인라인 정책

인라인 정책은 자신이 생성 및 관리하며, 사용자, 그룹 또는 역할에 직접 포함되는 정책입니다. 다음 정책 예제에서는 AWS Private CA 작업을 수행할 권한을 할당하는 방법을 보여줍니다. 인라인 정책에 대한 일반적인 내용은 IAM 사용 설명서의 인라인 정책 작업을 참조하세요. AWS Management Console, (AWS CLI) 또는 를 AWS Command Line Interface 사용하여 인라인 정책을 IAM API 생성하고 포함할 수 있습니다.

중요

에 액세스할 때마다 다중 인증(MFA)을 사용하는 것이 좋습니다 AWS Private CA.

프라이빗 나열 CAs

다음 정책을 통해 사용자는 계정의 모든 프라이빗CAs을 나열할 수 있습니다.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"acm-pca:ListCertificateAuthorities",
         "Resource":"*"
      }
   ]
}

프라이빗 CA 인증서 검색

다음 정책은 사용자가 특정 프라이빗 CA 인증서를 검색하도록 허용합니다.

{
   "Version":"2012-10-17",
   "Statement":{
      "Effect":"Allow",
      "Action":"acm-pca:GetCertificateAuthorityCertificate",
      "Resource":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
   }
}

프라이빗 CA 인증서 가져오기

다음 정책은 사용자가 프리이빗 CA 인증서를 가져오도록 허용합니다.

{
   "Version":"2012-10-17",
   "Statement":{
      "Effect":"Allow",
      "Action":"acm-pca:ImportCertificateAuthorityCertificate",
      "Resource":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
   }
}

프라이빗 CA 삭제

다음 정책은 사용자가 특정 프라이빗 CA 인증서를 삭제하도록 허용합니다.

{
   "Version":"2012-10-17",
   "Statement":{
      "Effect":"Allow",
      "Action":"acm-pca:DeleteCertificateAuthority",
      "Resource":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
   }
}

T ag-on-create: 생성 시 CA에 태그 연결

다음 정책은 사용자가 CA 생성 중에 태그를 적용할 수 있도록 허용합니다.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Action": [
            "acm-pca:CreateCertificateAuthority",
            "acm-pca:TagCertificateAuthority"
         ],
         "Effect": "Allow",
         "Resource": "*"
      }
   ]  
}            

T ag-on-create: 제한된 태그 지정

다음 tag-on-create 정책은 CA 생성 중에 키-값 페어 Environment=Prod의 사용을 방지합니다. 다른 키-값 페어로 태그를 지정할 수 있습니다.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"acm-pca:*",
         "Resource":"*"
      },
      {
         "Effect":"Deny",
         "Action":"acm-pca:TagCertificateAuthority",
         "Resource":"*",
         "Condition":{
            "StringEquals":{
               "aws:ResourceTag/Environment":[
                  "Prod"
               ]
            }
         }
      }
   ]
}

태그를 사용한 프라이빗 CA에 대한 액세스 제어

다음 정책은 키-값 페어 Environment=CAs를 사용하여 에 대한 액세스만 허용합니다PreProd. 또한 새 에 이 태그를 CAs 포함해야 합니다.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "acm-pca:*"
         ],
         "Resource":"*",
         "Condition":{
            "StringEquals":{
               "aws:ResourceTag/Environment":[
                  "PreProd"
               ]
            }
         }
      }
   ]
}

에 대한 읽기 전용 액세스 AWS Private CA

다음 정책은 사용자가 사설 CA를 설명 및 나열하고 사설 CA 인증서 및 인증서 체인을 검색하도록 허용합니다.

{
   "Version":"2012-10-17",
   "Statement":{
      "Effect":"Allow",
      "Action":[
         "acm-pca:DescribeCertificateAuthority",
         "acm-pca:DescribeCertificateAuthorityAuditReport",
         "acm-pca:ListCertificateAuthorities",
         "acm-pca:ListTags",
         "acm-pca:GetCertificateAuthorityCertificate",
         "acm-pca:GetCertificateAuthorityCsr",
         "acm-pca:GetCertificate"
      ],
      "Resource":"*"
   }
}

에 대한 전체 액세스 AWS Private CA

다음 정책은 사용자가 모든 AWS Private CA 작업을 수행할 수 있도록 허용합니다.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "acm-pca:*"
         ],
         "Resource":"*"
      }
   ]
}

모든 AWS 리소스에 대한 관리자 액세스

다음 정책은 사용자가 모든 AWS 리소스에 대해 작업을 수행할 수 있도록 허용합니다.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"*",
         "Resource":"*"
      }
   ]
}