Amazon Data Firehose 콘솔을 통해 IAM 역할을 관리합니다.

Amazon Data Firehose는 대상에 실시간 스트리밍 데이터를 전송하는 완전 관리형 서비스입니다. 또한 전송 전에 데이터 형식을 변환하고 변환하도록 Firehose를 구성할 수 있습니다. 이러한 기능을 사용하려면 먼저 Firehose 스트림을 만들거나 편집할 때 Firehose에 권한을 부여하는 IAM 역할을 제공해야 합니다. Firehose는 Firehose 스트림에 필요한 모든 권한에 이 IAM 역할을 사용합니다.

Amazon S3로 데이터를 전송하는 Firehose 스트림을 생성하고 이 Firehose 스트림에 기능이 활성화된 변환 소스 레코드가 있는 시나리오를 예로 들어 보겠습니다. AWS Lambda 이 경우 다음과 같이 IAM 역할을 제공하여 Firehose에 S3 버킷에 액세스하고 Lambda 함수를 호출할 수 있는 권한을 부여해야 합니다.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "lambdaProcessing",
        "Effect": "Allow",
        "Action": ["lambda:InvokeFunction", "lambda:GetFunctionConfiguration"],
        "Resource": "arn:aws:lambda:us-east-1:<account id>:function:<lambda function name>:<lambda function version>"
    }, {
        "Sid": "s3Permissions",
        "Effect": "Allow",
        "Action": ["s3:AbortMultipartUpload", "s3:GetBucketLocation", "s3:GetObject", "s3:ListBucket", "s3:ListBucketMultipartUploads", "s3:PutObject"],
        "Resource": ["arn:aws:s3:::<bucket name>", "arn:aws:s3:::<bucket name>/*"]
    }]
}

Firehose 콘솔에서는 이러한 역할을 제공하는 방법을 선택할 수 있습니다. 다음 옵션 중 하나를 선택할 수 있습니다.

• 기존 IAM 역할 선택

• 콘솔에서 새 IAM 역할을 생성합니다.

기존 IAM 역할 선택

기존 IAM 역할 중에서 선택할 수 있습니다. 이 옵션을 사용하면 선택한 IAM 역할에 소스 및 대상에 필요한 적절한 신뢰 정책 및 권한이 있는지 확인하십시오. 자세한 정보는 Amazon Data Firehose를 통한 액세스 제어을 참조하세요.

콘솔에서 새 IAM 역할을 생성합니다.

또는 Firehose 콘솔을 사용하여 사용자를 대신하여 새 역할을 만들 수도 있습니다.

Firehose가 사용자를 대신하여 IAM 역할을 생성하면 Firehose 스트림 구성을 기반으로 필요한 권한을 부여하는 모든 권한 및 신뢰 정책이 역할에 자동으로 포함됩니다.

예를 들어, Transform 소스 레코드 AWS Lambda 기능을 활성화하지 않은 경우 콘솔은 권한 정책에 다음 명령문을 생성합니다.

{
  "Sid": "lambdaProcessing",
  "Effect": "Allow",
   "Action": [
     "lambda:InvokeFunction",
     "lambda:GetFunctionConfiguration"
   ],
   "Resource": "arn:aws:lambda:us-east-1:<account id>:function:%FIREHOSE_POLICY_TEMPLATE_PLACEHOLDER%"
}

참고

포함된 %FIREHOSE_POLICY_TEMPLATE_PLACEHOLDER% 정책 설명은 리소스에 대한 권한을 부여하지 않으므로 무시해도 됩니다.

콘솔에서 Firehose 스트림 워크플로를 만들고 편집하면 신뢰 정책도 생성하여 IAM 역할에 연결할 수 있습니다. 신뢰 정책을 통해 Firehose는 IAM 역할을 맡을 수 있습니다. 다음은 신뢰 정책의 예시입니다.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "firehoseAssume",
        "Effect": "Allow",
        "Principal": {
            "Service": "firehose.amazonaws.com"
        },
        "Action": "sts:AssumeRole"
    }]
}

중요

• 여러 Firehose 스트림에 동일한 콘솔 관리 IAM 역할을 사용하지 않는 것이 좋습니다. 그렇지 않으면 IAM 역할이 지나치게 허용되거나 오류가 발생할 수 있습니다.

• 권한 정책 내에서 콘솔 관리형 IAM 역할과 다른 정책 설명을 사용하려면 고유한 IAM 역할을 생성하고 정책 설명을 새 역할에 연결된 권한 정책에 복사하면 됩니다. Firehose 스트림에 역할을 연결하려면 서비스 액세스에서 기존 IAM 역할 선택 옵션을 선택합니다.

• 콘솔은 ARN에 서비스 역할 문자열을 포함하는 모든 IAM 역할을 관리합니다. 기존 IAM 역할 옵션을 선택할 때는 콘솔에서 변경하지 않도록 ARN에 서비스 역할 문자열이 없는 IAM 역할을 선택해야 합니다.

콘솔에서 IAM 역할을 생성하는 단계

1. https://console.aws.amazon.com/firehose/ 에서 Firehose 콘솔을 엽니다.

2. Firehose 스트림 생성을 선택합니다.

3. 소스와 대상을 선택합니다. 자세한 정보는 Firehose 스트림 만들기을 참조하세요.

4. 대상 설정을 선택합니다. 자세한 정보는 대상 설정 구성을 참조하세요.

5. 고급 설정에서 서비스 액세스에 대해 IAM 역할 생성 또는 업데이트를 선택합니다.

   참고

   기본 옵션입니다. 기존 역할을 사용하려면 기존 IAM 역할 선택 옵션을 선택합니다. Firehose 콘솔은 사용자 역할을 변경하지 않습니다.

6. Firehose 스트림 생성을 선택합니다.

콘솔에서 IAM 역할을 편집합니다.

Firehose 스트림을 편집하면 Firehose는 구성 및 권한 변경을 반영하도록 해당 권한 정책을 업데이트합니다.

예를 들어 Firehose 스트림을 편집하고 최신 버전의 Lambda 함수를 사용하여 AWS Lambda기능이 있는 원본 레코드 변환을 활성화하면 권한 정책에 다음과 같은 정책 설명이 표시됩니다. exampleLambdaFunction

{
  "Sid": "lambdaProcessing",
  "Effect": "Allow",
  "Action": [
    "lambda:InvokeFunction",
    "lambda:GetFunctionConfiguration"
  ],
  "Resource": "arn:aws:lambda:us-east-1:<account id>:function:exampleLambdaFunction:$LATEST"
}

중요

콘솔 관리형 IAM 역할은 자율적으로 작동하도록 설계되었습니다. 콘솔 외부에서 권한 정책이나 신뢰 정책을 수정하지 않는 것이 좋습니다.

콘솔에서 IAM 역할을 편집합니다.

1. https://console.aws.amazon.com/firehose/ 에서 Firehose 콘솔을 엽니다.

2. Firehose 스트림을 선택하고 업데이트하려는 Firehose 스트림의 이름을 선택합니다.

3. 구성 탭의 서버 액세스 섹션에서 편집을 선택합니다.

4. IAM 역할 옵션을 업데이트하십시오.

   참고

   기본적으로 콘솔은 항상 ARN의 패턴 서비스 역할로 IAM 역할을 업데이트합니다. 기존 IAM 역할 옵션을 선택할 때는 콘솔에서 변경하지 않도록 ARN에 서비스 역할 문자열이 없는 IAM 역할을 선택해야 합니다.

5. 변경 사항 저장을 선택합니다.