의 AWS CodeStar 작동 방식 IAM

액세스를 관리하는 IAM 데 사용하기 전에 먼저 사용할 수 있는 IAM 기능을 이해해야 AWS CodeStar 합니다. AWS CodeStar AWS CodeStar 및 기타 AWS 서비스가 어떻게 작동하는지 자세히 알아보려면 IAM사용 IAM 설명서에서 함께 작동하는AWS 서비스를 참조하십시오. IAM

AWS CodeStarID 기반 정책

IAMID 기반 정책을 사용하면 허용 또는 거부된 작업과 리소스, 작업이 허용되거나 거부되는 조건을 지정할 수 있습니다. AWS CodeStar 사용자를 대신하여 여러 ID 기반 정책을 AWS CodeStar 생성하여 프로젝트 범위 내에서 리소스를 만들고 관리할 수 있도록 합니다. AWS CodeStar AWS CodeStar 특정 작업, 리소스 및 조건 키를 지원합니다. JSON정책에서 사용하는 모든 요소에 대해 알아보려면 사용 IAM설명서의 IAMJSON정책 요소 참조를 참조하십시오.

작업

관리자는 AWS JSON 정책을 사용하여 누가 무엇에 액세스할 수 있는지 지정할 수 있습니다. 즉, 어떤 보안 주체가 어떤 리소스와 어떤 조건에서 작업을 수행할 수 있는지를 지정할 수 있습니다.

정책 Action 요소는 JSON 정책에서 액세스를 허용하거나 거부하는 데 사용할 수 있는 작업을 설명합니다. 정책 작업은 일반적으로 관련 AWS API 작업과 이름이 같습니다. 일치하는 작업이 없는 권한 전용 작업과 같은 몇 가지 예외가 있습니다. API 정책에서 여러 작업이 필요한 몇 가지 작업도 있습니다. 이러한 추가 작업을 일컬어 종속 작업이라고 합니다.

연결된 작업을 수행할 수 있는 권한을 부여하기 위한 정책에 작업을 포함하십시오.

정책 조치는 조치 앞에 다음 접두사를 AWS CodeStar 사용합니다. codestar: 예를 들어, 지정된 IAM 사용자가 프로젝트 설명과 같은 AWS CodeStar 프로젝트 속성을 편집할 수 있도록 허용하려면 다음 정책 설명을 사용할 수 있습니다.

{
  "Version": "2012-10-17",
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : [
        "codestar:UpdateProject"
      ],
      "Resource" : "arn:aws:codestar:us-east-2:project/my-first-projec"
    }
  ]
}

정책 문에는 Action 또는 NotAction 요소가 포함되어야 합니다. AWS CodeStar 이 서비스로 수행할 수 있는 작업을 설명하는 자체 작업 세트를 정의합니다.

명령문 하나에 여러 태스크를 지정하려면 다음과 같이 쉼표로 구분합니다.

"Action": [
      "codestar:action1",
      "codestar:action2"

와일드카드(*)를 사용하여 여러 작업을 지정할 수 있습니다. 예를 들어, List라는 단어로 시작하는 모든 태스크를 지정하려면 다음 태스크를 포함합니다.

"Action": "codestar:List*"

AWS CodeStar 작업 목록을 보려면 IAM사용 설명서의 정의된 AWS CodeStar 작업을 참조하십시오.

리소스

관리자는 AWS JSON 정책을 사용하여 누가 무엇에 액세스할 수 있는지 지정할 수 있습니다. 즉, 어떤 보안 주체가 어떤 리소스와 어떤 조건에서 작업을 수행할 수 있는지를 지정할 수 있습니다.

ResourceJSON정책 요소는 작업이 적용되는 하나 또는 여러 개의 객체를 지정합니다. 문장에는 Resource또는 NotResource요소가 반드시 추가되어야 합니다. Amazon 리소스 이름 (ARN) 을 사용하여 리소스를 지정하는 것이 가장 좋습니다. 리소스 수준 권한이라고 하는 특정 리소스 유형을 지원하는 작업에 대해 이 태스크를 수행할 수 있습니다.

