Console Hopping

• EC2 확인 → CloudWatch → VPC → IAM → Cost Explorer
• 평균 5-7개 콘솔 페이지를 오가며 문제 해결
• 멀티 어카운트 환경에서는 로그인만 10번

데이터 사일로

• CloudWatch 메트릭 ≠ Prometheus 메트릭 ≠ 로그 ≠ 트레이스
• 교차 분석 불가 → 근본 원인 파악 지연

반복적 수작업

• "이 인스턴스 rightsizing 필요한가?"
• "미사용 리소스 정리해야 하는데..."
• 매번 같은 CLI 명령어 반복 실행

보고서 작성 부담

• Well-Architected Review 수작업
• FinOps 리포트 매월 수동 작성
• 2-3일 소요 → 실시간성 부족

For DevOps / SRE

• Console Hopping 제거 — 한 화면에서 모든 리소스
• 자연어 트러블슈팅 — "VPC Flow Log 분석해줘" (읽기 전용, 스트리밍 챗)
• Topology / EKS 읽기 전용 뷰 — CF→LB→TG→DB 리소스 그래프
• Network 통합 뷰 — NFM(트래픽 top-contributor·E2E hop) · Direct Connect(피크 사용률·BGP) · DNS·IP·VPC 엔드포인트·Network Firewall까지 하나의 대시보드
• Datasource Explore — Prometheus · Loki · Tempo · ClickHouse 교차 조회
• Cmd-K + 4개 언어 — 한/영/中/日 완전 지원, 어디서든 키보드로 이동

For FinOps / Management

• 읽기 전용 비용 분석 — Cost 대시보드 + AgentCore 비용 도구
• Rightsizing 인사이트 — 권고만 제시, 자동 적용 없음
• 종합진단 리포트 — light·mid 9 / deep 16 섹션, Well-Architected 매핑
• DOCX / PDF 내보내기 — 비동기 워커가 생성, 수작업 대체

Foundation

• 단일 루트 terraform/v2/foundation/
• Partial S3 backend — awsops-v2-tfstate, use_lockfile (DynamoDB 없음)
• TF ≥ 1.15, provider ~>6.0, arm64
• Saved-tfplan 규율 — 공유 인프라는 apply tfplan (no -auto-approve)

LIVE 오늘: workers · steampipe · agentcore · integrations · ai_cost_tracking · diagnosis_schedule · diagnosis_notify · eks_auto_register · hybrid_routing

Feature Flags (~17개, 전부 default-off = $0)

• agentcore_enabled · workers_enabled · steampipe_enabled
• hybrid_routing_enabled · diagnosis_schedule_enabled · diagnosis_notify_enabled
• incident_lifecycle_enabled · k8sgpt_enabled · rca_writeback_enabled
• eks_auto_register_enabled · ai_cost_tracking_enabled · multi_route_synthesis_enabled
• remediation_enabled — ADR-005 FROZEN, do-not-enable

Core Layers

Gated Subsystems

Next.js 14 Standalone (arm64)

• 루트 경로 서빙 — basePath 없음, fetch는 /api/*
• Thin-BFF 원칙 — 무겁고·길고·OOM 위험 작업은 직접 실행 금지
• 무거운 작업은 워커 큐로 enqueue — 범용 POST /api/jobs는 noop 계열만, report/compliance 등 도메인 job은 소유권 검사하는 전용 라우트(ADR-009)

Routes

• /api/health — 공개 헬스체크
• /api/stream — SSE 스트리밍
• /api/db — Aurora ping
• /api/jobs (+/[id]) — 비동기 작업

Aurora (PostgreSQL 17.9)

• 0.5–4 ACU, KMS CMK, RDS-관리 master secret
• 앱 접근 = node-pg (web/lib/db.ts)
• ADR-030 스키마 (v9 baseline) + worker_jobs · chat threads · diagnosis
• 새 테이블 = ULID 마이그레이션 (migrations/_*.sql)

Steampipe = 인벤토리 sync ONLY

Routing Pipeline

1. Regex fast-path — 명백한 질의는 즉시 라우팅
2. Haiku 4.5 classifier — 애매하면 분류
3. Prompt caching — 약 59% 캐시 히트
4. → 섹션 라우팅 → SSE 스트리밍 + 도구 표시

Gate Result

• 69.2% → 96.9% (+27.7pp)
• LIVE (hybrid_routing_enabled = true)

