조직 내 멤버 계정에 액세스 - AWS Organizations
루트 사용자로 멤버 계정에 액세스초대된 멤버 OrganizationAccountAccessRole 계정에서 생성관리 계정 액세스 역할이 있는 멤버 계정 액세스

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

조직 내 멤버 계정에 액세스

조직에서 계정을 생성하면 AWS Organizations에서는 루트 사용자 외에 기본적으로 OrganizationAccountAccessRole이라는 IAM 역할을 자동으로 생성합니다. 계정을 생성할 때 다른 이름을 지정할 수 있지만 모든 계정에서 일관되게 이름을 지정하는 것이 좋습니다. 이 설명서에서는 기본 이름으로 역할을 참조합니다. AWS Organizations는 다른 사용자나 역할을 생성하지 않습니다. 조직 내 계정에 액세스하려면 다음 방법 중 하나를 사용해야 합니다.

  • AWS 계정을 생성할 때는 해당 계정의 모든 AWS 서비스및 리소스에 대한 완전한 액세스 권한이 있는 단일 로그인 ID로 시작합니다. 이 자격 증명은 AWS 계정루트 사용자라고 하며, 계정을 생성할 때 사용한 이메일 주소와 암호로 로그인하여 액세스합니다. 일상적인 작업에는 루트 사용자를 가급적 사용하지 않는 것이 좋습니다. 루트 사용자 보안 인증 정보를 보호하고 루트 사용자만 수행할 수 있는 작업을 수행하는 데 사용합니다. 루트 사용자로 로그인해야 하는 전체 작업 목록은 IAM 사용 설명서의 루트 사용자 보안 인증이 필요한 작업을 참조하십시오. 추가 루트 사용자 보안 권장 사항은 AWS 계정의 루트 사용자 모범 사례를 참조하십시오.

  • AWS Organizations의 일부로 제공되는 도구를 사용하여 계정을 만드는 경우 이 방식으로 생성한 모든 신규 계정에 존재하는 OrganizationAccountAccessRole이라는 사전 구성된 역할을 사용하여 계정에 액세스할 수 있습니다. 자세한 설명은 관리 계정 액세스 역할이 있는 멤버 계정 액세스 섹션을 참조하세요.

  • 기존 계정을 조직에 가입하도록 초대하고 해당 계정에서 초대를 수락한 경우, 초대받은 멤버 계정에 관리 계정이 액세스할 수 있게 허용하는 IAM 역할을 생성할 수 있습니다. 이 역할은 AWS Organizations를 사용하여 만든 계정에 자동으로 추가된 역할과 동일합니다. 이 역할을 생성하려면 초대된 멤버 OrganizationAccountAccessRole 계정에서 생성 단원을 참조하세요. 역할을 생성한 후에는 관리 계정 액세스 역할이 있는 멤버 계정 액세스에 있는 단계를 이용해 역할에 액세스할 수 있습니다.

  • AWS IAM Identity Center을 사용하여 AWS Organizations에서 IAM Identity Center에 대한 신뢰할 수 있는 액세스를 활성화합니다. 이렇게 하면 사용자가 회사 자격 증명으로 AWS 액세스 포털에 로그인한 후, 자신에게 할당된 관리 계정 또는 멤버 계정에 있는 리소스에 액세스할 수 있습니다.

    자세한 내용은 AWS IAM Identity Center 사용 설명서의 다중 계정 권한을 참조하세요. IAM Identity Center의 신뢰할 수 있는 액세스 설정에 대한 자세한 내용은 AWS IAM Identity Center 및 AWS Organizations 단원을 참조하세요.

최소 권한

조직 내 다른 계정에서 AWS 계정에 액세스하려면 다음과 같은 권한이 있어야 합니다.

  • sts:AssumeRole – Resource 요소는 별표(*), 또는 새로운 멤버 계정에 액세스해야 하는 사용자의 계정 ID 번호로 설정해야 합니다.

루트 사용자로 멤버 계정에 액세스

새 계정을 만들 때 처음에 AWS Organizations에서 루트 사용자에게 최소 64자 길이의 암호를 할당합니다. 모든 문자는 무작위로 생성되고 특정 문자 세트가 표시된다는 보장은 없습니다. 이 초기 암호는 검색할 수 없습니다. 루트 사용자로 계정에 최초 액세스할 때는 암호 복구 작업을 거쳐야 합니다. 자세한 내용은 AWS로그인 사용 설명서의 루트 사용자 암호를 잊어버렸습니다를 참조하십시오. AWS 계정

참고

초대된 멤버 OrganizationAccountAccessRole 계정에서 생성

조직의 일부인 멤버 계정을 생성했다면 AWS는 기본적으로 역할을 맡을 수 있는 관리 계정의 IAM 사용자에게 관리자 권한을 부여하는 계정에 역할을 자동으로 생성합니다. 기본적으로 역할 이름은 OrganizationAccountAccessRole입니다. 자세한 정보는 관리 계정 액세스 역할이 있는 멤버 계정 액세스을 참조하세요.