작업 나열과 같이 리소스 수준 권한을 지원하지 않는 작업의 경우, 와일드카드(*)를 사용하여 해당 문이 모든 리소스에 적용됨을 나타냅니다.

"Resource": "*"

AWS CodeStar 프로젝트 리소스는 ARN 다음과 같습니다.

arn:aws:codestar:region:account:project/resource-specifier

형식에 대한 자세한 내용은 Amazon 리소스 이름 (ARNs) 및 AWS 서비스 네임스페이스를 참조하십시오. ARNs

예를 들어 다음은 해당 111111111111 지역의 AWS 계정에 my-first-projec 등록된 AWS CodeStar 프로젝트 이름을 지정합니다. AWS us-east-2

arn:aws:codestar:us-east-2:111111111111:project/my-first-projec

다음은 해당 111111111111 AWS 지역의 AWS 계정에 my-proj 등록된 이름으로 시작하는 모든 AWS CodeStar 프로젝트를 지정합니다us-east-2.

arn:aws:codestar:us-east-2:111111111111:project/my-proj*

프로젝트 목록과 같은 일부 AWS CodeStar 작업은 리소스에서 수행할 수 없습니다. 이러한 경우, 와일드카드(*)를 사용해야 합니다.

"LisProjects": "*"

AWS CodeStar 리소스 유형 및 해당 ARNs 유형의 목록을 보려면 IAM사용 설명서의 리소스 정의 기준을 참조하십시오. AWS CodeStar 각 리소스에 어떤 작업을 지정할 수 있는지 알아보려면 작업 정의 기준을 참조하십시오 AWS CodeStar. ARN

조건 키

AWS CodeStar 서비스별 조건 키는 제공하지 않지만 일부 글로벌 조건 키 사용은 지원합니다. 모든 AWS 글로벌 조건 키를 보려면 IAM사용 설명서의AWS 글로벌 조건 컨텍스트 키를 참조하십시오.

예시

AWS CodeStar ID 기반 정책의 예를 보려면 을 참조하십시오. AWS CodeStarID 기반 정책 예제

AWS CodeStar 리소스 기반 정책

AWS CodeStar 리소스 기반 정책을 지원하지 않습니다.

AWS CodeStar 태그 기반 권한 부여

AWS CodeStar 프로젝트에 태그를 첨부하거나 요청에 태그를 전달할 수 있습니다. AWS CodeStar 태그에 근거하여 액세스를 제어하려면 codestar:ResourceTag/key-name, aws:RequestTag/key-name 또는 aws:TagKeys 조건 키를 사용하여 정책의 조건 요소에 태그 정보를 제공합니다. AWS CodeStar 리소스 태깅에 대한 자세한 내용은 을 참조하십시오AWS CodeStar의 프로젝트 태그 작업.

프로젝트의 태그를 기반으로 AWS CodeStar 프로젝트에 대한 액세스를 제한하는 ID 기반 정책의 예를 보려면 을 참조하십시오. 태그 기반으로 AWS CodeStar 프로젝트 보기

AWS CodeStar IAM역할

IAM역할은 AWS 계정에서 특정 권한을 가진 엔티티입니다.

사용자, 페더레이션 IAM사용자, 루트 사용자 또는 수임된 AWS CodeStar 역할로 사용할 수 있습니다. 적절한 권한을 가진 모든 사용자 유형은 AWS 리소스에 대한 프로젝트 권한을 관리할 수 있지만 사용자에 대한 IAM 프로젝트 권한은 자동으로 AWS CodeStar 관리합니다. IAM정책과 역할은 프로젝트 역할을 기반으로 해당 사용자에게 권한과 액세스 권한을 부여합니다. IAM콘솔을 사용하여 IAM 사용자에게 권한 AWS CodeStar 및 기타 권한을 할당하는 다른 정책을 만들 수 있습니다.

예를 들어 사용자에게 AWS CodeStar 프로젝트를 보는 것은 허용하나 변경하는 것은 허용하지 않도록 하고자 할 수 있습니다. 이 경우 뷰어 역할을 가진 AWS CodeStar 프로젝트에 IAM 사용자를 추가합니다. 모든 AWS CodeStar 프로젝트에는 프로젝트에 대한 액세스를 제어하는 데 도움이 되는 일련의 정책이 있습니다. 또한 액세스할 수 있는 사용자를 제어할 수 AWS CodeStar있습니다.