Chat UX

잡 종류 (2026-06-18 이후 증가)

• schedule_dispatcher — 시간별 EventBridge → report_schedules 스캔 → 진단 잡 enqueue (diagnosis_schedule_enabled, LIVE)
• diagnosis_digest (workers.tf) — 리포트별 이메일 대신 배치 SNS 다이제스트 (workers_enabled && diagnosis_notify_enabled 게이트로 이미 배포됨; ADR-13이 명시적으로 승인한 건 스케줄 진단 요약뿐이라 수동 실행분까지 배치하는 현재 구현은 ADR 범위를 넘어섬 — 후속 ADR 정리 필요)
• compliance (Powerpipe) — CIS 벤치마크 Fargate 잡 (steampipe_enabled)

Datasource Platform (read-only)

• 커넥터: ClickHouse · Prometheus · Loki · Tempo · Mimir + Jaeger · Dynatrace · Datadog (8종)
• connector Lambda + Aurora schema cache
• chat injection — AI가 데이터소스 교차 조회
• /datasources Explore 페이지 + NL→query

Topology

3 Auth Modes (Aurora eks_registrations.auth)

• task-role presigned STS — configure.mjs 멀티선택 → eks.tf Access Entry + AmazonEKSAdminViewPolicy(클러스터 스코프, View 아님 — View는 cluster-scoped list 403)
• sa-token / assume-role — 클러스터별 Aurora 등록, terraform 온보딩 불필요
• Auto-Register (LIVE) — EventBridge(CloudTrail) → Lambda → eks_registrations (eks_auto_register_enabled)

Read-Only Query

• nodes / pods / deployments / services (+ explorer kinds)
• BFF-direct (워커 거치지 않음)
• core discovery(ListClusters/DescribeCluster)는 ungated·always-on(workload.tf) — /api/eks·/api/overview·/api/cost는 온보딩 flag와 무관하게 항상 동작

Registry + Assume

• Aurora accounts 레지스트리 — 호스트 계정은 lazy seed
• 대상 계정 AWSopsReadOnlyRole을 host task role이 STS AssumeRole
• ExternalId — 1st-party(trust policy가 task-role ARN 핀) = 선택, 3rd-party/와일드카드 = 필수(confused-deputy 방어)
• 글로벌 셀렉터: 단일 계정 스코프 / __all__ = 전 계정 fan-out

Safety

• host self-assume 가드 — target == host면 get_role_arn()이 None 반환 → host 실행 role 직접 사용(v1 전용 role을 host에서 self-assume → AccessDenied 오진 방지)
• read-only 한정 — 대상 계정 변경 작업 없음(ADR-005 동결과 정합)
• /accounts admin UI + CFN으로 대상 계정에 read-only role 배포(코드 변경 없음)

Cognito + Lambda@Edge

• us-east-1, py3.12, viewer-request
• RS256 JWKS 서명 검증 (iss/aud/token_use)
• OAuth state + PKCE public client

Login (ADR-002)

• Primary = 자체 /login 폼
• BFF POST /api/auth/login → 무서명 공개 InitiateAuth(USER_PASSWORD_AUTH) → awsops_token (id_token 12h)
• Hosted UI PKCE = dark fallback, signout = 쿠키 삭제

사용자 질문

"비용 개선점 찾아줘"

동작 흐름 (read-only)

• cost 섹션 에이전트 — Cost Explorer / Forecast 조회
• Cost 대시보드 — 서비스별 비용·추이 시각화
• EKS 메트릭 — request 대비 실사용량 (read-only)
• regex + Haiku 라우팅 → cost gateway

분석 결과 예시 (권장만)

• "payment Pod: CPU request 500m, 실사용 50m → 90% 과할당 (rightsizing 권장)"
• "frontend Deployment: Memory limit 2Gi, 사용량 200Mi → 다운사이징 권장"
• "Node 3대 중 2대 활용률 15% 미만 → 통합 검토"
• "예상 월 절감 $1,200 — 권장사항"

Read-Only 원칙

권장사항만 제시 · 자동 적용 없음 (mutating 설치 버튼은 ADR-005로 동결 — do-not-enable)

사용자 흐름

/inventory/[type] 페이지 → AgentCore 질의

Inventory 플랫폼

• 41종 resource types — /inventory/[type] 제네릭 페이지
• flag-gated Steampipe sync (warm Fargate) → Aurora 적재
• registry 기반 내비게이션 · fan-out sync
• 페이지별 mini-dashboard (KPI / donut / filters)

