AmazonECS_FullAccess 관리형 정책으로 마이그레이션

iam:passRole 권한을 이용한 보안 결과에 응답하여 AmazonEC2ContainerServiceFullAccess 관리형 IAM 정책이 2021년 1월 29일에 단계적으로 폐지되었습니다. 이 권한은 계정 역할에 대한 자격 증명을 비롯하여 모든 리소스에 대한 액세스 권한을 부여합니다. 정책이 단계적으로 폐지되었으므로 새 그룹, 사용자 또는 역할에 정책을 연결할 수 없습니다. 이미 정책이 연결된 그룹, 사용자 또는 역할은 정책을 계속 사용할 수 있습니다. 그러나 그룹, 사용자 또는 역할을 업데이트하여 AmazonECS_FullAccess 관리형 정책을 대신 사용하는 것이 좋습니다.

AmazonECS_FullAccess 정책에 따라 부여되는 권한에는 ECS를 관리자로 사용하는 데 필요한 전체 권한 목록이 포함되어 있습니다. 현재 AmazonECS_FullAccess 정책에 없는 AmazonEC2ContainerServiceFullAccess 정책에서 부여한 권한을 사용하는 경우 인라인 정책 설명에 추가할 수 있습니다. 자세한 내용은 Amazon Elastic Container Service용 AWS 관리형 정책 단원을 참조하십시오.

현재 AmazonEC2ContainerServiceFullAccess 관리형 IAM 정책을 사용 중인 그룹, 사용자 또는 역할이 있는지 확인하려면 다음 단계를 따르세요. 그런 다음 이전 정책을 분리하고 AmazonECS_FullAccess 정책을 연결하도록 업데이트합니다.

AmazonECS_FullAccess 정책(AWS Management Console)을 사용하도록 그룹, 사용자 또는 역할 업데이트

1. https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

2. 탐색 창에서 정책을 선택하고 AmazonEC2ContainerServiceFullAccess 정책을 검색하여 선택합니다.

3. 현재 이 정책을 사용하고 있는 IAM 역할이 표시된 정책 사용 탭을 선택합니다.

4. 현재 AmazonEC2ContainerServiceFullAccess 정책을 사용하고 있는 각 IAM 역할을 선택하고 다음 단계에 따라 단계적으로 폐지된 정책을 분리하고 AmazonECS_FullAccess 정책을 연결합니다.

   1. 권한 탭에서 AmazonEC2ContainerServiceFullAccess 정책 옆에 있는 X를 선택합니다.

   2. 권한 추가를 선택합니다.

   3. 기존 정책 직접 연결을 선택하고 S3을 검색한 후 검색 결과에서 AmazonECS_FullAccess를 선택합니다.

   4. 변경 사항을 검토한 후 권한 추가를 선택합니다.

   5. AmazonEC2ContainerServiceFullAccess 정책을 사용하고 있는 각 그룹, 사용자 또는 역할에 대해 이 단계를 반복합니다.

AmazonECS_FullAccess 정책(AWS CLI)을 사용하도록 그룹, 사용자 또는 역할 업데이트

1. generate-service-last-accessed-details 명령을 사용하여 단계적 중단 정책이 마지막으로 사용된 시점에 대한 세부 정보를 포함하는 보고서를 생성합니다.

   aws iam generate-service-last-accessed-details \
        --arn arn:aws:iam::aws:policy/AmazonEC2ContainerServiceFullAccess

   출력 예시:

   {
       "JobId": "32bb1fb0-1ee0-b08e-3626-ae83EXAMPLE"
   }

2. get-service-last-accessed-details 명령과 함께 이전 출력의 작업 ID를 사용하여 서비스의 마지막으로 액세스한 보고서를 검색합니다. 이 보고서는 단계적으로 폐지된 정책을 마지막으로 사용한 IAM 엔터티의 Amazon 리소스 이름(ARN)을 표시합니다.

   aws iam get-service-last-accessed-details \
         --job-id 32bb1fb0-1ee0-b08e-3626-ae83EXAMPLE

3. 다음 명령 중 하나를 사용하여 AmazonEC2ContainerServiceFullAccess 정책을 그룹, 사용자 또는 역할에서 분리합니다.

   • detach-group-policy

   • detach-role-policy

   • detach-user-policy

4. 다음 명령 중 하나를 사용하여 AmazonECS_FullAccess 정책을 그룹, 사용자 또는 역할에 연결합니다.

   • attach-group-policy

   • attach-role-policy

   • attach-user-policy