Day 3 - 로깅·감사·트러블슈팅: CloudTrail과 실패 복구

파이프라인이 멈췄을 때 "무슨 일이 있었는가"를 재구성하는 능력이 운영의 절반입니다. 오늘은 CloudTrail로 누가 무엇을 했는지 감사하고, 파이프라인을 체계적으로 디버깅하며, 실패에서 복구하고 DLQ(데드레터 큐)를 처리하는 방법을 다룹니다.

CloudTrail: 누가·언제·무엇을

CloudTrail은 계정의 API 호출 감사 로그입니다. CloudWatch가 "시스템이 어떻게 동작하는가(지표·로그)"라면, CloudTrail은 "누가 어떤 작업을 호출했는가"를 기록합니다.

• 관리 이벤트(Management Events): 리소스 생성·수정·삭제, IAM 변경 등 제어 평면 작업. 기본 활성.
• 데이터 이벤트(Data Events): S3 객체 GET/PUT, Lambda Invoke 등 데이터 평면 작업. 양이 많아 기본 비활성이며 선택적으로 켬.
• 인사이트 이벤트(Insights): 비정상적 API 호출 급증 등 자동 탐지.

질문: "어제 새벽 curated 테이블이 누가 DROP 했지?"
→ CloudTrail에서 glue:DeleteTable / athena 쿼리 이벤트를 시간·자격증명(userIdentity)으로 추적

💡 관련 이론: CloudWatch Logs와 CloudTrail은 역할이 다릅니다. CloudWatch Logs는 애플리케이션이 쓴 로그, CloudTrail은 AWS API 호출 기록입니다