AWS SSM 검색
AWSSystems Manager(SSM) 에이전트 검색은 SSM을 사용하여 AWS Elastic Compute Cloud(EC2)를 검색하는 Amazon 간소화된 에이전트 기반 접근 방식을 도입합니다. 이러한 통합은 SSM 에이전트를 활용하여 기존 MID 서버 구성에 대한 종속성을 줄이고, 자격 증명 관리를 간소화하고, 다중 리전 환경에서 확장성을 개선함으로써 향상됩니다디스커버리.
워크플로우
- ServiceNow AI Platform® 검색 명령을 MID 서버.
- MID는 서비스(SSM, Simple Storage Service(S3), Parameter Store)와 AWS 상호작용하여 대상 장치에서 명령을 실행합니다.
- SSM 에이전트는 명령을 실행하고 결과를 S3에 반환합니다.
- MID가 결과를 검색하고 처리합니다.
- MID는 ECC 큐를 통해 결과를 다시 ServiceNow AI Platform® 전송하여 CMDB.
이점 및 사용
- 운영 체제 로컬 추가 자격 증명 없이 검색을 실행합니다.
- (ACC) 또는 VPC(Virtual Private Cloud)에 액세스할 필요 에이전트 클라이언트 수집기 없이 배포를 단순화합니다.
- 대상 장치에 대한 다중 MID 서버 및 직접 네트워크 액세스의 필요성을 최소화합니다.
- 서비스를 사용하여 AWS 자격 증명 및 명령 실행을 안전하게 관리합니다.
요구 사항
- 디스커버리
- 클라우드 디스커버리 작업 공간 버전 1.7.1 이상.
- CMDB CI 클래스 모델 버전 1.74.0 이상.
- 디스커버리 및 서비스 매핑 패턴 버전 1.27.0 이상.
MID 서버를 설치합니다. 자세한 내용은 MID Server 설치 및 구성을 참조하십시오.
관리 접근 권한이 있는 사용자 계정이 있는지 AWS 확인합니다.
discovery_admin 역할이 있는 사용자 계정이 있는지 확인합니다 ServiceNow AI Platform® .
지원되지 않는 기능
현재 다음 기능은 SSM 검색을 지원하지 AWS 않습니다.
- 파일 기반 검색
- 인증서 기반 검색
- 하향식 검색
- 고급 ADM
- 패턴에서 사용자 단계 변경/변경 취소
AWS 환경 구성
- IAM 역할 및 권한 생성
- 읽기, 쓰기 및 목록 명령을 실행하는 데 필요한 권한을 지정하여 SSM 작업을 지원하는 AWS IAM(Identity and Access Management) 역할을 정의합니다. 자세한 내용은 IAM 정책 단원을 참조하십시오
- EC2 역할 및 인스턴스 구성
- EC2 역할을 생성하고 이러한 역할이 SSM과 상호 작용하는 데 필요한 권한을 할당합니다. EC2 인스턴스 설정에 대한 자세한 내용은 EC2 인스턴스 단원을 참조하십시오.
- S3 버킷 생성
- S3 버킷을 생성하여 대용량 데이터 전송을 지원하고 적절한 버킷 정책 및 수명 주기 규칙을 구성합니다. SSM의 24,000자 출력 제한을 극복하기 위해 명령 출력이 S3로 리디렉션되어 전체 페이로드 캡처가 가능합니다. 또한 S3는 EC2 인스턴스로의 파일 전송을 용이하게 합니다. S3 버킷 생성에 대한 자세한 내용은 S3 버킷 설정 섹션을 참조하세요.
- (선택 사항) KMS 키 구성
- 사용자 지정 AWS 키 관리 서비스(KMS) 키를 생성하여 Systems Manager Parameter Store에서 SecureString 파라미터로 저장된 민감한 자격 증명을 암호화합니다 AWS . 전용 키를 사용하면 자격 증명이 일반 텍스트로 노출되지 않고 런타임에 암호화되고 안전하게 검색되는지 확인하여 보안을 강화할 수 있습니다. KMS 키 생성에 대한 자세한 내용은 고객 관리형 AWS KMS 키 생성 섹션을 참조하세요.중요사항:에서 디스커버리애플리케이션 자격 증명을 사용하는 경우 사용자 지정 KMS 키를 생성해야 합니다.
