AWS자격 증명을AWS 사용하여 액세스

AWS액세스 방식AWS 및AWS 사용자 유형에 따라 다양한 유형의 보안 자격 증명이 필요합니다. 예를 들어 프로그래밍 방식 호출을 위해 액세스 키를 사용하는AWS Management Console 동안에는 로그인 자격 증명을 사용합니다AWS. 또한 계정 루트 사용자,AWS Identity and Access Management (IAM) 사용자, 사용자 또는 페더레이션 ID 등 사용하는 각 ID에는 고유한 자격 증명이 있습니다AWS.AWS IAM Identity Center (successor to AWS Single Sign-On)

중요

일상적인 작업에 루트 사용자를 사용하지 않을 것을 강력히 권장합니다. 루트 사용자 보안 인증 정보를 보호하고 루트 사용자만 수행할 수 있는 작업을 수행하는 데 사용합니다. 루트 사용자로 로그인해야 하는 태스크의 전체 목록은 루트 사용자 보안 인증이 필요한 태스크 를 참조하세요.

다음 방법을AWS 사용하여 액세스할 수 있습니다.

AWS Management Console로그인 페이지

루트 및 IAM 사용자는 를 통해 로그인합니다 AWS Management Console. AWS Management Console에서는 AWS 리소스를 생성하고 관리하는 데 사용할 수 있는 웹 기반 사용자 인터페이스를 제공합니다.

루트 사용자로 로그인하려면

를 만들 때 사용한 이메일 주소와 루트 사용자의 암호가 필요합니다.AWS 계정 자세한 내용은 로그인 사용 설명서 의 루트 사용자로AWS 로그인 을 참조하세요.

IAM 사용자로 로그인하려면

계정 소유자가 계정 ID 또는 별칭, 사용자 이름, 암호를 제공합니다. 자세한 내용은 AWS로그인 사용 설명서의 IAM 사용자로 로그인을 참조하십시오.

문제 해결 정보는 로그인 사용 설명서의AWS 로그인 문제 해결을 참조하십시오.

AWS액세스 포털 로그인 페이지

IAM Identity Center 사용자는 액세스 포털이 아닌AWS 액세스 포털을 통해AWS Management Console 로그인합니다. AWS액세스 포털을 통해 로그인한 후 사용자AWS 계정 및 애플리케이션에 액세스할 수 있습니다. 액세스 포털을 통해 Office 365, Concur 및 Salesforce와 같은 클라우드 애플리케이션에AWS 액세스할 수 있습니다. 자세한 내용은 AWS IAM Identity Center (successor to AWS Single Sign-On) 사용 설명서를 참조하세요.

로그인하려면 로그인 URL, 사용자 이름, 암호가 필요합니다. 관리자 또는 헬프 데스크 직원이 이 정보를 제공합니다. 또는 귀하를 위해 IAM Identity Center 사용자를 생성한 경우 특정 로그인 URL이 포함된 이메일 초대를 받으셨을 수도AWS 계정 있습니다.

AWS액세스 포털을 사용하여 로그인하려면

step-by-step 지침은 AWS로그인 사용 설명서의AWS 액세스 포털에 로그인을 참조하십시오.

연동 자격 증명

페더레이션 ID는 외부 ID로 보안AWS 계정 리소스에 액세스할 수 있는 사용자입니다. 외부 ID는 기업 ID 저장소 (예: LDAP 또는 Windows Active Directory) 또는 타사 (예: 아마존, 페이스북 또는 구글로 로그인) 에서 가져올 수 있습니다. 페더레이션 ID는AWS Management Console 포털이나AWS 액세스 포털에 로그인할 수 없습니다. 사용 중인 외부 ID 유형에 따라 페더레이션 ID의 로그인 방식이 결정됩니다.

페더레이션 ID에 대한 자세한 내용은 IAM 사용 설명서의 웹 자격 증명 페더레이션 정보를 참조하십시오.

관리자는 다음을 포함하는 사용자 지정 URL을 만들어야https://signin.aws.amazon.com/federation 합니다. 자세한 내용은 에 대한 사용자 정의 자격 증명 브로커 액세스 사용 을 참조하세요AWS Management Console.

참고

관리자가 페더레이션 ID를 생성합니다. 페더레이션 ID를 사용하여 로그인하는 방법에 대한 자세한 내용은 관리자에게 문의하십시오.

멀티 팩터 인증(MFA)

MFA (Multi-Factor Authentication은 MFA) 에 액세스할 수 있는 사용자에게 추가 보안 레벨을 제공합니다AWS 계정. 추가 보안을 위해AWS 계정 루트 사용자 자격 증명 및 모든 IAM 사용자에 MFA를 요구하는 것이 좋습니다. 자세한 내용은 IAM 사용 설명서의 AWS에서 멀티 팩터 인증(MFA) 사용을 참조하세요.

