  ]
}

가이드 사진 펼치기접기

IAM 콘솔 > '역할(Roles)' > '역할 생성(Create role)'에서 신뢰할 수 있는 엔터티 유형으로 '사용자 지정 신뢰 정책(Custom trust policy)'을 선택하고, 위 신뢰 정책을 붙여넣은 뒤 '다음(Next)'을 누릅니다.

'권한 추가(Add permissions)'에서 cqi_policy를 검색해 선택합니다.

이어서 SecurityAudit을 검색해 선택하고, 권한 정책이 2개 선택되었는지 확인한 뒤 '다음(Next)'을 누릅니다.

역할 이름에 CQI_Check_Role을 입력합니다.

권한 정책 요약에 cqi_policy와 SecurityAudit이 있는지 확인하고 '역할 생성(Create role)'을 누릅니다.

역할 목록에서 CQI_Check_Role을 검색해 상세 페이지로 들어갑니다.

요약의 'ARN' 옆 복사 아이콘을 눌러 IAM Role ARN을 복사해둡니다.

1-3. IAM User + Access Key 생성 (Deprecated)

IAM Role 사용을 권장하며, IAM Role 사용 시 이 단계는 건너뜁니다.

IAM User + Access Key 생성 펼치기접기

아래 정보로 IAM User를 생성하고 Key가 담긴 엑셀파일을 저장합니다.

IAM User
- IAM User name : cqi_test@lgcns.com
- AWS access type : Access key - Programmatic access
- Attach Policies : cqi_policy, SecurityAudit

가이드 사진 펼치기접기

생성한 User의 Access/Secret Key가 담긴 csv 파일을 다운로드 합니다.

2. Cost Optimization Hub 활성화

위 서비스는 무료입니다.

조직 관리 계정(Management Account, Payer)

아래 절차를 따라하세요:

➡ AWS Console에서 Billing and Cost Management로 이동합니다.

➡ Cost Management Preferences 메뉴로 이동합니다.

➡ Cost Optimization Hub 탭을 선택합니다.

➡ 아래 항목을 체크합니다. (Payer 계정에서만 체크할 수 있습니다.)

Enable Cost Optimization Hub
Enable Cost Optimization Hub for all member accounts

➡ Savings estimation mode에서 Before discounts를 선택합니다.

운영 계정(Member Account)

아래 절차를 따라하세요:

➡ AWS Console에서 Billing and Cost Management로 이동합니다.

➡ Cost Management Preferences 메뉴로 이동합니다.

➡ Cost Optimization Hub 탭을 선택합니다.

➡ Savings estimation mode에서 Before discounts를 선택합니다.

참고: Enable Cost Optimization Hub는 자동으로 체크되어 있으며 변경할 수 없습니다.

3. Security Hub 설정

Security Hub 서비스는 30일 무료 평가판을 사용할 수 있으며, 무료 평가판이 종료된 이후부터 요금이 적용됩니다.
※ 무료 평가판은 리전당 최초 1회만 제공되며, 중간에 비활성화하더라도 무료 체험 기간이 연장되지 않습니다.
(상세내용은 참조 4번 참고)

아래 절차를 따라하세요:

Security Hub 설정 켜는 법

1. Security Hub

※ 모든 기능 활성화를 선택하시면, 런타임 자동관리로 인해 비용 증가가 발생합니다.

cqi-aws-ta-security-hub-enable-custom-v3

➡ 보안 기능에서 기능 사용자 지정을 선택합니다.

➡ 리전에서 모든 리전에서 사용 가능을 선택합니다.

2. Security Hub CSPM

➡ Security Hub CSPM으로 이동합니다.

➡ AWS Security Hub CSPM 활성화를 선택합니다.

Security Hub 설정 끄는 법

Security Hub, Security Hub CSPM, Inspector, GuardDuty 등은 별도로 모두 꺼주셔야 합니다.

아래 절차를 따라하세요:

➡ Security Hub > 설정 > 일반으로 이동합니다.

