※본 블로그는 이전에 작성한 아래 블로그를 최신화한 내용입니다. Amazon Bedrock의 모델 액세스 활성화 설정이 불필요해졌으므로 수정하였습니다.

얼마 전, AWS의 Amazon Bedrock을 이용한 생성형 AI 개발 프로젝트(PJ)를 시작했습니다.

그 과정에서 새로운 AWS 계정의 초기 설정을 진행했기에, 그때의 노하우를 정리했습니다.

이번에 소개할 작업 흐름은 다음과 같습니다.

① IAM 사용자 설정 MFA(Multi-Factor Authentication) 디바이스

② 비용 알림(Cost Alert) 설정

③ AWS CloudTrail을 통한 조작 로그 취득

④ Amazon GuardDuty를 통한 부정 활동 탐지 구현

⑤ Amazon Bedrock에서 Anthropic사의 모델(Claude) 액세스 활성화 ※임의 사항

이번에는 업무/회사의 AWS 계정 이용을 상정하고 있습니다.

부정 이용을 방지하기 위한 보안 대책, 과도한 AWS 사용 요금 발생을 방지하기 위한 대책은 필수이므로 반드시 설정을 포함하도록 합시다.

또한, 정기적으로 AWS 이용 요금(비용)을 체크하는 것도 권장합니다.

※ 이전에 인터넷에서 발견한 Bedrock의 지식 기반(Knowledge Base) 데모를 바탕으로 만들었더니,

OpenSearch를 실행하고 있어서 월 5만 엔에 가까운 구독 계약이 되어 있었습니다.

비용 체크를 통해 이를 깨닫고 서둘러 지식 기반 리소스를 삭제했습니다.

먼저, 이용할 IAM 사용자 설정입니다. IAM 사용자 생성 방법, 적절한 역할(Role), 정책(Policy) 설정은 기본 중의 기본이므로 설명은 생략하겠습니다.

확실하게 설정해 두고 싶은 것은 2단계 인증(MFA) 설정입니다.

각 사용자별로 AWS 콘솔에 로그인한 후, IAM-사용자-[본인 사용자] 설정에서 「MFA 디바이스 할당」을 통해 설정을 진행합니다.

또한, MFA 디바이스를 등록하지 않은 IAM 사용자에게 AWS 조작이 불가능하도록 설정을 해둡시다.

설정 방법은 아래의 JSON 코드로 IAM 정책을 설정합니다. (이름은 nonMFA_deny)

보충하자면, MFA 디바이스 변경을 허용하는 권한과 MFA 디바이스 설정이 되어 있지 않으면 기타 모든 AWS 조작을 거부하는 권한이 부여되어 있습니다.

{
"Version": "2012-10-17",
"Statement": [
...

다음으로 IAM 사용자 그룹을 생성합니다. 방금 작성한 IAM 정책(nonMFA_deny)을 연결합니다.

마지막으로, IAM 사용자 그룹에 IAM 사용자를 연결합니다.

AWS 이용 요금이 너무 많아지지 않도록 사전에 예산 부서와 조율한 금액을 초과할 것 같은 경우, 비용 알림을 발행하도록 합니다.

비용 알람 설정 방법은 다음과 같습니다.

「Billing and Cost Management」 화면의 AWS Budgets(예산) 항목에서 비용 알림을 설정합니다.

「예산 생성」을 클릭합니다.

각종 설정 항목을 입력합니다.

이번 프로젝트에서는 월 100 USD까지 이용 가능한 규칙이었으므로, 100 USD로 설정했습니다.

이메일 주소란에는 비용 알림을 받을 주소를 입력합니다.

설정을 입력했다면 「예산 생성」을 클릭하여 비용 알림을 생성합니다.

이것으로 비용 알림 생성이 완료되었습니다.

AWS CloudTrail은 AWS 상에서의 조작을 기록하는 감사 로그입니다.

AWS 설정이 부정하게 변경되었거나, 불필요한 리소스를 생성한 사람이 있을 때 범인을 찾는 데 매우 유용하므로 활성화해 둡니다.

기본 설정으로는 90일 동안만 저장되기 때문에, CloudTrail 로그를 S3에 저장하여 장기간 로그를 참조할 수 있도록 설정했습니다.

CloudTrail 로그를 생성하기 위한 CloudFormation의 yaml 파일 샘플을 첨부합니다.

AWSTemplateFormatVersion: '2010-09-09'
Description: This template create CloudTrail.
Parameters:
...

CloudFormation 코드를 실행한 후, 생성된 흔적(Trail)에 S3, Lambda, DynamoDB의 데이터 이벤트 흔적 기록 설정을 추가합니다.

Amazon GuardDuty는 각종 AWS 서비스의 부정 이용을 탐지하는 서비스이므로 활성화합니다.

Bedrock이 API를 통해 부정하게 실행되는 경우 등을 탐지할 수 있게 됩니다.

Amazon GuardDuty의 사양이나 구현에 대한 설명은 이전에 아래 블로그에서 다루었으므로, 이번에는 상세 내용을 생략하겠습니다.

Amazon Bedrock 화면에서 「Playground」 화면을 열고, Anthropic사의 모델 중 아무것이나 선택하여 적용(Apply)을 클릭합니다.

유스케이스(Use case) 등록 화면이 나타나면 필요한 정보를 입력합니다.

설정 후 몇 분 이내에 Anthropic사의 모델(Claude)을 사용할 수 있게 되므로,

「Playground」에서 동작 확인을 진행합니다.

이번에는 AWS에서의 생성형 AI 개발(Amazon Bedrock)을 시작할 때의 계정 초기 설정(Account initial setup) 절차를 해설했습니다.

상당히 긴 설명이 되었지만, AWS에 익숙한 사람이 한다면 반나절이면 충분히 끝낼 수 있는 분량입니다.