액세스 제어 관리 작업 조정 ID 정보를 공유하도록 IAM Identity Center 구성 ID 정보 공유에 대한 고려 사항 AWS 계정 ID 인식 콘솔 세션 활성화 관리형 애플리케이션 사용 제한 AWS 애플리케이션 세부 정보 보기 관리형 AWS 애플리케이션 비활성화

AWS 관리형 애플리케이션

AWS 관리형 애플리케이션은 IAM Identity Center와 통합되며 이를 인증 및 디렉터리 서비스에 사용할 수 있습니다.

AWS 관리형 애플리케이션을 IAM Identity Center와 통합하면 각 애플리케이션에 대해 별도의 페더레이션 또는 사용자 및 그룹 동기화를 설정할 필요 없이 사용자 액세스 권한을 더 쉽게 할당할 수 있습니다. 인증에 사용할 ID 소스를 한 번 연결하면 사용자 및 그룹 할당을 한 눈에 볼 수 있습니다. 신뢰할 수 있는 ID 전파를 지원하는 애플리케이션 관리자는 IAM 역할에 매핑할 필요 없이 사용자 또는 사용자의 그룹 구성원을 기반으로 애플리케이션 리소스에 대한 액세스를 정의하고 감사할 수 있습니다.

AWS 관리형 애플리케이션은 애플리케이션 리소스에 대한 액세스를 관리하는 데 사용할 수 있는 관리 사용자 인터페이스를 제공합니다. 예를 들어 QuickSight 관리자는 그룹 구성원을 기반으로 대시보드에 액세스할 사용자를 할당할 수 있습니다. 대부분의 AWS 관리형 애플리케이션은 애플리케이션에 사용자를 할당할 수 있는 AWS Management Console 환경도 제공합니다. 이러한 애플리케이션의 콘솔 환경은 두 기능을 통합하여 사용자 할당 기능과 애플리케이션 리소스에 대한 액세스 관리 기능을 결합할 수 있습니다.

AWS IAM Identity Center와 통합된 관리형 애플리케이션에는 다음이 포함됩니다.

AWS IAM ID 센터와 통합되는 관리형 애플리케이션
AWS 관리형 애플리케이션	IAM ID 센터의 조직 인스턴스와 통합	IAM 아이덴티티 센터의 계정 인스턴스와 통합	IAM ID 센터를 통해 신뢰할 수 있는 ID를 전파할 수 있습니다.
아마존 아테나 SQL	예	예	예
아마존 CodeCatalyst	예	예	아니요
아마존 EMR 노트북	예	아니요	아니요
아마존 EC2 기반 아마존 EMR	예	예	예
Amazon EMR Studio	예	예	예
Amazon Kendra	예	아니요	아니요
Amazon Managed Grafana	예	아니요	아니요
Amazon Monitron	예	아니요	아니요
Amazon Nimble Studio	예	아니요	아니요
Amazon Pinpoint	예	아니요	아니요
Amazon Q 비즈니스용	예	예	아니요
Amazon Q 개발자	예	예*	아니요
아마존 QuickSight	예	예	예
Amazon Redshift	예	예	예
Amazon S3 액세스 그랜트	예	예	예
아마존 SageMaker 스튜디오	예	아니요	아니요
아마존 WorkSpaces 웹	예	아니요	아니요
AWS CLI	예	아니요	아니요
AWS Deadline Cloud	예	예	아니요
AWS IoT Events	예	아니요	아니요
AWS IoT Fleet Hub	예	아니요	아니요
AWS IoT SiteWise	예	아니요	아니요
AWS Lake Formation	예	예	예
AWS Supply Chain	예	아니요	아니요
AWS Systems Manager	예	아니요	아니요
AWS Verified Access	예	아니요	아니요

* IAM Identity Center의 계정 인스턴스는 사용자가 AWS 웹 사이트의 Amazon Q Developer 전체 기능에 액세스해야 하는 경우를 제외하고 지원됩니다. 자세한 내용은 Amazon Q 개발자 사용 설명서의 Amazon Q 개발자 설정을 참조하십시오.

액세스 제어

AWS 관리형 애플리케이션에 대한 액세스는 두 가지 방식으로 제어됩니다.

애플리케이션에 대한 초기 입력 - IAM Identity Center가 애플리케이션에 대한 할당을 통해 이를 관리합니다. 기본적으로 AWS 관리되는 애플리케이션에는 할당이 필요합니다.
애플리케이션 리소스에 대한 액세스 - 애플리케이션이 제어하는 독립적인 리소스 할당을 통해 이를 관리합니다.