AWS CodeStar 액세스는 사용자와 페더레이션 IAM 사용자에 따라 다르게 처리됩니다. IAM사용자만 팀에 추가할 수 있습니다. IAM사용자에게 프로젝트 권한을 부여하려면 사용자를 프로젝트 팀에 추가하고 사용자에게 역할을 할당합니다. 연동 사용자에게 프로젝트 권한을 부여하려면 AWS CodeStar 프로젝트 역할의 관리형 정책을 연동 사용자의 역할에 수동으로 연결합니다.

이 표는 각 유형의 액세스에 적용 가능한 도구를 요약한 것입니다.

권한 기능	IAM사용자	페더레이션 사용자	루트 사용자
SSHAmazon EC2 및 Elastic Beanstalk 프로젝트의 원격 액세스를 위한 키 관리
AWS CodeCommit SSH액세스
IAM사용자 권한 관리: AWS CodeStar
수동으로 관리하는 프로젝트 권한
사용자는 팀원으로 프로젝트에 추가 가능

IAM사용자 액세스: AWS CodeStar

프로젝트에 사용자를 추가하고 IAM 사용자의 역할을 선택하면 적절한 정책이 IAM 사용자에게 자동으로 AWS CodeStar 적용됩니다. IAM사용자의 경우 에서 정책 또는 권한을 직접 연결하거나 관리할 필요가 없습니다IAM. AWS CodeStar 프로젝트에 IAM 사용자를 추가하는 방법에 대한 자세한 내용은 을 참조하십시오AWS CodeStar 프로젝트에 팀원 추가 . AWS CodeStar 프로젝트에서 IAM 사용자를 제거하는 방법에 대한 자세한 내용은 을 참조하십시오AWS CodeStar 프로젝트에서 팀원 제거 .

사용자에게 인라인 정책 연결 IAM

프로젝트에 사용자를 추가하면 사용자 역할과 일치하는 프로젝트의 관리형 정책을 AWS CodeStar 자동으로 연결합니다. 프로젝트의 AWS CodeStar 관리형 정책을 IAM 사용자에게 수동으로 연결해서는 안 됩니다. 를 제외하고는 AWS CodeStar 프로젝트에서 IAM 사용자 권한을 변경하는 정책을 첨부하지 않는 것이 좋습니다. AWSCodeStarFullAccess 자체 정책을 만들어 첨부하려는 경우 사용 IAM설명서의 IAMID 권한 추가 및 제거를 참조하십시오.

연동 사용자 액세스: AWS CodeStar

IAM사용자를 만들거나 루트 IAM 사용자를 사용하는 대신 기업 사용자 디렉토리, 웹 ID 공급자 또는 역할을 맡는 사용자의 사용자 ID를 사용할 수 있습니다. AWS Directory Service이러한 사용자를 연동 사용자라고 합니다.

AWS CodeStar 프로젝트 AWS CodeStar 수준 정책 및 권한에 설명된 관리형 정책을 사용자 역할에 수동으로 연결하여 연동 사용자에게 프로젝트 액세스 권한을 부여하십시오. IAM 프로젝트 리소스 및 역할을 AWS CodeStar 만든 후 소유자, 기여자 또는 최종 사용자 정책을 연결합니다. IAM

사전 조건:

• 자격 증명 공급자를 설정해야 합니다. 예를 들어 SAML ID 공급자를 설정하고 공급자를 통해 AWS 인증을 설정할 수 있습니다. ID 제공자 설정에 대한 자세한 내용은 ID 제공자 생성을 IAM 참조하십시오. SAML페더레이션에 대한 자세한 내용은 SAML2.0 기반 페더레이션에 대한 정보를 참조하십시오.

• 자격 증명 공급자를 통해 액세스를 요청할 때는, 연합된 사용자가 위임할 역할을 생성해야 합니다. 연동 사용자가 역할을 수임할 수 있도록 허용하는 역할에는 STS 신뢰 정책을 첨부해야 합니다. 자세한 내용은 사용 설명서의 연동 IAM사용자 및 역할을 참조하십시오.

