Terraform으로 AWS S3 로그 소스 관리

Terraform에서 S3 로그 소스를 코드로 관리하기

개요

Panther S3 로그 소스를 Terraform에서 완전히 정의할 수 있습니다—즉, AWS에서 S3 버킷과 관련 인프라를 생성하고 이를 Panther 인스턴스에 온보딩할 수 있습니다. Panther는 Terraform 제공자.

S3 로그 소스를 생성하는 다른 방법으로는 Panther API 사용 직접 및 Panther 콘솔에서 수동 생성.

Terraform에서 Panther S3 로그 소스를 정의하는 방법

다음 섹션에서는 HashiCorp 구성 언어(HCL)로 S3 로그 소스를 정의하는 방법을 설명합니다. AWS와 Panther 인프라를 모두 HCL로 정의하게 됩니다.

Panther에서 생성하는 첫 번째 로그 소스는 Panther 콘솔에서 수행해야 합니다. 첫 번째 Panther 로그 소스를 Terraform으로 설정하면 에서 자세히 설명된 "보류 중 확인(pending confirmation)" 문제가 발생할 수 있습니다 이 지식 베이스 문서를 참조하세요.

전제 조건

• 시작하기 전에, 다음 권한을 가진 API URL 및 토큰이 있는지 확인하십시오 로그 소스 관리(Manage Log Sources) 완료하려면 이 권한이 필요합니다 2단계.

  • 필요한 경우, 다음을 따르십시오 Panther 콘솔에서 API 토큰을 생성하는 이 지침.

1단계: 변수 정의

• 생성하세요 variables.tf 파일에 다음 AWS 및 Panther 변수를 포함:

variable "aws_account_id" {
  type        = string
  description = "템플릿이 배포되는 AWS 계정 ID"
}

variable "panther_aws_account_id" {
  type        = string
  description = "귀하의 Panther 인스턴스가 속한 AWS 계정 ID"
}

variable "panther_aws_region" {
  type = string
  default = "us-east-1"
  description = "Panther 인스턴스가 배포된 리전"
}

variable "panther_aws_partition" {
  type        = string
  default     = "aws"
  description = "Panther 백엔드를 실행하는 계정의 AWS 파티션 예: aws, aws-cn, 또는 aws-us-gov"
}

variable "s3_bucket_name" {
  type        = string
  description = "온보딩할 S3 버킷 이름"
}

variable "log_source_name" {
  type = string
  description = "Panther에서 생성할 로그 소스의 이름"
}

variable "panther_api_token" {
  type = string
}

variable "panther_api_url" {
  type = string
}

2단계: 정의한 변수에 값 제공

• 다음을 추가하십시오 *.tfvars 1단계에서 정의한 변수에 값을 할당하는 파일입니다. 이 섹션을 완료하려면, 에 설명된 API URL 및 토큰이 필요합니다 전제 조건 섹션.

  • 당신의 panther_api_url 값은 루트 API URL이어야 합니다. 이는 다음 중 하나입니다:

    • A GraphQL API URL 다음 없이 /public/graphql 접미사

    • A REST API URL 있는 그대로(REST URL은 루트 URL 뒤에 접미사가 없습니다)

aws_account_id         = "XXXXXXXXXX"
panther_aws_account_id = "XXXXXXXXXX"
panther_aws_region     = "us-east-1"
panther_aws_partition  = "aws"
s3_bucket_name         = "test-bucket"
log_source_name        = "test-integration"
panther_api_token      = "XXXXXXXXXX"
panther_api_url        = "https://your-panther-url/v1"

3단계: Terraform 제공자 정의

• 다음 두 Terraform 제공자를 모두 포함하십시오: AWS 와 Panther Terraform 제공자:

terraform {
  required_providers {
    panther = {
      source = "panther-labs/panther"
    }
    aws = {
      source  = "hashicorp/aws"
    }
  }
}

4단계: AWS 인프라 정의

AWS에서는 S3 버킷과 SNS 주제를 생성해야 합니다. S3 버킷에서 로그를 수집하려면 객체 생성 시 버킷이 SNS 주제로 알림을 작성해야 합니다. 이 주제에 대한 구독이 있어야 Panther의 입력 큐로 객체 정보를 푸시할 수 있습니다.