➡ AWS Security Hub 비활성화를 선택합니다.

Security Hub CSPM 끄는 법 펼치기접기

아래 절차를 따라하세요: cqi-aws-ta-security-hub-cspm-disable

Security Hub CSPM으로 이동합니다.
설정 > 일반으로 이동합니다.
AWS Security Hub CSPM 비활성화를 선택합니다.

Inspector 끄는 법 펼치기접기

아래 절차를 따라하세요: cqi-aws-ta-inspector-disable

AWS Inspector로 이동합니다.
설정 > 일반으로 이동합니다.
Amazon Inspector 비활성화를 선택합니다.

GuardDuty 끄는 법 펼치기접기

아래 절차를 따라하세요: cqi-aws-ta-guardduty-disable

AWS GuardDuty로 이동합니다.
설정으로 이동합니다.
GuardDuty 비활성화를 선택합니다.

4. 진단용 AWS Config 팩 생성

진단 시작: 먼저 AWS Console에서 규정 준수 팩(Conformance Pack)을 배포하고, 최소 4시간 후에 CQI에서 진단하시기 바랍니다.

(AWS에서 계정 데이터 수집에 평균 3~4시간이 소요됩니다.)

진단 이후: CQI 진단이 끝난 후 추가 비용이 소모되지 않도록 배포한 팩(KISMS, Custom Pack)들을 삭제합니다.

아래 정보의 Conformance Pack 2개를 배포(Deploy) 합니다.

KISMS Pack
- Template Type : Sample template
- Sample Template : Operational Best Practices for KISMS
- 규정 준수 팩 이름 : cqi-config-kisms
Custom Pack
- Template type : Upload template (S3 bucket)
- Template Source : s3://cqi-custom-config-conformance-packs/cqi_aws_config_custom_pack.yaml
- 규정 준수 팩 이름 : cqi-config-custom

진단 계정에서 Config 사용이 처음인 경우 펼치기접기

진단하려는 리전으로 이동 후, "원클릭 설정(One-click setup)" 버튼을 눌러 초기 세팅을 진행합니다.

4-1. KISMS 규정 준수 팩 생성

사용자 지정 값(파라미터) 항목은 캡처(2025-06-12)와 다를 수 있습니다. 값을 변경하지 말고 기본값으로 저장해 주세요.

4-2. Custom 규정 준수 팩 생성

아래 URL을 복사한 후, 템플릿 지정 단계에서 템플릿이 준비됨 > Amazon S3 버킷 > Amazon S3 URL에 붙여넣습니다.

AWS S3 URL: s3://cqi-custom-config-conformance-packs/cqi_aws_config_custom_pack.yaml

4-3. Config 설정 변경

Config 설정에서 레코더가 켜져있는지 반드시 확인하시기 바랍니다.

사용자 지정 가능한 재정의가 있는 모든 리소스 유형을 선택하고, 재정의 설정에서 리소스 유형이 남아있다면 제거 버튼을 눌러 삭제 바랍니다.

CQI 진단 계정 등록

진단 계정 등록은 Team Admin만 가능하며, 기본적으로 Team Admin은 팀당 1명 지정되어 있습니다.

초기 Team Admin : 각 팀 팀장님

경로: ➡ CQI 로그인 ➡ 진단 계정 목록 페이지 우측 상단의 진단 계정 추가(Add Account) 버튼 클릭

입력할 정보
- CSP : AWS
- System Name : 시스템 이름 (운영자가 구분을 위해 사용)
- Company : 고객사명
- Account Num : 진단 대상 AWS Account Number (12자리, 숫자만)
- Account Name : 진단 대상 AWS Account 이름 (운영자가 구분을 위해 사용)
- 인증 방식 : IRSA (IAM Role 사용 시 체크) / 정적 키 인증 (부득이하게 액세스키를 사용해야 할 경우)
- AssumeRole : AWS IAM Role (Recommended)
- Access Key : Access Key (선택 사항)
- Secret Access Key : Secret Access Key (선택 사항)
- Assigned Team : 자동 입력(등록하는 사용자의 팀으로 고정)
- Assigned Member : 진단 계정의 결과/예외처리 사항을 입력할 담당자 (진단결과 등록은 TeamAdmin과 Assigned Member만 가능합니다.)
- ETC : 비고(선택 사항)