• 프로젝트를 생성했고 AWS CodeStar 프로젝트 ID를 알고 있어야 합니다.

자격 증명 공급자를 위한 역할 생성에 대한 자세한 내용은 타사 자격 증명 공급자(연동)를 위한 역할 생성을 참조하십시오.

AWSCodeStarFullAccess 관리형 정책을 연동 사용자 역할에 연결

AWSCodeStarFullAccess 관리형 정책을 연결해 연합된 사용자에게 프로젝트 생성 권한을 부여합니다. 이 단계를 수행하려면 루트 사용자, 계정의 관리자 사용자 또는 연결된 AdministratorAccess 관리형 정책 또는 이와 동등한 권한을 가진 IAM 사용자 또는 연동 사용자로 콘솔에 로그인해야 합니다.

참고

프로젝트를 생성해도 프로젝트 소유자 권한은 자동으로 적용되지 않습니다. 계정에 대한 관리 권한이 있는 역할을 사용하여 프로젝트의 AWS CodeStar 뷰어/기여자/소유자 관리형 정책을 연동 사용자의 역할에 연결합니다.에 설명된 대로 소유자 관리형 정책을 연결하십시오.

1. IAM콘솔을 엽니다. 탐색 창에서 Policies를 선택합니다.

2. 검색 필드에 AWSCodeStarFullAccess를 입력합니다. 정책 이름이 표시되며, 정책 유형은 AWS 관리형입니다. 정책을 확장하면 정책 설명의 권한을 확인할 수 있습니다.

3. 정책 옆에 있는 동그라미를 선택하고, 정책 작업에서 연결을 선택합니다.

4. 요약 페이지에서 연결된 개체 탭을 선택합니다. 연결을 선택합니다.

5. 정책 연결 페이지에서 검색 필드에 연합된 사용자의 역할을 입력해 필터링합니다. 역할 이름 옆에 있는 확인란을 선택하고 정책 연결을 선택합니다. 연결된 개체 탭에 새로운 연결이 표시됩니다.

프로젝트의 AWS CodeStar 뷰어/기여자/소유자 관리형 정책을 연동 사용자의 역할에 연결합니다.

관련된 소유자, 기고자, 최종 사용자 관리형 정책을 사용자 역할에 연결해 연합된 사용자 액세스를 프로젝트에 부여합니다. 관리형 정책은 적절한 수준의 권한을 제공합니다. IAM사용자와 달리 연동 사용자에 대한 관리형 정책은 수동으로 연결 및 분리해야 합니다. 이는 에서 팀 구성원에게 프로젝트 권한을 할당하는 것과 같습니다. AWS CodeStar이 단계를 수행하려면 루트 사용자, 계정의 관리자 사용자 또는 관련 AdministratorAccess 관리형 정책 또는 이와 동등한 정책을 사용하는 IAM 사용자 또는 연동 사용자로 콘솔에 로그인해야 합니다.

사전 조건:

• 연합된 사용자가 위임하는 역할을 만들거나 기존 역할이 있어야 합니다.

• 자신이 부여할 권한 수준을 알고 있어야 합니다. 소유자, 기고자, 최종 사용자 역할에 연결된 관리형 정책은 프로젝트에 역할 기반 권한을 제공합니다.

• AWS CodeStar 프로젝트가 생성되어 있어야 합니다. 프로젝트를 생성할 IAM 때까지는 관리형 정책을 에서 사용할 수 없습니다.

1. IAM콘솔을 엽니다. 탐색 창에서 Policies를 선택합니다.

2. 검색 필드에 프로젝트 ID를 입력합니다. 프로젝트와 일치하는 정책 이름이 표시되며, 정책 유형은 고객 관리형입니다. 정책을 확장하면 정책 설명의 권한을 확인할 수 있습니다.

3. 다음 관리형 정책 중 하나를 선택하십시오. 정책 옆에 있는 동그라미를 선택하고, 정책 작업에서 연결을 선택합니다.