점검 예시 (read-only)

• "미연결 EBS 볼륨 · 미사용 Elastic IP 후보 식별"
• "오래된 스냅샷 · 중지된 EC2 검토"
• "ENI 참조 없는 Security Group"
• AgentCore 라이브 조회로 현황 보강

라이브 vs 인벤토리

Steampipe = 인벤토리 sync 전용 (Aurora 적재) 라이브 조회는 AgentCore MCP 도구가 담당

워커 기반 Export

• DOCX — python-docx
• PDF — chromium / playwright 렌더
• Noto CJK 폰트 (한글 깨짐 방지)
• 워커 티어에서 생성 · 실패 격리

저장 / 다운로드

• S3 → diagnosis/{id}.docx · diagnosis/{id}.pdf
• BFF 프록시 다운로드 라우트 + UI 메뉴
• 생성 일시 KST 표기

리포트 라이프사이클

• 자동 제목 (워커 LLM 1회, 격리)
• 태그 자동 제안 + 수동 편집
• 제목 수정 · 소프트 삭제 (deleted_at)
• 읽기 경로 = deleted_at IS NULL
• PATCH / DELETE = fail-closed (owner | admin)

XSS 안전

title / tags는 React-escape 렌더 (raw HTML 주입 없음)

스케줄 진단 (diagnosis_schedule_enabled)

• report_schedules 테이블 — 주간 / 격주 / 월간 (next_run_at 기준)
• hourly schedule_dispatcher — 스캔 후 report job enqueue
• v1 report-scheduler.ts 패턴 승계

알림 다이제스트 (병합·배포 완료)

• diagnosis_digest.py — notified_at IS NULL 리포트를 ~15분 배치로 묶어 SNS 1건 발송 (workers_enabled && diagnosis_notify_enabled 게이트로 이미 main 병합·라이브 배포됨; ADR-13이 승인한 건 스케줄 요약뿐이라 수동 실행분까지 묶는 현재 범위는 ADR 정리 대상)
• 완료 즉시 개별 발송(per-report) 방식 폐기 — 폭주 방지(하루 44건 → 1건)
• PII 스크러빙 — Bedrock 호출 전 ARN·계정ID·이메일·IP·액세스키를 결정론적으로 마스킹 (현재 라이브)

Explore (/datasources)

• read-only 커넥터 플랫폼 (8종)
• ClickHouse · Prometheus · Loki · Tempo · Mimir
• + Jaeger · Dynatrace · Datadog (신규 3종)
• 커넥터 Lambda + Aurora schema cache

기능

• NL → query 변환 + 챗 주입(injection)
• 스키마는 Aurora에 캐시되어 빠른 재조회
• 전 커넥터 READ만 — 변경·자율 없음

조회 화면

• fleet-wide nodes / pods / deployments / services 개별 페이지
• explorer — K9s 스타일, 11개 리소스 종류 탭
• container cost 뷰

인증 & 온보딩

• 3가지 클러스터 인증 모드: sa-token / assume-role / task-role(Access Entry)
• task role Access Entry + AmazonEKSAdminViewPolicy
• LIVE 즉시 조회 등록 — Access Entry 보유 클러스터는 바로 등록

Security Findings Pipeline

Compliance Benchmark Flow

AWSops가 제공하는 것

• Read-only AWS 운영 대시보드 + AI 진단
• 자연어 챗 → 라이브 read-only 조회 (AgentCore MCP)
• 종합진단 리포트 (light·mid 9 / deep 16 · Well-Architected)
• 인벤토리 · 토폴로지 · Datasources · EKS

핵심 차별점

• in-account Bedrock (외부 AI SaaS API 없음)
• private edge (공개 ALB 없음, CloudFront VPC Origin)
• OOM-safe 비동기 워커 티어

Read-Only 자세 (ADR-005/007)

• AWS-리소스 변경 + 자율 = 동결 (ADR-005, do-not-enable)
• 외부 관측성 READ 허용
• 외부 기록 / 티켓 / 메시지 WRITE 는 거버넌스 하 허용
  • SSRF · Secrets · DLP · human-gate · flag-OFF
• 변경되는 것은 DATA, AWS 리소스가 아님

시작하기

1. make configure → Terraform apply
2. make deploy
3. Cognito 사용자 추가 · /login
4. 어시스턴트에서 질문 시작