Keepers 구성 방식
Keepers는 제공자와 기둥의 3 × 3 매트릭스로 구성됩니다:| 제공자 | 비용 | 보안 | 성능 |
|---|---|---|---|
| AWS | AWS-COST | AWS-SEC | AWS-PERF |
| GCP | GCP-COST | GCP-SEC | GCP-PERF |
| Kubernetes | K8S-COST | K8S-SEC | K8S-PERF |
- 비용 규칙: 유휴 컴퓨팅 인스턴스, 연결 해제된 스토리지, 오래된 스냅샷, 미사용 고정 IP, 과대 크기의 데이터베이스, 유휴 로드 밸런서, 과다 요청된 파드 리소스 등
- 보안 규칙: 공개 S3 버킷, 미사용 IAM 역할, 루트에서 MFA 비활성화, 열린 보안 그룹, 파라미터 스토어의 시크릿 등
- 성능 규칙: RDS 연결 한도, 누락된 헬스 프로브, CrashLooping 파드, 스로틀된 리소스 등
자율성
모든 감지 규칙은 두 가지 모드 중 하나로 실행됩니다:| 모드 | 동작 방식 |
|---|---|
| Manual (수동) | 에이전트가 작업을 제안하고, 사람이 승인한 후 실행합니다. |
| Auto (자동) | 에이전트가 자체적으로 작업을 실행하고 결과를 보고합니다. |
사전 요구사항
- 읽기/모니터링 권한과 선택적으로 수정 권한이 있는 클라우드 계정 또는 Kubernetes 클러스터가 하나 이상 연결되어 있어야 합니다.
- 인앱 알림 외에 경고를 받으려면 Slack, Microsoft Teams, 또는 이메일 대상이 구성되어 있어야 합니다.
- 선택 사항: 발견 범위를 특정 환경으로 제한하려는 경우 태그 또는 필터를 준비하세요.
첫 번째 Keepers 설정
Keepers 열기
Infrastructure → Keepers로 이동하면 온보딩 화면이 표시됩니다. 클라우드 계정 연결, Keepers 활성화, 첫 번째 감지 스캔 실행의 세 단계를 안내합니다. Enable Your First Keepers를 클릭하여 시작합니다.
Keepers 선택 및 구성
설정 마법사는 두 단계로 구성됩니다. Select Keepers에서 활성화할 Keepers를 선택합니다 — 제공자(AWS, Kubernetes) 또는 기둥(비용, 보안, 성능)으로 필터링하세요. Review & Configure에서 Keeper별 감지 규칙을 세부 조정하고, 각 규칙을 Manual 또는 Auto로 설정하며, 어떤 규칙을 활성화할지 조정합니다.
대시보드 검토
Keepers를 활성화한 후 사이드바에서 하나를 선택하면 Dashboard 탭이 표시됩니다. Open Findings, Critical & High, Potential Savings, This Week 네 개의 통계 카드로 빠른 현황을 파악할 수 있습니다. Findings Over Time 차트는 심각도별 추세를 보여줍니다.
발견 분류
Findings 탭으로 전환하면 각 발견 상태별 컬럼이 있는 보드가 표시됩니다. 각 발견 카드에는 제목, 예상 절감액, 노력 수준, 위험 심각도가 표시됩니다. 카드를 클릭하여 세부 내용을 드릴다운하거나, 컬럼 사이로 드래그하여 상태를 업데이트하세요.
감지 실행 검토
Runs 탭에는 각 감지 실행의 상태, 요약, 소요 시간, 생성 또는 업데이트된 발견 수가 표시됩니다. Keepers가 예약대로 실행되는지 확인하는 감사 추적으로 활용하세요.
발견에서 추천으로
Keepers는 원시 감지를 추적 가능한 거버넌스 작업으로 전환합니다:- 감지 — 각 Keeper는 크론 스케줄(기본값: 매일 07:00 UTC)에 따라 또는 요청 시 실행되며, 이전에 발견된 리소스뿐만 아니라 허용된 모든 리소스를 스캔합니다. 모든 실행은 Runs 탭에 감사 추적을 남깁니다.