4. 요약 페이지에서 연결된 개체 탭을 선택합니다. 연결을 선택합니다.

5. 정책 연결 페이지에서 검색 필드에 연합된 사용자의 역할을 입력해 필터링합니다. 역할 이름 옆에 있는 확인란을 선택하고 정책 연결을 선택합니다. 연결된 개체 탭에 새로운 연결이 표시됩니다.

연동 사용자 역할에서 AWS CodeStar 관리형 정책을 분리합니다.

AWS CodeStar 프로젝트를 삭제하기 전에 연동 사용자 역할에 연결한 모든 관리형 정책을 수동으로 분리해야 합니다. 이 단계를 수행하려면 루트 사용자, 계정의 관리자 사용자 또는 연결된 AdministratorAccess 관리형 정책 또는 이와 동등한 권한을 가진 IAM 사용자 또는 페더레이션 사용자로 콘솔에 로그인해야 합니다.

1. IAM콘솔을 엽니다. 탐색 창에서 Policies를 선택합니다.

2. 검색 필드에 프로젝트 ID를 입력합니다.

3. 정책 옆에 있는 동그라미를 선택하고, 정책 작업에서 연결을 선택합니다.

4. 요약 페이지에서 연결된 개체 탭을 선택합니다.

5. 검색 필드에 연합된 사용자의 역할을 입력해 필터링합니다. 분리를 선택합니다.

연동 사용자 역할에 AWS Cloud9 관리형 정책 연결

AWS Cloud9 개발 환경을 사용하는 경우 AWSCloud9User 관리형 정책을 사용자 역할에 연결하여 연동 사용자에게 액세스 권한을 부여하세요. IAM사용자와 달리 연동 사용자에 대한 관리형 정책은 수동으로 연결 및 분리해야 합니다. 이 단계를 수행하려면 루트 사용자, 계정의 관리자 사용자 또는 연결된 AdministratorAccess 관리형 정책 또는 이와 동등한 정책을 사용하는 IAM 사용자 또는 페더레이션 사용자로 콘솔에 로그인해야 합니다.

사전 조건:

• 연합된 사용자가 위임하는 역할을 만들거나 기존 역할이 있어야 합니다.

• 자신이 부여할 권한 수준을 알고 있어야 합니다.

  • AWSCloud9User 관리형 정책이 있으면 사용자는 다음과 같은 작업을 할 수 있습니다.

    • 자체 AWS Cloud9 개발 환경을 만드세요.

    • 환경 관련 정보를 확인합니다.

    • 환경 설정을 변경합니다.

  • AWSCloud9Administrator 관리형 정책이 있으면 사용자는 자신이나 타인을 위해 다음과 같은 작업을 할 수 있습니다.

    • 환경을 생성합니다.

    • 환경 관련 정보를 확인합니다.

    • 환경을 삭제합니다.

    • 환경 설정을 변경합니다.

1. IAM콘솔을 엽니다. 탐색 창에서 Policies를 선택합니다.

2. 검색 필드에 정책 이름을 입력합니다. 관리형 정책이 표시되며, 정책 유형은 AWS 관리형입니다. 정책을 확장하면 정책 설명의 권한을 확인할 수 있습니다.

3. 다음 관리형 정책 중 하나를 선택하십시오. 정책 옆에 있는 동그라미를 선택하고, 정책 작업에서 연결을 선택합니다.

4. 요약 페이지에서 연결된 개체 탭을 선택합니다. 연결을 선택합니다.

5. 정책 연결 페이지에서 검색 필드에 연합된 사용자의 역할을 입력해 필터링합니다. 역할 이름 옆에 있는 확인란을 선택하고 정책 연결을 선택합니다. 연결된 개체 탭에 새로운 연결이 표시됩니다.

연동 사용자 역할에서 AWS Cloud9 관리형 정책을 분리합니다.

AWS Cloud9 개발 환경을 사용하는 경우 액세스 권한을 부여하는 정책을 분리하여 연동 사용자의 액세스 권한을 제거할 수 있습니다. 이 단계를 수행하려면 루트 사용자, 계정의 관리자 사용자 또는 연결된 AdministratorAccess 관리형 정책 또는 이와 동등한 정책을 사용하는 IAM 사용자 또는 연동 사용자로 콘솔에 로그인해야 합니다.