참조

Well-Architected 진단 Policy 제거(아래 항목 참조)

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "wellarchitected:ListWorkloads",
        "wellarchitected:TagResource",
        "wellarchitected:CreateMilestone",
        "wellarchitected:GetWorkload",
        "wellarchitected:CreateWorkload",
        "wellarchitected:UpdateAnswer"
      ],
      "Resource": "*"
    }
  ]
}

진단용 IAM Role 및 Policy 변경

2025년 5월 16일 이후로 진단용 IAM Role 및 Policy가 변경되었습니다.

(IAM 관련 추가 권한(iam:ListPolicies, iam:ListUsers) 포함)

변경 사항

1-1. Policy 생성 (공통)
- 2025년 6월 27일:
  - IAM 관련 권한(iam:ListPolicies, iam:ListUsers) 추가
- 2025년 5월 16일:
  - 이후 정책 이름을 cqx_policy에서 cqi_policy로 변경
  - AWS Lambda 함수 호출 관련 정책이 제거되었습니다.
1-2. IAM Role 생성 (권장)
- 2025년 5월 16일:
  - IAM Role 이름을 CQX_PROD_ROLE에서 CQI_PROD_ROLE로 변경
    
    변경 전 : "arn:aws:iam::253477182359:role/CQX_PROD_ROLE"
    
    변경 후 : "arn:aws:iam::253477182359:role/CQI_PROD_ROLE"
4-1. KISMS 규정 준수 팩 생성
- 2026년 3월 01일:
  - KISMS 규정 준수 팩 세부 정보 지정 단계에서 사용자 지정 값(파라미터)은 기본값으로 저장
  - 값이 비어있는 항목은 더 이상 포함되지 않음(InternetGatewayAuthorizedVpcOnlyParamAuthorizedVpcIds)
  - Config 고객 관리형 레코더 설정의 재정의할 리소스 유형 항목이 기존 1개(모든 IAM 리소스 유형 통합)에서 4개로 변경됨
- 2025년 6월 12일:
  - KISMS 규정 준수 팩 항목이 변경됨
  - 현 시점으로부터 신규로 진단하는 경우 KISMS 팩을 새로 생성해야 함(구 cqx-config-kisms 삭제)
  - 팩 배포 중 사용자 지정 값(파라미터)이 비어있는 항목(InternetGatewayAuthorizedVpcOnlyParamAuthorizedVpcIds)은 수동 제거 후 배포
4-3. Config 설정 변경
- 2026년 3월 01일:
  - AWS Config > 설정 > 레코더 편집 > 기록 활성화 체크 > 재정의 설정의 4개 항목(AWS IAM ...) 제거
- 2025년 6월 12일:
  - AWS Config > 설정 > 레코더 편집 > 기록 활성화 체크 > 재정의 설정의 1개 항목(전역적으로 기록되는 모든 IAM 리소스...) 제거

Security Hub 무료 평가판(30일) 적용 기준

시나리오별 안내

시나리오	무료 사용 가능 여부
3일 사용 → Disable → 30일 이내 재활성화	✅ 최초 활성화 이후 잔여일수만 무료(재활성화 연동 x)
3일 사용 → Disable → 30일 경과 후 재활성화	❌ 즉시 과금 시작
다른 리전에서 처음 활성화	✅ 해당 리전에서 새로운 30일 무료 체험 적용

출처 및 요금 확인
- AWS Security Hub 요금 : 무료 평가판 조건 및 리소스 단위 요금표
- AWS Pricing Calculator : 예상 비용 계산

문서 버전: 1.1 최종 수정일: 2026-10-20 담당자: CQI 클라우드AX운영최적화팀(cloud-tech@lgcns.com)