그러나 조직에 초대한 멤버 계정은 생성한 관리자 역할을 자동으로 받지 않습니다. 다음 절차에 따라 직접 획득해야 합니다. 이 작업은 생성된 계정을 위해 자동으로 설정된 역할을 복제합니다. 일관성을 유지하고 기억하기 쉽도록 되도록 직접 만든 역할과 같은 이름인 OrganizationAccountAccessRole을 사용하세요.

AWS Management Console
멤버 계정에서 AWS Organizations 관리자 역할을 생성하려면

  1. https://console.aws.amazon.com/iam/에서 IAM 콘솔에 로그인합니다. 멤버 계정에서 IAM 사용자로 로그인하거나 IAM 역할을 수임하거나, 루트 사용자로 로그인(권장되지 않음)해야 합니다. 사용자 또는 역할에게 IAM 역할 및 정책을 생성할 권한이 있어야 합니다.

  2. IAM 콘솔에서 역할로 이동한 다음 역할 생성을 선택합니다.

  3. 선택한 AWS 계정다음 기타를 선택합니다. AWS 계정

  4. 관리자에게 액세스 권한을 부여하려는 관리 계정의 12자리 계정 ID 번호를 입력합니다. 옵션에서 다음 사항을 참고하십시오.

    • 계정은 회사 내부의 계정이기 때문에 이 역할에 대해 외부 ID 필요(Require external ID)를 선택해서는 안 됩니다. 외부 ID 옵션에 대한 자세한 내용은 외부 ID는 언제 사용해야 하나요? 를 참조하십시오. IAM 사용 설명서에서

    • MFA를 활성화하고 구성했다면 멀티 팩터 인증 장치를 이용한 인증을 요구하게 할 수도 있습니다. MFA에 대한 자세한 내용은 IAM 사용 설명서의 멀티 팩터 인증 (MFA) 사용을 참조하십시오. AWS

  5. 다음을 선택합니다.

  6. 권한 추가 페이지에서 이름이 지정된 AWS AdministratorAccess 관리형 정책을 선택한 후 다음을 선택합니다.

  7. 이름, 검토 및 생성 페이지에서 역할 이름과 선택적 설명을 지정합니다. 되도록 새 계정의 역할에 할당된 기본 이름과 동일한 OrganizationAccountAccessRole을 사용하세요. [Create role]을 선택하여 변경 사항을 커밋합니다.

  8. 새로운 역할이 이용 가능한 역할 목록에 표시됩니다. 새 역할의 이름을 선택하여 세부 정보를 봅니다. 제공된 링크 URL에 특히 유의해야 합니다. 이 URL을 역할에 액세스해야 하는 멤버 계정 사용자에게 제공합니다. 또한 15단계에서 필요하므로 역할 ARN을 기록해 두세요.

  9. https://console.aws.amazon.com/iam/에서 IAM 콘솔에 로그인합니다. 이번에는 정책을 만들어서 사용자나 그룹에 할당할 권한이 있는 관리 계정의 사용자로 로그인합니다.

  10. 정책으로 이동한 다음 정책 생성을 선택합니다.

  11. [Service]에서 [STS]를 선택합니다.

  12. 작업(Actions)에서 필터 상자에 AssumeRole을 입력하기 시작하고 해당 항목이 나타나면 그 옆에 있는 확인란을 선택합니다.

  13. 리소스에서 특정 항목이 선택되어 있는지 확인한 다음 ARN 추가를 선택합니다.

  14. AWS 멤버 계정 ID 번호를 입력하고 이전에 1~8단계에서 생성한 역할의 이름을 입력합니다. ARN 추가를 선택합니다.

  15. 여러 멤버 계정의 역할을 맡는 권한을 부여하는 경우 각 계정에 대해 14단계 및 15단계를 반복합니다.

  16. 다음을 선택합니다.

  17. 검토 및 생성 페이지에서 새 정책의 이름을 입력한 다음 Create policy (정책 생성) 를 선택하여 변경 사항을 저장합니다.

  18. 탐색 창에서 사용자 그룹을 선택한 다음 구성원 계정 관리를 위임하는 데 사용할 그룹 이름 (확인란이 아님) 을 선택합니다.

  19. 권한 탭을 선택합니다.

  20. [권한 추가] 를 선택하고 [정책 연결] 을 선택한 다음 11-18단계에서 만든 정책을 선택합니다.

선택한 그룹의 멤버인 사용자는 이제 9단계에서 캡처한 URL을 이용해 멤버 계정의 역할에 액세스할 수 있습니다. 이들은 조직에서 사용자가 생성한 계정에 액세스할 때와 같은 방식으로 멤버 계정에 액세스할 수 있습니다. 역할을 이용해 멤버 계정을 관리하는 방법에 대한 자세한 내용은 관리 계정 액세스 역할이 있는 멤버 계정 액세스을(를) 참조하세요.

