아이덴티티 기반 정책 예제: AWS 계정 관리

기본적으로 사용자 및 역할에는 계정 관리 리소스를 만들거나 수정할 권한이 없습니다. 또한 다음을 사용하여 작업을 수행할 수 없습니다. AWS Management Console, AWS Command Line Interface (AWS CLI), 또는 AWS API. 사용자에게 필요한 리소스에서 작업을 수행할 수 있는 권한을 부여하기 위해 IAM 관리자는 IAM 정책을 생성할 수 있습니다. 그러면 관리자가 역할에 IAM 정책을 추가할 수 있으며, 사용자는 역할을 수임할 수 있습니다.

이러한 예제 JSON 정책 문서를 사용하여 IAM ID 기반 정책을 만드는 방법을 알아보려면 사용 IAM설명서에서 IAM 정책 생성을 참조하십시오.

각 리소스 유형의 형식을 포함하여 Account Management에서 정의한 작업 및 리소스 유형에 ARNs 대한 자세한 내용은 작업, 리소스 및 조건 키를 참조하십시오. AWS 서비스 권한 부여 참조에서의 계정 관리.

정책 모범 사례

ID 기반 정책은 누군가가 사용자 계정에서 계정 관리 리소스를 생성, 액세스 또는 삭제할 수 있는지 여부를 결정합니다. 이러한 조치로 인해 비용이 발생할 수 있습니다. AWS 계정. ID 기반 정책을 만들거나 편집할 때는 다음 지침 및 권장 사항을 따르십시오.

• 시작해 보세요. AWS 관리형 정책 및 최소 권한 권한으로의 이동 — 사용자와 워크로드에 권한 부여를 시작하려면 다음을 사용하십시오. AWS 여러 일반 사용 사례에 권한을 부여하는 관리형 정책. 다음 사이트에서 사용할 수 있습니다. AWS 계정. 를 정의하여 권한을 더 줄이는 것이 좋습니다. AWS 사용 사례에 맞는 고객 관리형 정책. 자세한 내용은 단원을 참조하세요.AWS 관리형 정책 또는 AWSIAM사용자 가이드의 직무 관리 정책

• 최소 권한 적용 — IAM 정책으로 권한을 설정하는 경우 작업 수행에 필요한 권한만 부여하십시오. 이렇게 하려면 최소 권한으로 알려진 특정 조건에서 특정 리소스에 대해 수행할 수 있는 작업을 정의합니다. 를 사용하여 권한을 IAM 적용하는 방법에 대한 자세한 내용은 사용 설명서의 정책 및 권한을 참조하십시오. IAM IAM

• IAM정책의 조건을 사용하여 액세스를 추가로 제한 - 정책에 조건을 추가하여 작업 및 리소스에 대한 액세스를 제한할 수 있습니다. 예를 들어, 를 사용하여 모든 요청을 전송하도록 지정하는 정책 조건을 작성할 수 SSL 있습니다. 특정 작업을 통해 서비스 작업을 사용하는 경우 조건을 사용하여 서비스 작업에 대한 액세스 권한을 부여할 수도 있습니다. AWS 서비스예: AWS CloudFormation. 자세한 내용은 IAM사용 설명서의 IAMJSON정책 요소: 조건을 참조하십시오.

• IAMAccess Analyzer를 사용하여 IAM 정책을 검증하여 안전하고 기능적인 권한을 보장합니다. IAM Access Analyzer는 새 정책과 기존 정책을 검증하여 정책이 IAM 정책 언어 (JSON) 및 IAM 모범 사례를 준수하는지 확인합니다. IAMAccess Analyzer는 안전하고 기능적인 정책을 작성하는 데 도움이 되는 100개 이상의 정책 검사와 실행 가능한 권장 사항을 제공합니다. 자세한 내용은 사용 설명서의 IAMAccess Analyzer 정책 검증을 참조하십시오. IAM

• 다단계 인증 필요 (MFA) - 사용자 또는 루트 IAM 사용자가 필요한 시나리오가 있는 경우 AWS 계정보안을 강화하려면 MFA 켜십시오. API작업 호출 MFA 시기를 요구하려면 정책에 MFA 조건을 추가하세요. 자세한 내용은 IAM사용 설명서의 MFA -보호된 API 액세스 구성을 참조하십시오.

의 모범 사례에 IAM 대한 자세한 내용은 IAM사용 설명서의 보안 모범 사례를 참조하십시오. IAM

의 계정 페이지 사용 AWS Management Console

에서 계정 페이지에 액세스하려면 AWS Management Console최소 권한 집합이 있어야 합니다. 이러한 권한을 통해 자신의 세부 정보를 나열하고 볼 수 있어야 합니다. AWS 계정. 필요한 최소 권한보다 더 제한적인 ID 기반 정책을 만들면 해당 정책을 사용하는 엔티티 (IAM사용자 또는 역할) 에 대해 콘솔이 의도한 대로 작동하지 않습니다.

사용자 및 역할이 계정 관리 콘솔을 사용할 수 있도록 하려면 또는 중 하나를 연결하도록 선택할 수 있습니다. AWSAccountManagementReadOnlyAccess AWSAccountManagementFullAccess AWS 엔티티에 대한 관리형 정책. 자세한 내용은 사용 설명서의 IAM사용자에게 권한 추가를 참조하십시오.

전화만 거는 사용자에게는 최소 콘솔 권한을 허용할 필요가 없습니다. AWS CLI또는 AWS API. 대신 대부분의 경우 수행하려는 작업과 일치하는 API 작업에만 액세스를 허용하도록 선택할 수 있습니다.

계정 페이지에 대한 읽기 전용 액세스 권한 제공 AWS Management Console

다음 예시에서는 IAM 사용자에게 권한을 부여하려고 합니다. AWS 계정 의 계정 페이지에 대한 읽기 전용 액세스 AWS Management Console. 이 정책이 연결된 사용자는 아무 것도 변경할 수 없습니다.

이 account:GetAccountInformation 작업을 통해 계정 페이지에 있는 대부분의 설정을 볼 수 있는 액세스 권한이 부여됩니다. 하지만 현재 활성화된 항목을 보려면 AWS 지역에는 account:ListRegions 액션도 포함해야 합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "GrantReadOnlyAccessToAccountSettings",
            "Effect": "Allow",
            "Action": [
                "account:GetAccountInformation",
                "account:ListRegions"
            ],
            "Resource": "*"
        }
    ]
}

계정 페이지에 대한 전체 액세스 권한 제공 AWS Management Console

다음 예시에서는 IAM 사용자에게 권한을 부여하려고 합니다. AWS 계정 내 계정 페이지에 대한 전체 액세스 권한 AWS Management Console. 이 정책이 연결된 사용자는 계정 설정을 변경할 수 있습니다.

이 예제 정책은 이전 예제 정책을 기반으로 사용 가능한 각 쓰기 권한 (제외 CloseAccount) 을 추가하여 사용자가 account:EnableRegion 및 account:DisableRegion 권한을 포함하여 계정에 대한 대부분의 설정을 변경할 수 있도록 합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "GrantFullAccessToAccountSettings",
            "Effect": "Allow",
            "Action": [
                "account:GetAccountInformation",
                "account:ListRegions",
                "account:PutContactInformation",
                "account:PutChallengeQuestions",
                "account:PutAlternateContact",
                "account:DeleteAlternateContact",
                "account:EnableRegion",
                "account:DisableRegion"
            ],
            "Resource": "*"
        }
    ]
}