MFA를 활성화하고 MFA에AWS 계정 로그인하면 로그인 자격 증명과 함께 MFA 디바이스에서 생성된 응답 (예: 코드, 터치 또는 탭, 생체인식 스캔) 을 입력하라는 메시지가 표시됩니다. MFA를 추가하면AWS 계정 설정과 리소스가 더욱 안전하게 보호됩니다.

기본적으로 MFA 활성화되지 않습니다. 의 보안 자격 증명 페이지 또는 IAMAWS 계정 루트 사용자 대시보드로 이동하여 에 대한 MFA 디바이스를 활성화하고 관리할 수AWS Management Console 있습니다. IAM 사용자의 MFA 활성화에 대한 자세한 내용은 IAM 사용 설명서의 MFA 디바이스 활성화를 참조하십시오.

멀티 팩터 인증 (MFA) 디바이스를 사용한 로그인에 대한 자세한 내용은 IAM 로그인 페이지에서 MFA 디바이스 사용을 참조하십시오.

프로그래밍 방식 액세스

프로그래밍 방식으로 사용할 경우AWS 프로그래밍 방식의 호출에서 아이덴티티를 확인할AWS 수 있도록AWS 액세스 키를 제공합니다. 액세스 키는 임시 (단기) 자격 증명 또는 장기 자격 증명 (예: IAM 사용자) 일 수 있습니다.

목차

• 액세스 키
• 장기 액세스 키에 대한 고려 사항 및 대안

액세스 키

프로그래밍 방식으로AWS 호출하거나 또는 를 사용하기 위한AWS 액세스 키를 제공합니다AWS Tools for PowerShell.AWS Command Line Interface 가능하다면 단기 액세스 키를 사용하는 것이 좋습니다.

장기 액세스 키를 생성할 때 액세스 키 ID (예:AKIAIOSFODNN7EXAMPLE) 와 보안 액세스 키 (예:wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY) 를 세트로 생성합니다. 보안 액세스 키는 암호 키를 생성할 때만 다운로드할 수 있습니다. 보안 액세스 키를 다운로드하지 않았거나 보안 액세스 키를 분실한 경우 새로 생성해야 합니다.

대부분의 시나리오에서 만료되지 않는 장기 액세스 키는 필요하지 않습니다 (IAM 사용자를 위한 액세스 키를 생성할 때처럼). 대신 IAM 역할을 생성하고 임시 보안 자격 증명을 생성할 수 있습니다. 임시 보안 보안 인증 정보도 액세스 키 ID와 보안 액세스 키로 구성되지만, 보안 인증이 만료되는 시간을 나타내는 보안 토큰도 포함되어 있습니다. 만료된 이후에는 더 이상 유효하지 않습니다.

로 시작하는 액세스 키AKIA ID는 IAM 사용자 또는AWS 계정 루트 사용자의 장기 액세스 키입니다. 로 시작하는 액세스 키ASIA ID는AWS STS 작업으로 생성된 임시 보안 인증 정보 액세스 키입니다.

사용자가 AWS Management Console 외부에서 AWS와 상호 작용하려면 프로그래밍 방식의 액세스가 필요합니다. 프로그래밍 방식으로 액세스를 부여하는 방법은 AWS에 액세스하는 사용자 유형에 따라 다릅니다.

• IAM Identity Center에서 ID를 관리하는 경우 AWS API에는 프로필이 필요하고 AWS Command Line Interface에는 프로필이나 환경 변수가 필요합니다.

• IAM 사용자가 있는 경우 AWS API 및 AWS Command Line Interface에는 액세스 키가 필요합니다. 가능한 경우 액세스 키 ID, 비밀 액세스 키 및 보안 인증 정보가 만료되는 시간을 나타내는 보안 토큰으로 구성된 임시 보안 인증 정보를 만듭니다.

사용자에게 프로그래밍 방식 액세스 권한을 부여하려면 다음 옵션 중 하나를 선택합니다.

프로그래밍 방식 액세스가 필요한 사용자는 누구인가요?	To	By
작업 인력 ID (IAM Identity Center에서 관리되는 사용자)	단기 보안 인증 정보를 사용하여 AWS CLI 또는 AWS API에 대한 프로그래밍 방식 요청에 직접 또는 AWS SDK를 사용하여 서명할 수 있습니다.	사용하고자 하는 인터페이스에 대한 지침을 따릅니다. AWS CLI의 경우 AWS IAM Identity Center (successor to AWS Single Sign-On) 사용 설명서의 CLI 액세스를 위한 IAM 역할 보안 인증 정보 가져오기에 나와 있는 지침을 따르세요. AWS API의 경우 AWS SDK 및 도구 참조 가이드의 SSO 보안 인증 정보에 나와 있는 지침을 따르세요.
IAM	단기 보안 인증 정보를 사용하여 AWS CLI 또는 AWS API에 대한 프로그래밍 방식 요청에 직접 또는 AWS SDK를 사용하여 서명할 수 있습니다.	IAM 사용 설명서의 AWS 리소스와 함께 임시 보안 인증 정보 사용에 나와 있는 지침을 따르세요.
IAM	장기 보안 인증 정보를 사용하여 AWS CLI 또는 AWS API에 대한 프로그래밍 방식 요청에 직접 또는 AWS SDK를 사용하여 서명할 수 있습니다. (권장되지 않음)	IAM 사용 설명서의 IAM 사용자 액세스 키 관리에 나와 있는 지침을 따르세요.