-
분류 — 각 발견에는 기둥, 심각도, 노력, 예상 절감액이 태그로 지정되어 가장 가치 있는 수정 사항을 우선시할 수 있습니다. 작업하면서 발견을 상태 사이로 이동합니다:
상태 의미 New (신규) 방금 감지됨; 아직 아무도 확인하지 않은 상태입니다. Acknowledged (확인됨) 팀 멤버가 해당 발견 사항을 확인하고 후속 조치를 담당합니다. Active (처리 중) 해당 발견 사항에 대한 작업이 진행 중입니다. Resolved (해결됨) 근본 문제가 수정되고 검증되었습니다. Dismissed (무시됨) 검토 후 의도적으로 조치하지 않기로 결정되었습니다. - 승격 — 발견은 초안으로 시작합니다. 조치 가치가 있는 것들을 활성 추천으로 승격하세요. 모든 추천에는 전후 추정치와 단계별 플레이북이 포함된 영향 분석이 있습니다. 세부 보기에서 Impact Analytics를 사용하여 더 깊은 분석을, Generate Guidelines로 공유 가능한 런북을, Custom Prompt로 엣지 케이스를 탐색하거나, Implement로 변경을 실행할 수 있습니다.
- 추적 — 추천을 Plan에 저장하여 승인, 일정 계획, 실행 추적을 위해 거버넌스, FinOps, 보안 팀이 동일한 진실의 원천을 공유할 수 있도록 합니다.
Keepers는 일상적인 운영 가드레일입니다. 평가는 더 심층적인 주기적 평가로, 일상적인 실행을 위한 것이 아닙니다.
Keeper 설정
각 Keeper에는 전용 Settings 탭이 있으며 다음을 구성할 수 있습니다:- 스케줄: 자동 실행을 위한 크론 표현식 (최소 1시간 간격).
- 감지 규칙: 개별 규칙 전환, 각 규칙을 Manual 또는 Auto로 설정, 규칙별 임계값 조정 (유휴 CPU %, 조회 일수, 스냅샷 최대 나이).
- 명령 및 권한: 각 규칙이 실행할 수 있는 클라우드 명령 관리, 명령별 효과 설정 (허용 / 승인 필요 / 거부).
- 알림: 채널별 최소 심각도 임계값이 있는 이메일, Slack, Teams 채널. 인앱 알림은 채널 설정에 관계없이 항상 전달됩니다.
예시
비용 가드레일
유기적으로 성장한 인프라는 수동 감사로는 거의 잡을 수 없는 낭비를 숨깁니다. AWS-COST는 유휴 EC2 인스턴스, 연결 해제된 EBS 볼륨, 노후 스냅샷, 사용률이 낮은 NAT 게이트웨이를 플래그 처리합니다. 또한 컨텍스트를 읽습니다: 일일 백업으로 태그된 볼륨은 목적이 있지만, 작년의 태그 없는 테스트 볼륨은 진정한 고아입니다. 대시보드에서 발견을 검토하고, 신뢰도 높은 것들을 승격하여 승인과 실행을 위해 Plan에 저장하세요.
보안 가드레일
보안 드리프트는 감사 사이에 누적됩니다: 지나치게 광범위한 IAM 역할, 공개 S3 버킷, 암호화되지 않은 볼륨, 0.0.0.0/0에 열린 보안 그룹. AWS-SEC는 지속적으로 스캔하고 운영 컨텍스트를 고려합니다 — 어디서든 들어오는 HTTP는 로드 밸런서에는 정상이지만 데이터베이스에는 위험하며, 루트 계정 액세스 키는 미사용 읽기 전용 역할보다 우선합니다. Critical 발견을 즉시 분류하기 위해 Slack으로 라우팅하고 Plan에서 다팀 수정을 추적하세요.
관련 문서
Plan
승인, 일정 계획, 실행 추적을 위해 발견을 Plan에 저장합니다
평가
일상적인 Keeper 실행과 함께 더 심층적인 주기적 Well-Architected 평가를 실행합니다
Slack 연동
실시간 분류를 위해 Keeper 경고를 Slack 채널로 라우팅합니다
태스크
Keepers를 보완하는 추가 반복 분석을 예약합니다