1. IAM콘솔을 엽니다. 탐색 창에서 Policies를 선택합니다.

2. 검색 필드에 프로젝트 이름을 입력합니다.

3. 정책 옆에 있는 동그라미를 선택하고, 정책 작업에서 연결을 선택합니다.

4. 요약 페이지에서 연결된 개체 탭을 선택합니다.

5. 검색 필드에 연합된 사용자의 역할을 입력해 필터링합니다. 분리를 선택합니다.

다음과 같은 임시 자격 증명 사용 AWS CodeStar

임시 자격 증명을 사용하여 페더레이션으로 로그인하거나, 역할을 수임하거나, 계정 간 IAM 역할을 수임할 수 있습니다. AssumeRole또는 GetFederationToken와 같은 AWS STS API 작업을 호출하여 임시 보안 자격 증명을 얻을 수 있습니다.

AWS CodeStar 임시 자격 증명 사용을 지원하지만 페더레이션 액세스에는 AWS CodeStar 팀원 기능이 작동하지 않습니다. AWS CodeStar 팀원 기능은 IAM 사용자를 팀원으로 추가하는 것만 지원합니다.

서비스 연결 역할

서비스 연결 역할을 사용하면 AWS 서비스가 다른 서비스의 리소스에 액세스하여 사용자를 대신하여 작업을 완료할 수 있습니다. 서비스 연결 역할은 IAM 계정에 표시되며 서비스에서 소유합니다. 관리자는 서비스 연결 역할의 권한을 볼 수는 있지만 편집할 수는 없습니다.

AWS CodeStar 서비스 연결 역할을 지원하지 않습니다.

서비스 역할

이 기능을 사용하면 서비스가 사용자를 대신하여 서비스 역할을 수임할 수 있습니다. 이 역할을 사용하면 서비스가 다른 서비스의 리소스에 액세스해 사용자를 대신해 작업을 완료할 수 있습니다. 서비스 역할은 계정에 표시되며 해당 IAM 계정에서 소유합니다. 즉, 관리자가 이 역할에 대한 권한을 변경할 수 있습니다. 그러나 권한을 변경하면 서비스의 기능이 손상될 수 있습니다.

AWS CodeStar 서비스 역할을 지원합니다. AWS CodeStar 프로젝트의 리소스를 만들고 관리할 때 서비스 역할을 사용합니다. aws-codestar-service-role 자세한 내용은 IAM사용 설명서의 역할 용어 및 개념을 참조하십시오.

중요

이 서비스 역할을 만들려면 관리 사용자나 루트 계정으로 로그인해야 합니다. 자세한 내용은 사용 설명서의 최초 액세스 전용: 루트 사용자 자격 증명 및 첫 번째 관리자 및 그룹 생성을 참조하십시오. IAM

이 역할은 에서 AWS CodeStar프로젝트를 처음 만들 때 자동으로 생성됩니다. 서비스 역할은 사용자를 대신해 다음을 수행합니다.

• 프로젝트를 생성할 때 선택한 리소스를 생성합니다.

• AWS CodeStar 프로젝트 대시보드에 해당 리소스에 대한 정보를 표시합니다.

또한 프로젝트의 리소스를 관리하는 경우 사용자를 대신해 이를 수행합니다. 이 정책 설명의 예제는 AWSCodeStarServiceRole 정책 단원을 참조하십시오.

또한 프로젝트 유형에 따라 여러 프로젝트별 서비스 역할을 AWS CodeStar 생성합니다. AWS CloudFormation 각 프로젝트 유형에 대해 툴체인 역할이 생성됩니다.

• AWS CloudFormation 역할을 통해 AWS CodeStar 프로젝트에 사용할 AWS CloudFormation 스택을 만들고 수정할 수 있습니다. AWS CodeStar

• 툴체인 역할을 통해 다른 AWS 서비스에 AWS CodeStar 액세스하여 프로젝트의 리소스를 만들고 수정할 수 있습니다. AWS CodeStar