장기 액세스 키에 대한 고려 사항 및 대안

대부분의 일반적인 사용 사례에는 장기 액세스 키 대신 사용할 수 있는 대안이 있습니다. 계정 보안을 개선하려면 다음 사항을 고려하세요.

• 애플리케이션 코드나 코드 리포지토리에 장기 액세스 키와 비밀 액세스 키를 내장하지 마세요. 대신 키 또는 기타 비밀 관리 솔루션을 사용하면 일반 텍스트로 키를 하드코딩할 필요가 없습니다.AWS Secrets Manager 그러면 애플리케이션 또는 클라이언트가 필요할 때 암호를 검색할 수 있습니다. 자세한 내용은 AWS Secrets Manager 사용 설명서의 AWS Secrets Manager(이)란 무엇입니까? 섹션을 참조하세요.

• 가능하면 IAM 역할을 사용하여 임시 보안 자격 증명을 생성하십시오. — 가능하면 장기 액세스 키보다는 항상 메커니즘을 사용하여 임시 보안 자격 증명을 발급하십시오. 임시 보안 자격 증명은 사용자와 함께 저장되지 않고 동적으로 생성되어 요청 시 사용자에게 제공되므로 더욱 안전합니다. 임시 보안 자격 증명은 수명이 제한되어 있으므로 관리하거나 교체할 필요가 없습니다. 임시 액세스 키를 제공하는 메커니즘에는 IAM 역할 또는 IAM Identity Center 사용자의 인증이 포함됩니다. AWS 외부에서 실행되는 시스템의 경우 AWS Identity and Access Management Roles Anywhere를 사용할 수 있습니다.

• AWS Command Line Interface(AWS CLI) 또는aws-shell —의 장기 액세스 키 대신 사용할 수 있는 대안은 다음과 같습니다.

  • AWS CloudShell은 브라우저 기반의 사전 인증된 셸로, AWS Management Console에서 직접 시작할 수 있습니다. 원하는 셸 (Bash, Powershell 또는 Z 셸) 을AWS 서비스 통해 에 대해AWS CLI 명령을 실행할 수 있습니다. 이렇게 하면 명령줄 도구를 다운로드하거나 설치할 필요가 없습니다. 자세한 내용은 AWS CloudShell 사용 설명서의 AWS CloudShell(이)란 무엇입니까? 섹션을 참조하세요.

  • AWS CLIAWS IAM Identity Center (successor to AWS Single Sign-On)(IAM Identity Center) 과의 버전 2 통합 사용자를 인증하고AWS CLI 명령을 실행하기 위한 단기 자격 증명을 제공할 수 있습니다. 자세히 알아보려면 사용 설명서의 IAM IdentityAWS CLI Center와의 통합 및 사용 설명서의 IAM Identity Center를AWS Command Line Interface 사용하도록 구성을 참조하십시오.AWS IAM Identity Center (successor to AWS Single Sign-On)AWS CLI

• 애플리케이션에 액세스해야 하는 일반 사용자를 위해 장기 액세스 키를 생성하지 마십시오. 그렇지AWS 서비스 않으면 IAM Identity Center는 외부 IdP 사용자가 액세스할 수 있도록 임시 액세스 자격 증명을 생성할 수AWS 서비스 있습니다. 따라서 IAM에서 장기 자격 증명을 생성하고 관리할 필요가 없습니다. IAM ID 센터에서 외부 IdP 사용자에게 액세스 권한을 부여하는 IAM ID 센터 권한 세트를 생성합니다. 그런 다음 IAM Identity Center의 그룹을 선택한 그룹의 권한 세트에AWS 계정 할당합니다. 자세한 내용은 사용 설명서의 정의AWS IAM Identity Center (successor to AWS Single Sign-On), 외부 ID 공급자에 Connect 및 권한 설정을 참조하십시오.AWS IAM Identity Center (successor to AWS Single Sign-On)

• 컴퓨팅 서비스 내에 장기 액세스 키를 저장하지 마세요. 대신AWS 컴퓨팅 리소스에 IAM 역할을 할당하세요. 그러면 액세스 권한을 부여하기 위한 임시 자격 증명이 자동으로 제공됩니다. 예를 들어 Amazon EC2 인스턴스에 연결된 인스턴스 프로파일을 생성할 때 해당AWS 역할을 할당하고 해당 역할을 모든 애플리케이션에서 사용할 수 있습니다. 인스턴스 프로파일에는 역할이 포함되어 있으며 Amazon EC2 인스턴스에서 실행되는 프로그램이 임시 자격 증명을 얻을 수 있습니다. 자세한 내용은 IAM 역할을 사용하여 Amazon EC2 인스턴스에서 실행되는 애플리케이션에 권한 부여 를 참조하세요.