Amazon SQS 에서 액세스 관리 개요 - Amazon Simple Queue Service

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Amazon SQS 에서 액세스 관리 개요

모든 AWS 리소스는 AWS 계정의 소유이고, 리소스 생성 또는 리소스 액세스 권한은 권한 정책에 따라 결정됩니다. 계정 관리자는 IAM 자격 증명 (즉, 사용자, 그룹, 역할) 에 권한 정책을 연결할 수 있고, 일부 서비스 (예: Amazon SQS) 에서는 리소스에 대한 권한 정책 연결도 지원합니다.

참고

계정 관리자 또는 관리자 사용자는 관리자 권한이 있는 사용자입니다. 자세한 내용은 IAM 사용 설명서의 IAM 모범 사례 단원을 참조하십시오.

권한을 부여하려면 권한을 부여 받을 사용자, 권한 대상이 되는 리소스, 이 리소스에서 허용할 특정 작업을 지정합니다.

Amazon Simple Queue Service 리소스 및

Amazon SQS 에서 유일한 리소스는대기열. 정책에서 Amazon 리소스 이름(ARN)을 사용하여 정책이 적용되는 리소스를 식별합니다. 다음 리소스에는 연결된 고유한 ARN이 있습니다.

리소스 유형 ARN 형식
Queue arn:aws:sqs:region:account_id:queue_name

다음은 대기열 ARN 형식의 몇 가지 예입니다.

  • 라는 대기열의 ARNmy_queue미국 동부 (오하이오) 리전에서, AWS 계정 123456789012에 속한:

    arn:aws:sqs:us-east-2:123456789012:my_queue
  • 라는 대기열의 ARNmy_queueAmazon SQS 에서 지원하는 여러 리전 각각에서 다음을 수행합니다.

    arn:aws:sqs:*:123456789012:my_queue
  • 다음은 * 또는 ?를 대기열 이름에서 와일드카드로 사용하는 ARN입니다. 다음 예제에서 ARN은 my_prefix_로 시작하는 모든 대기열과 일치합니다.

    arn:aws:sqs:*:123456789012:my_prefix_*

GetQueueAttributes 작업을 호출하여 기존 대기열의 ARN 값을 가져올 수 있습니다. QueueArn 속성 값은 대기열의 ARN입니다. ARN에 대한 자세한 내용은 단원을 참조하십시오.IAM ARNIAM 사용 설명서.

Amazon SQS 대기열 리소스를 사용하는 여러 작업을 제공합니다. 자세한 내용은 Amazon SQS API 권한: 작업 및 리소스 참조 단원을 참조하세요.

리소스 소유권 이해

AWS 계정은 리소스를 누가 생성했든 상관없이 계정에서 생성된 리소스를 소유합니다. 특히, 리소스 소유자는 리소스 생성 요청을 인증하는 보안 주체 엔터티(즉, 루트 계정, IAM 사용자 또는 IAM 역할)의 AWS 계정입니다. 다음 예에서는 이 계정의 작동 방식을 설명합니다.

  • AWS 계정의 루트 계정 자격 증명을 사용하여 Amazon SQS 대기열을 생성하면 AWS 계정은 해당 리소스의 소유자가 됩니다 (Amazon SQS에서 리소스는 Amazon SQS 대기열임).

  • AWS 계정에서 IAM 사용자를 생성하고 대기열을 생성할 수 있는 권한을 사용자에게 부여하면, 이 사용자가 대기열을 생성할 수 있습니다. 하지만 (사용자가 속한) AWS 계정이 대기열 리소스를 소유합니다.

  • AWS 계정에서 Amazon SQS 대기열을 생성할 권한이 있는 IAM 역할을 생성하는 경우 해당 역할을 담당할 수 있는 사람은 누구나 대기열을 생성할 수 있습니다. 이 경우 (역할이 속한) AWS 계정이 대기열 리소스를 소유합니다.

리소스 액세스 관리

A권한 정책에는 계정에 부여된 권한에 대한 설명이 나옵니다. 다음 단원에서는 권한 정책을 만드는 데 사용 가능한 옵션에 대해 설명합니다.

참고

이 단원에서는 Amazon SQS S의 맥락에서 IAM을 사용하는 방법에 대해 설명합니다. IAM 서비스에 대한 자세한 정보는 다루지 않습니다. IAM 설명서는 단원을 참조하십시오.IAM이란 무엇입니까?IAM 사용 설명서. IAM 정책 구문과 설명에 대한 자세한 내용은 단원을 참조하십시오.AWS IAM 정책 참조IAM 사용 설명서.

IAM 자격 증명에 연결된 정책은자격 증명 기반정책 (IAM 정책) 및 리소스에 연결된 정책을리소스 기반정책을 참조하십시오.

