EFS 파일 시스템에 대한 퍼블릭 액세스 차단

Amazon EFS 퍼블릭 액세스 차단 기능은 EFS 파일 시스템에 대한 퍼블릭 액세스를 관리하는 데 도움이 되는 설정을 제공합니다. 기본적으로 새 EFS 파일 시스템에서는 퍼블릭 액세스가 허용되지 않습니다. 그러나 퍼블릭 액세스를 허용하도록 파일 시스템 정책을 수정할 수 있습니다.

중요

퍼블릭 액세스 차단을 활성화하면 파일 시스템에 직접 연결된 리소스 정책을 통해 퍼블릭 액세스가 허용되지 않으므로 리소스를 보호하는 데 도움이 됩니다. 퍼블릭 액세스 차단을 활성화하는 것 외에도 다음 정책을 주의 깊게 검토하여 퍼블릭 액세스를 허용하지 않는지 확인하세요.

• 관련 AWS 보안 주체(예: IAM 역할)에 연결된 자격 증명 기반 정책

• 관련 AWS 리소스(예: AWS Key Management Service(KMS) 키)에 연결된 리소스 기반 정책

AWS Transfer Family로 퍼블릭 액세스 차단

Amazon EFS를 AWS Transfer Family와 함께 사용할 경우, 파일 시스템이 아닌 다른 계정에서 소유한 Transfer Family 서버에서 받은 시스템 액세스 요청은 파일 시스템에서 공개 액세스를 허용할 경우 차단됩니다. Amazon EFS는 파일 시스템의 IAM 정책을 평가하여 정책이 퍼블릭인 경우 요청을 차단합니다. 파일 시스템에 AWS Transfer Family 액세스를 허용하려면 퍼블릭으로 간주되지 않도록 파일 시스템 정책을 업데이트하세요.

참고

2021년 1월 6일 이전에 생성된 퍼블릭 액세스를 허용하는 정책이 적용된 EFS 파일 시스템을 보유한 AWS 계정의 경우 Amazon EFS와 함께 Transfer Family를 사용할 수 없도록 기본적으로 비활성화되어 있습니다. Transfer Family를 사용하여 파일 시스템에 액세스할 수 있게 하려면 AWS Support에 문의하세요.

"퍼블릭"의 의미

파일 시스템이 퍼블릭 액세스를 허용하는지 여부를 평가할 때 Amazon EFS는 파일 시스템 정책을 퍼블릭으로 가정합니다. 그런 다음 정책을 평가하여 비공개로 판단할 수 있는지 결정합니다. 퍼블릭이 아닌 것으로 평가되려면 파일 시스템 정책은 다음 중 하나 이상의 고정 값(와일드카드가 없는 값)에만 액세스 권한을 부여해야 합니다.

• aws:SourceIp를 사용하는 Classless Inter-Domain Routing(CIDR) 집합. CIDR에 대한 자세한 내용은 RFC Editor 웹 사이트에서 RFC 4632를 참조하세요.

• AWS 보안 주체, 사용자, 역할 또는 서비스 보안 주체(예: aws:PrincipalOrgID)

• aws:SourceArn

• aws:SourceVpc

• aws:SourceVpce

• aws:SourceOwner

• aws:SourceAccount

• elasticfilesystem:AccessedViaMountTarget

• aws:userid, outside the pattern "AROLEID:*"

이 규칙에서 다음 예제 정책은 퍼블릭으로 간주됩니다.

{  
    "Version": "2012-10-17",
    "Id": "efs-policy-wizard-15ad9567-2546-4bbb-8168-5541b6fc0e55",
    "Statement": [
        {
            "Sid": "efs-statement-14a7191c-9401-40e7-a388-6af6cfb7dd9c",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": [
                "elasticfilesystem:ClientMount",
                "elasticfilesystem:ClientWrite",
                "elasticfilesystem:ClientRootAccess"
            ]
        }
    ]
}

true로 설정된 EFS 조건 키 elasticfilesystem:AccessedViaMountTarget을 사용하여 이 파일 시스템 정책을 비공개로 설정할 수 있습니다. elasticfilesystem:AccessedViaMountTarget을 사용하여 파일 시스템 탑재 대상을 사용하여 EFS 파일 시스템에 액세스하는 클라이언트에 지정된 EFS 작업을 허용할 수 있습니다. 다음 비공개 정책은 true로 설정된 elasticfilesystem:AccessedViaMountTarget 조건 키를 사용합니다.

{  
    "Version": "2012-10-17",
    "Id": "efs-policy-wizard-15ad9567-2546-4bbb-8168-5541b6fc0e55",
    "Statement": [
        {
            "Sid": "efs-statement-14a7191c-9401-40e7-a388-6af6cfb7dd9c",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": [
                "elasticfilesystem:ClientMount",
                "elasticfilesystem:ClientWrite",
                "elasticfilesystem:ClientRootAccess"
            ],
            "Condition": {
                "Bool": {
                    "elasticfilesystem:AccessedViaMountTarget": "true"
                }
            }
        }
    ]
}

Amazon EFS 조건 키에 대한 자세한 내용은 클라이언트에 대한 EFS 조건 키 섹션을 참조하세요. 파일 시스템 정책 만들기에 대한 자세한 내용은 파일 시스템 정책 생성 섹션을 참조하세요.