서비스 제어 정책을 사용하여 계정 수준에서 인터넷 액세스 방지 - 권장 가이드
요약사전 조건 및 제한 사항도구모범 사례에픽관련 리소스

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

서비스 제어 정책을 사용하여 계정 수준에서 인터넷 액세스 방지

Sergiy Shevchenko, Sean O'Sullivan, Victor Mazeo Whitaker, Amazon Web Services

요약

조직은 비공개로 유지해야 하는 계정 리소스에 대한 인터넷 액세스를 제한하는 경우가 많습니다. 이러한 계정에서 Virtual Private Cloud(VPCs)의 리소스는 어떤 방식으로든 인터넷에 액세스해서는 안 됩니다. 많은 조직에서 중앙 집중식 검사 아키텍처를 선택합니다. 중앙 집중식 검사 아키텍처의 동서(VPC-to-VPC) 트래픽의 경우 스포크 계정과 해당 리소스가 인터넷에 액세스할 수 없는지 확인해야 합니다. 남북(인터넷 송신 및 온프레미스) 트래픽의 경우 검사 VPC를 통해서만 인터넷 액세스를 허용하려고 합니다.

이 패턴은 서비스 제어 정책(SCP)을 사용하여 인터넷 액세스를 방지합니다. 계정 또는 조직 단위(OU) 수준에서이 SCP를 적용할 수 있습니다. SCP는 다음을 방지하여 인터넷 연결을 제한합니다.

사전 조건 및 제한 사항

사전 조건 

제한 사항

  • SCP는 관리 계정의 사용자 또는 역할에 영향을 미치지 않습니다. 조직의 멤버 계정에만 영향을 줍니다.

  • SCPs는 조직의 일부인 계정에서 관리하는 AWS Identity and Access Management (IAM) 사용자 및 역할에만 영향을 미칩니다. 자세한 내용은 권한에 대한 SCP 효과를 참조하세요.

도구

서비스

  • AWS Organizations는 여러을 생성하여 중앙에서 관리하는 조직 AWS 계정 으로 통합하는 데 도움이 되는 계정 관리 서비스입니다. 이 패턴에서는에서 서비스 제어 정책(SCPs 사용합니다 AWS Organizations.

  • Amazon Virtual Private Cloud(Amazon VPC)를 사용하면 정의한 가상 네트워크에서 AWS 리소스를 시작할 수 있습니다. 이 가상 네트워크는 AWS의 확장 가능한 인프라를 사용한다는 이점과 함께 고객의 자체 데이터 센터에서 운영하는 기존 네트워크와 유사합니다.

모범 사례

조직에서이 SCP를 설정한 후 인터넷 액세스에 영향을 미칠 수 있는 새로운 AWS 서비스 기능이나 기능을 처리하도록 자주 업데이트해야 합니다.

에픽

작업설명필요한 기술

SCP를 생성합니다.

  1. AWS Organizations 콘솔에 로그인합니다. 조직의 관리 계정에 로그인해야 합니다.

  2. 왼쪽 창에서 정책을 선택합니다.

  3. 정책 페이지에서 서비스 제어 정책을 선택합니다.

  4. 서비스 제어 정책(Service control policies) 페이지에서 정책 생성(Create policy)을 선택합니다.

  5. 새 서비스 제어 정책 생성 페이지에서 정책 이름과 선택적 정책 설명을 입력합니다.

  6. (선택 사항) 정책에 AWS 태그를 추가합니다.

  7. JSON 편집기에서 자리 표시자 정책을 삭제합니다.

  8. 다음 정책을 JSON 편집기에 붙여넣습니다.

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ec2:AttachInternetGateway",
        "ec2:CreateInternetGateway",        
        "ec2:CreateVpcPeeringConnection",
        "ec2:AcceptVpcPeeringConnection",
        "ec2:CreateEgressOnlyInternetGateway"
      ],
      "Resource": "*",
      "Effect": "Deny"
    },
    {
      "Action": [
        "globalaccelerator:Create*",
        "globalaccelerator:Update*"
      ],
      "Resource": "*",
      "Effect": "Deny"
    }
  ]
}

  9. 정책 생성을 선택합니다.

관리자

SCP를 연결합니다.

  1. 서비스 제어 정책 페이지에서 생성한 정책을 선택합니다.

  2. 대상(Targets) 탭에서 연결(Attach)을 선택합니다.

  3. 정책을 연결할 OU 또는 계정을 선택합니다. 원하는 OUs 또는 계정을 찾으려면 OU를 확장해야 할 수 있습니다.

  4. 정책 연결을 선택합니다.

관리자

관련 리소스