기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
Amazon Macie에서의 조직 통합 및 구성
Amazon Macie를 사용하여 시작하려면 조직의 AWS Organizations 관리 계정이 계정을 조직의 위임된 Macie 관리자 계정으로 지정합니다. AWS Organizations이를 통해 Macie는 에서 신뢰할 수 있는 서비스가 될 수 있습니다. AWS Organizations또한 현재 AWS 리전 에서 Macie는 지정된 관리자 계정을 사용할 수 있게 되며, 지정된 관리자 계정은 해당 리전의 조직 내 다른 계정에 대해 Macie를 활성화하고 관리할 수 있습니다. 이러한 권한이 부여되는 방법에 대한 자세한 내용은 사용 설명서의AWS Organizations 다른 AWS OrganizationsAWS 서비스사람과 함께 사용을 참조하십시오.
그런 다음, 위임된 Macie 관리자는 주로 조직의 계정을 해당 리전의 Macie 멤버 계정으로 추가하여 Macie에서 조직을 구성합니다. 그러면 관리자는 해당 리전의 해당 계정에 대한 특정 Macie 설정, 데이터 및 리소스에 액세스할 수 있습니다. 또한 민감한 데이터를 자동으로 검색하고 민감한 데이터 검색 작업을 실행하여 계정이 소유한 Amazon Simple Storage Service (Amazon S3) 버킷의 민감한 데이터를 탐지할 수 있습니다.
이 항목에서는 조직의 위임된 Macie 관리자를 지정하는 방법과 조직의 계정을 Macie 멤버 계정으로 추가하는 방법에 대해 설명합니다. 이러한 작업을 수행하기 전에 관리자 계정과 멤버 계정 간의 관계를 이해해야 합니다. Macie와 함께 사용할 때의 고려 사항 및 권장 사항을 검토하는 것도 좋습니다. AWS Organizations
조직을 여러 지역으로 통합하고 구성하려면 AWS Organizations 관리 계정과 위임된 Macie 관리자가 각 추가 지역에서 이 단계를 반복합니다.
1단계: 권한 확인
조직의 위임된 Macie 관리자 계정을 지정하기 전에 AWS Organizations 관리 계정의 사용자로서 다음과 같은 Macie 작업을 수행할 수 있는지 확인하십시오. macie2:EnableOrganizationAdminAccount
이 작업을 수행하면 Macie를 사용하여 조직의 위임된 Macie 관리자 계정을 지정할 수 있습니다.
또한 다음 작업을 수행할 수 있는지 확인하십시오. AWS Organizations
-
organizations:DescribeOrganization
-
organizations:EnableAWSServiceAccess
-
organizations:ListAWSServiceAccessForOrganization
-
organizations:RegisterDelegatedAdministrator
이러한 작업을 통해 조직에 대한 정보를 검색하고, Macie를 통합하고, 통합한 정보를 검색하고, 조직에 위임된 Macie 관리자 계정을 지정할 수 있습니다 AWS Organizations. AWS Organizations AWS 서비스
이러한 권한을 부여하려면 계정의 AWS Identity and Access Management (IAM) 정책에 다음 내용을 포함하세요.
{ "Sid": "Grant permissions to designate a delegated Macie administrator", "Effect": "Allow", "Action": [ "macie2:EnableOrganizationAdminAccount", "organizations:DescribeOrganization", "organizations:EnableAWSServiceAccess", "organizations:ListAWSServiceAccessForOrganization", "organizations:RegisterDelegatedAdministrator" ], "Resource": "*" }
AWS Organizations 관리 계정을 조직의 위임된 Macie 관리자 계정으로 지정하려면 계정에 다음과 같은 IAM 작업을 수행할 수 있는 권한도 필요합니다. CreateServiceLinkedRole
이 작업을 통해 관리 계정에 대해 Macie를 활성화할 수 있습니다. 하지만 AWS 보안 모범 사례와 최소 권한 원칙에 따라 이렇게 하지 않는 것이 좋습니다.
이 권한을 부여하려면 AWS Organizations 관리 계정의 IAM 정책에 다음 설명을 추가하세요.
{ "Sid": "Grant permissions to enable Macie", "Effect": "Allow", "Action": [ "iam:CreateServiceLinkedRole" ], "Resource": "arn:aws:iam::
111122223333
:role/aws-service-role/macie.amazonaws.com/AWSServiceRoleForAmazonMacie", "Condition": { "StringLike": { "iam:AWSServiceName": "macie.amazonaws.com" } } }
명세서에서 111122223333
을 관리 계정의 계정 ID로 바꿉니다.
옵트인 AWS 리전 (기본적으로 비활성화된 지역) 으로 Macie를 관리하려면 요소 및 조건의 Macie 서비스 보안 주체 값도 업데이트하십시오Resource
. iam:AWSServiceName
값은 해당 리전의 리전 코드를 지정해야 합니다. 예를 들어, 리전 코드가 me-south-1인 중동(바레인) 리전에서 Macie를 관리하려면 다음과 같이 하세요.
-
Resource
요소의 경우 다음을 변경합니다.arn:aws:iam::
111122223333
:role/aws-service-role/macie.amazonaws.com/AWSServiceRoleForAmazonMaciewith
arn:aws:iam::
111122223333
:role/aws-service-role/macie.me-south-1
.amazonaws.com/AWSServiceRoleForAmazonMacie여기서
111122223333
은 관리 계정의 계정 ID를 지정하고me-south-1
은 해당 리전의 리전 코드를 지정합니다. -
iam:AWSServiceName
조건에서macie.amazonaws.com
을macie.
으로 바꿉니다. 여기서me-south-1
.amazonaws.comme-south-1
은 해당 리전의 리전 코드를 지정합니다.