자격 증명 기반 정책 (IAM 정책 및 Amazon SQS 정책)

사용자에게 Amazon SQS 대기열에 대한 권한을 부여하는 방법에는 Amazon SQS 정책 시스템을 사용하는 방법과 IAM 정책 시스템을 사용하는 방법이 있습니다. 두 시스템 중 하나 또는 둘 다를 사용하여 정책을 사용자 또는 역할에 연결할 수 있습니다. 대다수의 경우에 시스템을 사용하여 같은 결과를 얻을 수 있습니다. 예를 들면,

  • 계정 내 사용자 또는 그룹에 권한 정책 연결— 사용자에게 Amazon SQS 대기열을 생성할 권한을 부여하려면, 권한 정책을 사용자가 속한 사용자 또는 그룹에 연결합니다.

  • 다른 AWS 계정의 사용자에게 권한 정책 연결— 사용자에게 Amazon SQS 대기열을 생성할 수 있는 권한을 부여하려면, Amazon SQS 권한 정책을 다른 AWS 계정의 사용자에게 연결합니다.

    다음 작업에는 교차 계정 권한이 적용되지 않습니다.

  • 역할에 권한 정책 연결 (교차 계정 권한 부여)교차 계정 권한을 부여하려면 자격 증명 기반 권한 정책을 IAM 역할에 연결합니다. 예를 들어, AWS 계정 A 관리자는 다음과 같이 AWS 계정 B (또는 AWS 서비스) 에 교차 계정 권한을 부여할 역할을 생성할 수 있습니다.

    • 계정 A 관리자는 IAM 역할을 생성하고 계정 A의 리소스에 대한 권한을 부여하는 역할에 권한 정책을 연결합니다.

    • 계정 A 관리자는 계정 B를 역할을 수임할 보안 주체로 식별하는 역할에 신뢰 정책을 연결합니다.

    • 계정 B 관리자는 역할을 담당할 권한을 계정 B의 사용자에게 위임합니다. 이렇게 하면 계정 B의 사용자가 계정 A에서 대기열을 생성하거나 액세스할 수 있습니다.

      참고

      AWS 서비스에 역할을 맡을 수 있는 권한을 부여하고 싶다면, 신뢰 정책의 보안 주체도 AWS 서비스 보안 주체가 될 수 있습니다.

IAM을 사용하여 권한을 위임하는 방법에 대한 자세한 내용은 을 확인하십시오.액세스 관리IAM 사용 설명서.

Amazon SQS IAM 정책과 작동하지만 자체 정책 인프라를 보유합니다. 대기열에서 Amazon SQS 정책을 사용하여 대기열에 액세스할 AWS 계정을 지정할 수 있습니다. 액세스 및 조건 유형을 지정할 수 있습니다(예: 2010년 12월 31일 이전에 요청한 경우 SendMessage, ReceiveMessage를 사용할 권한을 부여하는 조건). 권한을 부여할 수 있는 특정 작업은 전체 Amazon SQS 작업 목록의 하위 집합입니다. Amazon SQS 정책을 작성하고*를 사용하여 “모든 Amazon SQS 작업을 허용”하도록 설정하면 이것은 사용자가 이 하위 집합에서 모든 작업을 수행할 수 있음을 의미합니다.

다음 다이어그램은 작업의 하위 집합과 관련된 이 기본 Amazon SQS 정책 중 하나의 개념을 보여줍니다. 정책은 다음과 같습니다.queue_xyz로 설정되어 있으며, 지정된 대기열에서 허용된 작업을 사용할 수 있는 AWS 계정 1과 AWS 계정 2 권한을 부여합니다.

참고

정책의 리소스는 다음과 같이 지정됩니다.123456789012/queue_xyz여기서123456789012대기열을 소유한 계정의 AWS 계정 ID입니다.

IAM의 도입과 개념사용자Amazon 리소스 이름(ARN)에서 SQS 정책에 대한 몇 가지 사항이 변경되었습니다. 다음 다이어그램과 표에는 이 변경 사항에 대한 설명이 나와 있습니다.

서로 다른 계정의 사용자에게 권한 부여에 대한 자세한 내용은자습서: IAM 역할을 사용하여 AWS 계정 간 액세스 권한 위임IAM 사용 설명서.

*에 포함된 작업의 하위 집합이 확장되었습니다. 허용된 작업 목록에 대해서는 Amazon SQS API 권한: 작업 및 리소스 참조을 참조하십시오.

IAM 정책에서 리소스를 지정하는 표준 수단인 Amazon Resource Name (ARN) 을 사용하여 리소스를 지정할 수 있습니다. Amazon SQS 대기열의 ARN 형식에 대한 자세한 내용은 을 확인하십시오.Amazon Simple Queue Service 리소스 및.