관리 작업 조정

애플리케이션 관리자인 경우 애플리케이션에 할당이 필요한지 여부를 선택할 수 있습니다. 할당이 필요한 경우 사용자가 AWS 액세스 포털에 로그인하면 직접 또는 그룹 과제를 통해 응용 프로그램에 할당된 사용자만 응용 프로그램 타일을 볼 수 있습니다. 또는 할당이 필요하지 않은 경우 모든 IAM Identity Center 사용자가 애플리케이션을 사용하도록 허용할 수 있습니다. 이 경우 애플리케이션은 리소스에 대한 액세스를 관리하며 AWS 액세스 포털을 방문하는 모든 사용자가 애플리케이션 타일을 볼 수 있습니다.

IAM Identity Center 관리자인 경우 IAM Identity Center 콘솔을 사용하여 관리형 애플리케이션에 대한 할당을 제거할 수 있습니다. AWS 할당을 제거하기 전에 애플리케이션 관리자와 협의하는 것이 좋습니다. 할당이 필요한지 여부를 결정하는 설정을 수정하거나 애플리케이션 할당을 자동화하려는 경우에도 애플리케이션 관리자와 협의해야 합니다.

ID 정보를 공유하도록 IAM Identity Center 구성

IAM Identity Center는 로그인 보안 인증 정보를 제외한 사용자 및 그룹 속성이 포함된 ID 저장소를 제공합니다. 다음 방법 중 하나를 사용하여 IAM Identity Center ID 스토어의 사용자 및 그룹을 최신 상태로 유지할 수 있습니다.

IAM Identity Center ID 스토어를 기본 ID 소스로 사용하세요. 이 방법을 선택하면 IAM Identity Center 콘솔 또는 () 내에서 사용자, 로그인 자격 증명 및 그룹을 관리할 수 있습니다. AWS Command Line Interface AWS CLI자세한 정보는 IAM Identity Center에서 ID 관리을 참조하세요.
다음 ID 소스 중 하나에서 들어오는 사용자 및 그룹을 IAM Identity Center ID 저장소에 프로비저닝(동기화)하도록 설정합니다.
- Active Directory - 자세한 내용은 Microsoft AD 디렉터리에 연결의 내용을 참조하세요.
- 외부 ID 제공업체 - 자세한 내용은 외부 ID 공급자 관리의 내용을 참조하세요.
이 프로비저닝 방법을 선택하면 ID 소스 내에서 사용자와 그룹을 계속 관리할 수 있으며 이러한 변경 사항은 IAM Identity Center ID 스토어에 동기화됩니다.

어떤 ID 소스를 선택하든 IAM Identity Center는 사용자 및 그룹 정보를 관리형 애플리케이션과 공유할 수 있습니다. AWS 이를 통해 ID 소스를 IAM Identity Center에 한 번 연결한 다음 AWS 클라우드의 여러 애플리케이션과 ID 정보를 공유할 수 있습니다. 따라서 각 애플리케이션과 페더레이션 및 ID 프로비저닝을 개별적으로 설정할 필요가 없습니다. 또한 이 공유 기능을 사용하면 사용자에게 서로 다른 AWS 계정의 여러 애플리케이션에 대한 액세스 권한을 쉽게 부여할 수 있습니다.

ID 정보 공유에 대한 고려 사항 AWS 계정

IAM Identity Center는 여러 애플리케이션에서 가장 일반적으로 사용되는 속성을 지원합니다. 이러한 속성에는 이름과 성, 전화번호, 이메일 주소, 주소, 선호 언어 등이 포함됩니다. 이 개인 식별 정보를 사용할 수 있는 애플리케이션과 계정을 신중히 고려하세요.

다음 방법 중 하나로 이 정보에 대한 액세스를 제어할 수 있습니다. AWS Organizations 관리 계정에서만 액세스를 활성화하거나 의 모든 계정에서 액세스를 활성화하도록 선택할 수 AWS Organizations있습니다. 또는 서비스 제어 정책(SCP)을 사용하여 어떤 애플리케이션이 AWS Organizations에 있는 어떤 계정의 정보에 액세스할 수 있는지 제어할 수 있습니다. 예를 들어 AWS Organizations 관리 계정에서만 액세스를 활성화하면 멤버 계정의 애플리케이션은 정보에 액세스할 수 없습니다. 하지만 모든 계정에서 액세스를 활성화하면, SCP를 사용해 허용하려는 애플리케이션을 제외한 모든 애플리케이션의 액세스를 허용하지 않을 수 있습니다.

ID 인식 콘솔 세션 활성화

콘솔용 ID 인식 세션은 사용자 환경을 개인화할 수 있는 추가 사용자 컨텍스트를 제공하여 사용자 AWS 콘솔 세션을 개선합니다. 이 기능은 현재 AWS 앱 및 웹 사이트에서 Amazon Q를 사용하는 Amazon Q Developer Pro 사용자에게 지원됩니다.