관리 계정 액세스 역할이 있는 멤버 계정 액세스

AWS Organizations 콘솔을 사용하여 멤버 계정을 생성하면 AWS Organizations가 자동으로 계정에 OrganizationAccountAccessRole이라는 IAM 역할을 생성합니다. 이 역할은 멤버 계정에 대한 완전한 관리 권한을 갖습니다. 이 역할에 대한 액세스 범위에는 관리 계정의 모든 보안 주체가 포함되며, 조직의 관리 계정에 해당 액세스 권한을 부여하도록 역할이 구성됩니다. 초대된 멤버 OrganizationAccountAccessRole 계정에서 생성에 있는 단계를 이용하면 초대한 멤버 계정과 같은 역할을 만들 수 있습니다. 이 역할을 이용해 멤버 계정에 액세스하려면, 역할을 맡을 수 있는 권한이 있는 관리 계정에서 사용자로 로그인해야 합니다. 이러한 권한을 구성하려면 다음 절차를 수행해야 합니다. 관리 용이성을 위해 되도록 사용자 대신 그룹에 권한을 부여하세요.

AWS Management Console
역할 액세스를 위해 관리 계정에 있는 IAM 그룹의 멤버에게 권한을 부여하려면

  1. 관리 계정에서 관리자 권한이 있는 사용자로 https://console.aws.amazon.com/iam/의 IAM 콘솔에 로그인합니다. 해당 사용자가 멤버 계정의 역할에 액세스하도록 IAM 그룹에 권한을 위임하기 위해 필요한 작업입니다.

  2. 단계 11에서 나중에 필요한 관리형 정책 생성부터 시작합니다.

    탐색 창에서 정책을 선택한 후 정책 생성을 선택합니다.

  3. Visual 편집기 탭에서 서비스 선택을 선택하고 검색 상자에 STS를 입력하여 목록을 필터링한 다음 STS 옵션을 선택합니다.

  4. 작업 섹션에서 검색 상자에 입력하여 목록을 필터링한 다음 AssumeRole옵션을 선택합니다. assume

  5. 리소스 섹션에서 [특정] 을 선택하고 [ARN 추가] 를 선택한 다음 멤버 계정 번호와 이전 섹션에서 만든 역할 이름을 입력합니다 (이름을 지정하는 것이 OrganizationAccountAccessRole 좋습니다).

  6. 대화 상자에 올바른 ARN이 표시되면 [ARN 추가] 를 선택합니다.

  7. (선택 사항) 멀티 팩터 인증(MFA)을 요구하거나 지정된 IP 주소 범위에서 역할에 대한 액세스를 제한하려면 요청 조건 섹션을 확장하고 적용할 옵션을 선택합니다.

  8. 다음을 선택합니다.

  9. 검토 및 생성 페이지에서 새 정책의 이름을 입력합니다. 예: GrantAccessToOrganizationAccountAccessRole. 또한 설명(선택 사항)을 추가할 수도 있습니다.

  10. 정책 생성을 선택하여 새로운 관리형 정책을 저장합니다.

  11. 정책을 사용할 수 있으므로 그룹에 연결할 수 있습니다.

    탐색 창에서 사용자 그룹을 선택한 다음 구성원 계정에서 역할을 수임할 구성원이 속한 그룹의 이름 (확인란이 아님) 을 선택합니다. 필요한 경우 그룹을 새로 만들어도 됩니다.

  12. 권한 탭을 선택하고 권한 추가, 정책 연결을 차례로 선택합니다.

  13. (선택 사항) 검색 상자에 단계 2에서 단계 10까지 방금 생성한 정책의 이름이 표시될 때까지 정책 이름을 입력하여 목록을 필터링할 수 있습니다. 모든 유형을 선택한 다음 고객 관리를 선택하여 AWS 관리형 정책을 모두 필터링할 수도 있습니다.

  14. 정책 옆의 체크박스를 선택한 다음 정책 연결을 선택합니다.

다음 절차에 따라 그룹 멤버인 IAM 사용자는 이제 AWS Organizations 콘솔에 있는 새 역할로 전환할 수 있는 권한을 얻게 됩니다.

AWS Management Console
멤버 계정의 역할로 전환하려면

역할을 이용할 때, 사용자는 새 멤버 계정의 관리자 권한을 얻습니다. 새 역할로의 전환을 위해 그룹 멤버인 IAM 사용자에게 다음을 수행하도록 지시합니다.

  1. AWS Organizations 콘솔의 오른쪽 상단에서 현재 로그인 이름이 있는 링크를 선택한 후 역할 전환(Switch Role)을 선택합니다.

  2. 관리자가 제공한 계정 ID 번호와 역할 이름을 입력합니다.

  3. 표시 이름에 역할을 사용하는 동안 탐색 모음 오른쪽 위에 사용자 이름 대신 표시할 텍스트를 입력합니다. 색상을 선택할 수도 있습니다.

  4. 역할 전환을 선택합니다. 이제 수행하는 모든 작업은 전환한 역할에 부여된 권한으로 수행하게 됩니다. 다시 전환할 때까지는 원래 IAM 사용자와 관련된 권한을 더 이상 이용할 수 없습니다.

  5. 역할의 권한이 필요한 작업을 수행 완료했으면, 다시 일반 IAM 사용자로 전환해도 됩니다. 오른쪽 상단에서 역할 이름 (표시 이름으로 지정한 이름) 을 선택한 다음 [Back to] 를 선택합니다. UserName

추가 리소스