미리 서명된 URL 사용 - Amazon Simple Storage Service

미리 서명된 URL 사용

모든 객체 및 버킷은 기본적으로 프라이빗입니다. 그러나 미리 서명된 URL을 사용하여 선택적으로 객체를 공유하거나 고객/사용자가 AWS 보안 자격 증명이나 권한 없이 버킷에 객체를 업로드하는 것을 허용할 수 있습니다.

미리 서명된 URL 기능 제한

미리 서명된 URL을 사용하면 S3 버킷에 액세스하는 데 사용할 수 있는 URL을 생성할 수 있습니다. 미리 서명된 URL을 생성하면 특정 작업과 연결됩니다. URL을 공유할 수 있으며 URL에 액세스할 수 있는 모든 사용자는 원래 서명 사용자인 것처럼 URL에 포함된 작업을 수행할 수 있습니다. URL이 만료되어 만료 시간에 도달하면 더 이상 작동하지 않습니다. URL의 기능은 미리 서명된 URL을 만든 사용자의 권한에 의해 제한됩니다.

미리 서명된 URL은 기본적으로 이를 소유한 고객에게 액세스 권한을 부여하는 보유자 토큰입니다. 따라서 이러한 URL은 적절하게 보호하는 것이 좋습니다.

특정 네트워크 경로에 대해 미리 서명된 URL 및 모든 S3 액세스의 사용을 제한하려는 경우 특정 네트워크 경로가 필요한 AWS Identity and Access Management(IAM) 정책을 작성할 수 있습니다. 이러한 정책은 호출을 하는 IAM 보안 주체, Amazon S3 버킷 또는 그 두 가지 모두에 설정할 수 있습니다. 보안 주체에 대한 네트워크 경로 제한은 해당 자격 증명의 사용자가 지정된 네트워크에서 요청해야 합니다. 버킷에 대한 제한은 해당 버킷에 대한 액세스를 지정된 네트워크에서 시작된 요청에만 제한합니다. 이러한 제한은 미리 서명된 URL 시나리오 외부에서도 적용됩니다.

사용하는 IAM 전역 조건은 엔드포인트 유형에 따라 달라집니다. Amazon S3용 퍼블릭 엔드포인트를 사용하는 경우 aws:SourceIp를 사용합니다. Amazon S3에 대해 VPC 엔드포인트를 사용하는 경우 aws:SourceVpc 또는 aws:SourceVpce을 사용합니다.

다음 IAM 정책 설명에서는 보안 주체가 지정된 네트워크 범위에서만 AWS에 액세스해야 합니다. 이 정책 설명을 마련하면 모든 액세스가 해당 범위에서 시작되어야 합니다. 여기에는 S3에 대해 미리 서명된 URL을 사용하는 사례가 포함됩니다.

{ "Sid": "NetworkRestrictionForIAMPrincipal", "Effect": "Deny", "Action": "", "Resource": "", "Condition": { "NotIpAddressIfExists": { "aws:SourceIp": "IP-address" }, "BoolIfExists": { "aws:ViaAWSService": "false" } } }

미리 서명된 URL을 사용하여 객체를 공유하거나 업로드하는 방법에 대한 자세한 내용은 아래 주제를 참조하세요.