- 사용자 지정 SSM 문서 임포트
- SSM 명령 실행은 필요한 문서의 가용성에 따라 달라집니다. SSM 기반 검색을 시작하기 전에 에서 ServiceNow 제공하는 모든 YAML 파일이 검색 프로세스가 실행되는 각 AWS 지역에 성공적으로 배포되었는지 확인합니다. 이 프로세스에 대한 자세한 내용은 사용자 지정 AWS 문서 임포트 단원을 참조하십시오. 이 문서에서 직접 YAML 파일을 다운로드할 수 있습니다.
Management Console 구성에 대한 AWS 자세한 내용은 의 Now Support 지식베이스Amazon SSM 검색 - AWS 환경 설정 지침 문서를 참조하십시오.
ServiceNow AI Platform® 인스턴스 구성
- 시스템 속성 구성
- 다음 디스커버리 시스템 속성을 활성화합니다.
- glide.discovery.enable_ssm
- glide.discovery.ssm.enable_windows
SSM Agent는 AWS 루트()Linux 또는 SYSTEM(Windows) 권한으로 실행되므로 SSM Agent를 통해 전송되는 모든 명령을 전체 시스템 액세스 권한으로 실행할 수 있습니다. 이러한 높은 수준의 액세스로 인해 SSM은 보안상의 이유로 기본적으로 꺼져 있습니다. 자세한 내용은 SSM 기반 디스커버리 사용 AWS 문서를 참조하십시오.
- 루트 및 루트가 아닌 자격 증명 정의
-
이 MID 서버 속성을 mid.discovery.aws_ssm.linux.fallback_root_user 사용하면 EC2 인스턴스가 기본적으로 루트 사용자로 설정될 수 있습니다. 기본적으로 이 설정은 false이지만 대체 사용자 자격 증명을 설정하지 않으려면 루트로 명령을 실행하도록 설정할 수 있습니다. 이 설정을 해제한 상태로 두면 인스턴스에서 명령을 실행하는 데 사용해야 하는 사용자 이름만 제공하면 SSM 인스턴스 사용자 [aws_ssm_instance_user_credentials] 테이블에 자격 증명 레코드가 AWS 생성되어야 합니다. 자세한 내용은 루트 폴백 사용 .사용자 지정 사용자 자격 증명 구성
- 속성 구성 MID 서버
- Management Console에서 KMS 키 또는 S3 버킷을 AWS 설정한 후 에서 다음 MID 서버 시스템 속성을 구성합니다.ServiceNow AI Platform®
- mid.discovery.aws_ssm.kms_key_name
- mid.discovery.aws_ssm.kms_key_region
- mid.discovery.aws_ssm.s3_bucket_name
- mid.discovery.aws_ssm.s3_bucket_region
- 역량 사용 MID 서버
- SSM MID 서버 검색 실행을 지원할 수 있도록 SSM에 대한 AWS 새 MID 서버 기능을 활성화해야 합니다. 기본적으로 이 기능은 모든 기능을 사용하는 경우에 포함됩니다. 그러나 개별 기능을 사용하는 경우 새 AWS SSM 기능을 MID 서버에 수동으로 추가해야 합니다. 역량 추가에 대한 자세한 내용은 다음 문서를 Configure MID Server capabilities참조하십시오.
클라우드 디스커버리 일정 구성
- 클라우드 디스커버리 일정 생성
- SSM 검색은 의 AWS 기반 클라우드 디스커버리 일정 내에 배포할 수 있습니다.디스커버리 관리자 작업 공간 이렇게 하려면 심층 검색 단계로 이동하여 IP 기반 검색 일정 생성 토글을 활성화하고 방법으로 AWS Systems Manager(SSM) 에이전트디스커버리 를 통해 서버 검색을 선택합니다. 자세한 내용은 AWS 디스커버리디스커버리 관리자 작업 공간에서 일정 생성 문서를 참조하십시오.