현재 Macie를 사용할 수 있는 리전 목록 및 각 리전의 지역 코드는 AWS 일반 참조의 Amazon Macie 엔드포인트 및 할당량을 참조하세요. 옵트인 리전에 대한 자세한 내용은 AWS Account Management 참조 안내서에서 Specifying which AWS 리전 your account can use를 참조하세요.
2단계: 조직의 마스터 계정만 위임된 Macie 관리자 지정
권한을 확인한 후에는 AWS Organizations 관리 계정의 사용자로서 조직의 위임된 Macie 관리자 계정을 지정할 수 있습니다.
조직의 위임된 Macie 관리자 계정을 지정하려면
조직의 위임된 Macie 관리자 계정을 지정하려면 Amazon Macie 콘솔 또는 Amazon Macie API를 사용할 수 있습니다. AWS Organizations 관리 계정의 사용자만 이 작업을 수행할 수 있습니다.
조직의 Macie 관리자 계정을 지정한 후, Macie 관리자는 Macie에서 조직 구성을 시작할 수 있습니다.
3단계: 새 조직 계정을 Macie 멤버 계정으로 자동으로 추가하고 활성화
기본적으로, Macie는 새 계정을 AWS Organizations의 조직에 추가할 때 새 계정이 자동으로 활성화되지 않습니다. 또한 계정은 Macie 멤버 계정으로 자동으로 추가되지 않습니다. 계정은 Macie 관리자의 계정 인벤토리에 표시됩니다. 하지만 Macie가 반드시 계정에 활성화되어 있는 것은 아니며 Macie 관리자가 계정의 Macie 설정, 데이터 및 리소스에 반드시 액세스할 수 있는 것도 아닙니다.
조직의 위임 Macie 관리자인 경우 이 구성 설정을 변경할 수 있습니다. 조직의 자동 활성화 기능을 켤 수 있습니다. 이렇게 하면 계정이 조직에 추가될 때 Macie가 새 계정을 자동으로 사용할 수 있게 되며 AWS Organizations, 해당 계정은 구성원 계정으로 Macie 관리자 계정에 자동으로 연결됩니다. 이 설정을 켜도 조직의 기존 계정에는 영향을 주지 않습니다. 기존 계정에 대해 Macie를 활성화하고 관리하려면 계정을 Macie 멤버 계정으로 수동으로 추가해야 합니다. 다음 단계에서는 이 작업을 수행하는 방법을 설명합니다.
참고
자동 활성화를 켜는 경우 다음 예외 사항에 유의하십시오.
-
새 계정이 이미 다른 Macie 관리자 계정과 연결되어 있는 경우 Macie는 해당 계정을 조직의 멤버 계정으로 자동으로 추가하지 않습니다.
계정을 현재 Macie 관리자 계정에서 분리해야 Macie에 있는 조직의 일부가 될 수 있습니다. 그런 다음, 계정을 수동으로 추가할 수 있습니다. 이러한 경우에 해당하는 계정을 식별하려면 조직의 계정 인벤토리를 검토하면 됩니다.
-
조직의 Macie 구성원 계정 할당량이 10,000개에 도달하면 Macie는 AWS 리전해당 지역에서 이 설정을 자동으로 끕니다.
이 경우 Macie 관리자 계정을 위한 Amazon CloudWatch 이벤트를 AWS Health 생성하여 알려드립니다. 또한 해당 계정과 연결된 주소로도 이메일을 보내 드립니다. 이후 총 계정 수가 10,000개 미만으로 줄어들면 Macie는 자동으로 설정을 다시 설정합니다.
새 조직 계정을 Macie 멤버 계정으로 자동으로 활성화하고 추가하려면
새 계정을 Macie 멤버 계정으로 자동으로 활성화하고 추가하려면 Amazon Macie 콘솔 또는 Amazon Macie API를 사용할 수 있습니다. 조직의 위임된 Macie 관리자만 이 작업을 수행할 수 있습니다.
4단계: 기존 조직 계정을 Macie 멤버 계정으로 활성화하고 추가
Macie와 AWS Organizations통합할 때 Macie는 조직의 기존 계정 중 일부가 자동으로 활성화되지 않습니다. 또한 계정은 Macie 멤버 계정으로 위임된 Macie 관리자 계정에 자동으로 연결되지 않습니다. 따라서 Macie에서 조직을 통합하고 구성하는 마지막 단계는 기존 조직 계정을 Macie 멤버 계정으로 추가하는 것입니다. 기존 계정을 Macie 멤버 계정으로 추가하면 해당 계정이 자동으로 활성화되고 위임된 Macie 관리자인 사용자는 계정의 특정 Macie 설정, 데이터 및 리소스에 액세스할 수 있습니다.
현재 다른 Macie 관리자 계정과 연결되어 있는 계정은 추가할 수 없다는 점에 유의하세요. 계정을 추가하려면 먼저 계정 소유자와 협의해 현재 관리자 계정에서 계정 연결을 해제하세요. 또한 Macie가 현재 해당 계정에 대해 일시 중단 상태인 경우 기존 계정을 추가할 수 없습니다. 계정 소유자는 먼저 계정에 대해 Macie를 다시 활성화해야 합니다. 마지막으로, AWS Organizations 관리 계정을 멤버 계정으로 추가하려면 해당 계정의 사용자가 먼저 해당 계정에 대해 Macie를 활성화해야 합니다.
기존 조직 계정을 Macie 멤버 계정으로 활성화하고 추가하려면
기존 조직 계정을 Macie 멤버 계정으로 활성화하고 추가하려면 Amazon Macie 콘솔 또는 Amazon Macie API를 사용할 수 있습니다. 조직의 위임된 Macie 관리자만 이 작업을 수행할 수 있습니다.