S3 버킷 정의

다음 HCL 구성은 S3 버킷과 해당 콘텐츠에 접근하기 위한 관련 IAM 역할을 정의합니다. 이 역할은 S3 버킷에 대한 읽기 권한이 필요하며, 들어오는 로그를 읽기 위해 Panther 인스턴스가 이 역할을 맡습니다.

resource "aws_s3_bucket" "log_bucket" {
  bucket = var.s3_bucket_name
}

resource "aws_iam_role" "log_processing_role" {
  name = "PantherLogProcessingRole-${var.s3_bucket_name}"

  # 역할을 맡을 수 있는 권한을 엔터티에 부여하는 정책
  assume_role_policy = jsonencode({
    Version : "2012-10-17",
    Statement : [
      {
        Action : "sts:AssumeRole",
        Effect : "Allow",
        Principal : {
          AWS : "arn:${var.aws_partition}:iam::${var.panther_aws_account_id}:root"
        }
        Condition : {
          Bool : { "aws:SecureTransport" : true }
        }
      }
    ]
  })

  tags = {
    Application = "Panther"
  }
}


# S3 데이터를 읽기 위한 IAM 역할 인라인 정책 제공
resource "aws_iam_role_policy" "read_data_policy" {
  name = "ReadData"
  

  role = aws_iam_role.log_processing_role.id
  policy = jsonencode({
    Version : "2012-10-17",
    Statement : [
      {
        Effect : "Allow",
        Action : [
          "s3:GetBucketLocation",
          "s3:ListBucket",
        ],
        Resource : "arn:${var.aws_partition}:s3:::${aws_s3_bucket.log_bucket.bucket}"
      },
      {
        Effect : "Allow",
        Action : "s3:GetObject",
        Resource : "arn:${var.aws_partition}:s3:::${aws_s3_bucket.log_bucket.bucket}/*"
    }, ]
  })
}

SNS 주제 정의

다음 HCL 구성은 SNS 주제와 S3 버킷 알림을 활성화하기 위한 관련 정책을 생성합니다. 또한 메시지를 Panther의 입력 데이터 알림 큐로 전달하기 위한 구독을 생성합니다.

동일한 SNS 주제는 여러 S3 버킷 통합에 사용할 수 있습니다.

resource "aws_sns_topic" "panther_notifications_topic" {
  name = "panther-notifications-topic"
}

resource "aws_sns_topic_policy" "default" {
  arn = aws_sns_topic.panther_notifications_topic.arn

  policy = data.aws_iam_policy_document.panther_notifications_topic_policy.json
}

data "aws_iam_policy_document" "panther_notifications_topic_policy" {
  statement {
    sid = "AllowS3EventNotifications"
    actions = [
      "sns:Publish",
    ]
    effect = "Allow"
    principals {
      type = "Service"
      identifiers = ["s3.amazonaws.com"]
    }
    resources = [
      aws_sns_topic.panther_notifications_topic.arn,
    ]
  }
  statement {
    sid = "AllowCloudTrailNotification"
    actions = [
      "sns:Publish",
    ]
    effect = "Allow"
    principals {
      type = "Service"
      identifiers = ["cloudtrail.amazonaws.com"]
    }
    resources = [
      aws_sns_topic.panther_notifications_topic.arn,
    ]
  }
  statement {
    sid = "AllowSubscriptionToPanther"
    actions = [
      "sns:Subscribe",
    ]
    effect = "Allow"
    principals {
      type = "AWS"
      identifiers = ["arn:${var.panther_aws_partition}:iam::${var.panther_aws_account_id}:root"]
    }
    resources = [
      aws_sns_topic.panther_notifications_topic.arn,
    ]
  }
}

resource "aws_s3_bucket_notification" "panther_event_notifications" {
  bucket = aws_s3_bucket.log_bucket.id

  topic {
    topic_arn = aws_sns_topic.panther_notifications_topic.arn
    events        = ["s3:ObjectCreated:*"]
  }
}

resource "aws_sns_topic_subscription" "panther_notifications_subscription" {
  topic_arn = aws_sns_topic.panther_notifications_topic.arn
  protocol  = "sqs"
  endpoint  = "arn:${var.panther_aws_partition}:sqs:${var.panther_aws_region}:${var.panther_aws_account_id}:panther-input-data-notifications-queue"
  raw_message_delivery = false
}

5단계: Panther S3 로그 소스 정의

다음 HCL 구성은 Panther에서 S3 로그 소스를 정의합니다.

참고로 panther_managed_bucket_notifications_enabled 값이 다음으로 설정되어 있습니다 true. 이는 이 로그 소스와 관련된 모든 인프라가 외부에서 관리되고 있음을 나타냅니다(이 경우 Terraform을 통해).

provider "panther" {
  token = var.panther_api_token
  url   = var.panther_api_url
}

resource "panther_s3_source" "demo_source" {
  aws_account_id                          = var.aws_account_id
  name                                    = var.log_source_name
  log_processing_role_arn                 = aws_iam_role.log_processing_role.arn
  log_stream_type                         = "JSON"
  panther_managed_bucket_notifications_enabled = false
  bucket_name                             = aws_s3_bucket.log_bucket.bucket
  prefix_log_types = [{
    excluded_prefixes = []
    log_types         = ["AWS.CloudTrail"]
    prefix            = ""
  }]
}