예를 들어, 위 그림의 Amazon SQS 정책에 따라 AWS 계정 1 또는 AWS 계정 2에 대한 보안 자격 증명을 보유한 누구든지 에 액세스할 수 있습니다.queue_xyz. 또한 자체 AWS 계정 (ID) 에 있는 사용자 Bob과 Susan은123456789012) 가 대기열에 액세스 할 수 있습니다.

IAM 도입 전에 Amazon SQS 대기열의 생성자에게 대기열에 대한 전체 제어권을 자동으로 부여합니다 (즉, 이 대기열에서 가능한 Amazon SQS 작업에 대한 액세스). 생성자가 AWS 보안 자격 증명을 사용하지 않을 경우 이것은 더 이상 적용되지 않습니다. 대기열 생성 권한이 있는 사용자는 누구나 생성된 대기열에서 어떤 작업이든 할 수 있도록 다른 Amazon SQS 작업을 사용할 권한이 있어야 합니다.

다음은 한 사용자에게 모든 Amazon SQS 작업을 사용하도록 허용하는 정책 예제이지만, 리터럴 문자열 로 시작하는 이름을 가진 대기열에만 적용됩니다.bob_queue_.

{ "Version": "2012-10-17", "Statement": [{ "Effect": "Allow", "Action": "sqs:*", "Resource": "arn:aws:sqs:*:123456789012:bob_queue_*" }] }

자세한 내용은 단원을 참조하십시오.Amazon SQS 에서 자격 증명 기반 정책 사용, 및자격 증명(사용자, 그룹, 및 역할)IAM 사용 설명서.

다음과 같은 정책 요소를 지정합니다. 작업, 효과, 리소스, 보안 주체

For EachAmazon 단순 대기열 서비스 리소스에서 이 서비스는작업. 이러한 작업에 대한 권한을 부여하기 위해 Amazon SQS 정책에서 지정할 수 있는 작업을 정의합니다.

참고

작업을 실시하려면 둘 이상의 작업에 대한 권한이 필요할 수 있습니다. 특정 작업에 대한 권한을 부여할 때 해당 작업이 허용되거나 거부되는 리소스도 식별합니다.

다음은 가장 기본적인 정책 요소입니다.

  • 리소스— 정책에서 Amazon 리소스 이름 (ARN) 을 사용하여 정책을 적용할 리소스를 식별합니다.

  • 작업작업 — 작업 키워드를 사용하여 허용 또는 거부할 리소스 작업을 식별합니다. 예를 들어sqs:CreateQueue권한은 사용자가 Amazon Simple Queue Service를 수행할 수 있도록 허용합니다.CreateQueueaction.

  • Effect— 사용자가 특정 작업을 요청하는 경우의 결과를 지정합니다. 이는 허용 또는 거부 중에 하나가 될 수 있습니다. 리소스에 대한 액세스 권한을 명시적으로 부여하지 않으면 액세스가 암시적으로 거부됩니다. 한 리소스에 대한 액세스를 명시적으로 거부할 수도 있으며, 다른 정책에 따라 액세스 권한이 부여되더라도 사용자가 이 리소스에 액세스하지 못하도록 조치를 취할 수 있습니다.

  • 보안 주체 – 자격 증명 기반 정책(IAM 정책)에서 정책이 연결되는 사용자는 암시적인 보안 주체입니다. 리소스 기반 정책의 경우 사용자, 계정, 서비스 또는 권한의 수신자인 기타 개체를 지정합니다(리소스 기반 정책에만 해당).

Amazon SQS 정책 구문과 설명에 대한 자세한 내용은AWS IAM 정책 참조IAM 사용 설명서.

모든 Amazon 단순 대기열 서비스 작업과 해당 작업이 적용되는 리소스를 보여주는 표는 단원을 참조하십시오.Amazon SQS API 권한: 작업 및 리소스 참조.

정책에서 조건 지정

권한을 부여할 때 Amazon SQS 액세스 정책 언어를 사용하여 정책이 적용되는 조건을 지정할 수 있습니다. 예를 들어, 특정 날짜 이후에만 정책을 적용할 수 있습니다. 정책 언어로 조건을 지정하는 방법에 대한 자세한 내용은 단원을 참조하십시오.ConditionIAM 사용 설명서.

조건을 표시하려면 미리 정의된 조건 키를 사용합니다. Amazon SQS 와 관련된 조건 키는 없습니다. 하지만 Amazon SQS 와 함께 사용할 수 있는 AWS 차원의 조건 키가 있습니다. 현재 Amazon SQS IAM에서 사용할 수 있는 조건 키의 제한된 하위 세트만 지원합니다. Amazon SQS API 권한: 작업 및 리소스 참조 단원을 참조하십시오.