모범 사례: 권한 관리

중요

이 AWS OpsWorks Stacks 서비스는 2024년 5월 26일에 수명이 종료되었으며 신규 및 기존 고객 모두 사용할 수 없습니다. 고객은 가능한 한 빨리 워크로드를 다른 솔루션으로 마이그레이션할 것을 강력히 권장합니다. 마이그레이션에 대해 궁금한 점이 있으면 AWS re:Post 또는 Premium AWS Support를 통해 AWS Support 팀에 문의하세요.

계정의 리소스에 액세스하려면 일정 형식의 AWS 자격 증명이 있어야 합니다. 다음은 직원들에게 액세스 권한을 제공하기 위한 몇 가지 일반적 지침입니다.

• 무엇보다도 AWS 리소스에 액세스할 때 계정의 루트 자격 증명을 사용하지 않는 것이 좋습니다.

  대신 직원을 위한 IAM ID를 생성하고 적절한 액세스를 제공하는 권한을 추가하세요. 그러면 직원 각자가 자신의 자격 증명을 사용하여 리소스에 액세스할 수 있습니다.

• 직원들은 자신의 업무를 수행하는 데 필요한 리소스에만 액세스할 수 있는 권한을 가져야 합니다.

  예를 들어 애플리케이션 개발자는 개발자의 애플리케이션을 실행하는 스택에만 액세스해야 합니다.

• 직원들은 자신의 업무를 수행하는 데 필요한 작업만을 사용할 수 있는 권한을 가져야 합니다.

  애플리케이션 개발자는 개발 스택에 대한 완전한 권한과 앱을 해당 프로덕션 스택에 배포할 수 있는 권한이 필요할 수 있습니다. 프로덕션 스택에서 인스턴스를 시작하거나 중지하고 계층을 생성 또는 삭제하는 등의 권한은 필요하지 않을 수 있습니다.

권한 관리에 대한 일반적인 내용은 AWS 보안 자격 증명을 참조하세요.

AWS OpsWorks Stacks 또는 IAM을 사용하여 사용자 권한을 관리할 수 있습니다. 두 방법은 상호 배타적이지 않습니다. 경우에 따라서는 두 방법을 모두 사용하는 것이 바람직합니다.

AWS OpsWorks 스택 권한 관리

각 스택에는 사용자에게 스택에 액세스할 권한을 부여하고 사용자가 수행할 수 있는 작업을 지정하는 데 사용할 수 있는 [권한] 페이지가 있습니다. 다음 권한 수준 중 하나를 설정하여 사용자의 권한을 지정합니다. 각각의 수준은 표준 작업 집합에 대한 권한을 부여하는 IAM 정책을 나타냅니다.

• [거부]는 어떤 방식으로든 스택과 상호 작용할 수 있는 권한을 거부합니다.

• [표시]는 스택 구성을 볼 수는 있지만 스택 상태는 수정하지 못하는 권한을 부여합니다.

• [배포]는 [표시] 권한을 포함하며 앱을 배포할 수 있는 사용자 권한도 부여합니다.

• [관리]는 [배포] 권한을 포함하며 사용자가 인스턴스 및 계층 생성 또는 삭제 등 다양한 스택 관리 작업을 수행하는 것도 허용합니다.

참고

권한 관리 수준은 스택 생성 또는 복제를 비롯한 소수의 상위 수준 AWS OpsWorks 스택 작업에 대한 권한을 부여하지 않습니다. 이러한 권한을 부여하기 위해서는 IAM 정책을 사용해야 합니다.

권한 수준을 설정하는 것 외에도 스택의 [권한] 페이지를 사용하여 사용자가 스택의 인스턴스에서 SSH/RDP 및 sudo/admin 권한을 가질지 여부를 지정할 수 있습니다. AWS OpsWorks Stacks 권한 관리에 대한 자세한 정보는 스택별 권한 부여 단원을 참조하세요. SSH 액세스 관리에 대한 자세한 정보는 SSH 액세스 관리를 참조하세요.

IAM 권한 관리

IAM 권한 관리를 통해 IAM 콘솔, API 또는 CLI를 사용하여 사용자의 권한을 명시적으로 지정하는 JSON 형식 정책을 사용자에게 연결할 수 있습니다. IAM 권한 관리에 대한 자세한 내용은 IAM이란?을 참조하세요.

권장 사항: 스택 권한 관리부터 시작하세요. AWS OpsWorks 사용자의 권한을 세부 조정하거나 [Manage] 권한 수준에 포함되지 않은 사용자 권한을 부여해야 하는 경우, 두 가지 방법을 조합할 수 있습니다. AWS OpsWorks 그런 다음 Stacks는 두 정책을 모두 평가하여 사용자의 권한을 결정합니다.

중요

사용자에게 권한이 충돌하는 여러 정책이 있는 경우, 거부가 항상 우선합니다. 예를 들어, 특정 스택에 대한 액세스를 허용하는 IAM 정책을 사용자에게 연결하면서 스택의 권한 페이지를 사용하여 사용자에게 거부 권한 수준을 할당한다고 가정해 보겠습니다. 이 경우, [거부] 권한 수준이 우선하며, 해당 사용자는 스택에 액세스할 수 없습니다. 자세한 내용은 IAM 정책 평가 논리를 참조하세요.

예를 들어 계층 추가 또는 삭제를 제외한 대부분의 작업을 사용자가 스택에서 수행할 수 있도록 하려는 경우를 가정해 보십시오.

• 사용자가 계층 생성 및 삭제를 포함한 대부분의 스택 관리 작업을 수행하는 것을 허용하는 [관리] 권한 수준을 지정합니다.

• 다음과 같은 고객 관리형 정책을 사용자에게 연결합니다. 그러면 해당 스택에서 CreateLayer및 DeleteLayer작업을 사용할 수 있는 권한이 거부됩니다. 스택의 설정 페이지에서 찾을 수 있는 Amazon 리소스 이름(ARN)으로 스택을 식별합니다.

  
  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Deny",
        "Action": [
          "opsworks:CreateLayer",
          "opsworks:DeleteLayer"
        ],
        "Resource": "arn:aws:opsworks:*:*:stack/2f18b4cb-4de5-4429-a149-ff7da9f0d8ee/"
      }
    ]
  }

정책 예제를 포함한 자세한 내용은 IAM 정책을 AWS OpsWorks 연결하여 스택 권한을 관리합니다.을(를) 참조하세요.

참고

IAM 정책을 사용하는 또 다른 방법은 지정된 IP 주소나 주소 범위를 가진 직원들로만 스택 액세스를 제한하는 조건을 설정하는 것입니다. 예를 들어 직원들이 기업 방화벽 내부에서만 스택에 액세스하도록 하려면 기업 IP 주소 범위로 액세스를 제한하는 조건을 설정합니다. 자세한 내용은 조건을 참조하세요.