CloudFormation 템플릿이 VPC 및 EC2 보안 그룹을 배포합니다. 관리자가 일부 엔지니어가 테스트를 위해 몇몇 EC2 인스턴스에서 보안 그룹 설정을 변경했음을 발견했습니다. 개발자는 어떤 변경이 이루어졌는지 확인해야 합니다. 어떤 방법으로 수정 사항을 식별할 수 있을까요?

CloudFormation 드리프트 감지(drift detection)는 스택 리소스의 실제 구성이 CloudFormation 템플릿에 정의된 예상 구성과 다른지 여부를 식별합니다. 이 경우, 보안 그룹 설정이 템플릿과 다르게 변경되었으므로 드리프트 감지를 실행하면 이러한 변경 사항을 정확히 찾아낼 수 있습니다. CloudFormation YAML 템플릿에 Conditions 섹션을 추가하는 것은 템플릿의 특정 조건에 따라 리소스 생성을 제어하는 것이지, 이미 배포된 리소스의 변경 사항을 감지하는 기능이 아닙니다. CloudFormation 변경 세트(change set)는 스택에 적용될 제안된 변경 사항을 미리 보여주지만, 이미 발생한 드리프트(템플릿과 다른 실제 구성)를 감지하는 데 사용되지 않습니다. Amazon Detective는 잠재적인 보안 문제를 분석하고 조사하는 데 사용되는 서비스이며, CloudFormation 스택 드리프트를 직접 감지하는 도구가 아닙니다.