모범 사례: 권한 관리

중요

AWS OpsWorks Stacks은 더 이상 신규 고객을 받지 않습니다. 기존 고객은 2024년 5월 26일까지 OpsWorks 콘솔, API, CLI, CloudFormation 리소스를 정상적으로 사용할 수 있으며, 이때 중단될 예정입니다. 이러한 전환에 대비하려면 가능한 한 빨리 스택을 AWS Systems Manager으로 전환하는 것이 좋습니다. 자세한 정보는 AWS OpsWorks Stacks 수명 종료 관련 자주 묻는 질문 및 AWS Systems Manager 애플리케이션 관리자로 AWS OpsWorks Stacks 애플리케이션 마이그레이션 섹션을 참조하십시오.

계정의 리소스에 액세스하려면 일정 형식의 AWS 자격 증명이 있어야 합니다. 다음은 직원들에게 액세스 권한을 제공하기 위한 몇 가지 일반적 지침입니다.

• 무엇보다도 AWS 리소스에 액세스할 때 계정의 루트 자격 증명을 사용하지 않는 것이 좋습니다.

  대신 직원을 위한 IAM ID를 생성하고 적절한 액세스를 제공하는 권한을 추가하십시오. 그러면 직원 각자가 자신의 자격 증명을 사용하여 리소스에 액세스할 수 있습니다.

• 직원들은 자신의 업무를 수행하는 데 필요한 리소스에만 액세스할 수 있는 권한을 가져야 합니다.

  예를 들어 애플리케이션 개발자는 개발자의 애플리케이션을 실행하는 스택에만 액세스해야 합니다.

• 직원들은 자신의 업무를 수행하는 데 필요한 작업만을 사용할 수 있는 권한을 가져야 합니다.

  애플리케이션 개발자는 개발 스택에 대한 완전한 권한과 앱을 해당 프로덕션 스택에 배포할 수 있는 권한이 필요할 수 있습니다. 프로덕션 스택에서 인스턴스를 시작하거나 중지하고 계층을 생성 또는 삭제하는 등의 권한은 필요하지 않을 수 있습니다.

권한 관리에 대한 일반적인 내용은 AWS 보안 자격 증명을 참조하십시오.

AWS OpsWorks Stacks 또는 IAM을 사용하여 사용자 권한을 관리할 수 있습니다. 두 방법은 상호 배타적이지 않습니다. 경우에 따라서는 두 방법을 모두 사용하는 것이 바람직합니다.

AWS OpsWorks Stacks 권한 관리

각 스택에는 사용자에게 스택에 액세스할 권한을 부여하고 사용자가 수행할 수 있는 작업을 지정하는 데 사용할 수 있는 [Permissions] 페이지가 있습니다. 다음 권한 수준 중 하나를 설정하여 사용자의 권한을 지정합니다. 각각의 수준은 표준 작업 집합에 대한 권한을 부여하는 IAM 정책을 나타냅니다.

• [Deny]는 어떤 방식으로든 스택과 상호 작용할 수 있는 권한을 거부합니다.

• [Show]는 스택 구성을 볼 수는 있지만 스택 상태는 수정하지 못하는 권한을 부여합니다.

• [Deploy]는 [Show] 권한을 포함하며 앱을 배포할 수 있는 사용자 권한도 부여합니다.

• [Manage]는 [Deploy] 권한을 포함하며 사용자가 인스턴스 및 계층 생성 또는 삭제 등 다양한 스택 관리 작업을 수행하는 것도 허용합니다.

참고

관리 권한 수준은 스택 생성이나 복제를 비롯한 소수의 상위 AWS OpsWorks Stacks 작업에 대한 권한은 부여하지 않습니다. 이러한 권한을 부여하기 위해서는 IAM 정책을 사용해야 합니다.

권한 수준을 설정하는 것 외에도 스택의 [Permissions] 페이지를 사용하여 사용자가 스택의 인스턴스에서 SSH/RDP 및 sudo/admin 권한을 가질지 여부를 지정할 수 있습니다. AWS OpsWorks Stacks 권한 관리에 대한 자세한 정보는 스택별 권한 부여 단원을 참조하십시오. SSH 액세스 관리에 대한 자세한 정보는 SSH 액세스 관리를 참조하십시오.

IAM 권한 관리

IAM 권한 관리를 통해 IAM 콘솔, API 또는 CLI를 사용하여 사용자의 권한을 명시적으로 지정하는 JSON 형식 정책을 사용자에게 연결할 수 있습니다. IAM 권한 관리에 대한 자세한 내용은 IAM이란?을 참조하십시오.

권장 사항: AWS OpsWorks Stacks 권한 관리부터 시작하십시오. 사용자의 권한을 세부 조정하거나 Manage 권한 수준에 포함되지 않은 사용자 권한을 부여해야 하는 경우, 두 가지 방법을 조합할 수 있습니다. AWS OpsWorks 그러면 Stacks가 두 정책을 모두 평가하여 사용자의 권한을 결정합니다.

중요

사용자에게 권한이 충돌하는 여러 정책이 있는 경우, 거부가 항상 우선합니다. 예를 들어, 특정 스택에 대한 액세스를 허용하는 IAM 정책을 사용자에게 연결하면서 스택의 권한 페이지를 사용하여 사용자에게 거부 권한 수준을 할당한다고 가정해 보겠습니다. 이 경우, [Deny] 권한 수준이 우선하며, 해당 사용자는 스택에 액세스할 수 없습니다. 자세한 내용은 IAM 정책 평가 논리를 참조하십시오.

예를 들어 계층 추가 또는 삭제를 제외한 대부분의 작업을 사용자가 스택에서 수행할 수 있도록 하려는 경우를 가정해 보십시오.

• 사용자가 계층 생성 및 삭제를 포함한 대부분의 스택 관리 작업을 수행하는 것을 허용하는 [Manage] 권한 수준을 지정합니다.

• 다음과 같은 고객 관리형 정책을 사용자에게 연결합니다. 그러면 해당 스택에서 CreateLayer 및 DeleteLayer 작업을 사용할 권한이 거부됩니다. 스택의 설정 페이지에서 찾을 수 있는 Amazon 리소스 이름(ARN)으로 스택을 식별합니다.

  
  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Deny",
        "Action": [
          "opsworks:CreateLayer",
          "opsworks:DeleteLayer"
        ],
        "Resource": "arn:aws:opsworks:*:*:stack/2f18b4cb-4de5-4429-a149-ff7da9f0d8ee/"
      }
    ]
  }

정책 예제를 포함한 자세한 내용은 IAM 정책을 연결하여 AWS OpsWorks Stacks 권한 관리을(를) 참조하십시오.

참고

IAM 정책을 사용하는 또 다른 방법은 지정된 IP 주소나 주소 범위를 가진 직원들로만 스택 액세스를 제한하는 조건을 설정하는 것입니다. 예를 들어 직원들이 기업 방화벽 내부에서만 스택에 액세스하도록 하려면 기업 IP 주소 범위로 액세스를 제한하는 조건을 설정합니다. 자세한 내용은 조건을 참조하십시오.