기존 액세스 패턴을 변경하거나 콘솔로의 페더레이션을 변경하지 않고도 ID 인식 콘솔 세션을 활성화할 수 있습니다. AWS 사용자가 IAM으로 AWS 콘솔에 로그인하는 경우 (예: IAM 사용자로 로그인하거나 IAM을 통한 페더레이션 액세스를 통해 로그인하는 경우) 이러한 방법을 계속 사용할 수 있습니다. 사용자가 AWS 액세스 포털에 로그인하면 IAM Identity Center 사용자 자격 증명을 계속 사용할 수 있습니다.

주제

필수 조건 및 고려 사항
세션을 활성화하는 방법 identity-aware-console
ID 인식 콘솔 세션의 작동 방식

필수 조건 및 고려 사항

ID 인식 콘솔 세션을 활성화하기 전에 다음 사전 요구 사항 및 고려 사항을 검토하십시오.

사용자가 Amazon Q Developer Pro 구독을 통해 AWS 앱 및 웹 사이트에서 Amazon Q에 액세스하는 경우 ID 인식 콘솔 세션을 활성화해야 합니다.

참고
Amazon Q Developer 사용자는 자격 증명 인식 세션 없이 Amazon Q에 액세스할 수 있지만 Amazon Q Developer Pro 구독에는 액세스할 수 없습니다.
ID 인식 콘솔 세션에는 IAM ID 센터의 조직 인스턴스가 필요합니다.
AWS 리전옵트인에서 IAM ID 센터를 활성화하면 Amazon Q와의 통합이 지원되지 않습니다.
ID 인식 콘솔 세션을 활성화한 후에는 이 기능을 비활성화할 수 없습니다.
ID 인식 콘솔 세션을 활성화하려면 다음 권한이 있어야 합니다.
- sso:CreateApplication
- sso:GetSharedSsoConfiguration
- sso:ListApplications
- sso:PutApplicationAssignmentConfiguration
- sso:PutApplicationAuthenticationMethod
- sso:PutApplicationGrant
- sso:PutApplicationAccessScope
- signin:CreateTrustedIdentityPropagationApplicationForConsole
- signin:ListTrustedIdentityPropagationApplicationForConsole
사용자에게 ID 인식 콘솔 세션을 사용할 수 있게 하려면 ID 기반 정책에서 sts:setContext 권한을 부여해야 합니다. 자세한 내용은 사용자에게 ID 인식 콘솔 세션을 사용할 수 있는 권한 부여를 참조하십시오.

세션을 활성화하는 방법 identity-aware-console

Amazon Q 콘솔 또는 IAM ID 센터 콘솔에서 ID 인식 콘솔 세션을 활성화할 수 있습니다.

Amazon Q 콘솔에서 ID 인식 콘솔 세션 활성화

ID 인식 콘솔 세션을 활성화하려면 먼저 ID 소스가 연결된 IAM Identity Center의 조직 인스턴스가 있어야 합니다. IAM ID 센터를 이미 구성한 경우 3단계로 건너뛰십시오.

IAM Identity Center 콘솔을 엽니다. 활성화를 선택하고 IAM ID 센터의 조직 인스턴스를 생성합니다. 자세한 내용은 활성화 AWS IAM Identity Center을 참조하세요.
ID 소스를 IAM ID 센터에 연결하고 사용자를 IAM ID 센터에 프로비저닝하십시오. 기존 ID 소스를 IAM Identity Center에 연결하거나 아직 다른 ID 소스를 사용하고 있지 않은 경우 ID 센터 디렉터리를 사용할 수 있습니다. 자세한 정보는 시작하기 튜토리얼을 참조하세요.
IAM ID 센터 설정을 완료한 후 Amazon Q 콘솔을 열고 Amazon Q 개발자 사용 설명서의 구독에 나와 있는 단계를 따르십시오. ID 인식 콘솔 세션을 활성화해야 합니다.

참고
ID 인식 콘솔 세션을 활성화할 충분한 권한이 없는 경우 IAM Identity Center 관리자에게 IAM Identity Center 콘솔에서 이 작업을 수행하도록 요청해야 할 수 있습니다. 자세한 내용은 다음 절차를 참조하세요.

IAM Identity Center 콘솔에서 ID 인식 콘솔 세션을 활성화하십시오.

IAM Identity Center 관리자인 경우 다른 관리자가 IAM Identity Center 콘솔에서 ID 인식 콘솔 세션을 활성화하도록 요청받을 수 있습니다.

IAM Identity Center 콘솔을 엽니다.
탐색 창에서 설정을 선택합니다.
ID 인식 세션 활성화에서 활성화를 선택합니다.
두 번째 메시지에서 [활성화] 를 선택합니다.
ID 인식 콘솔 세션 활성화를 완료하면 설정 페이지 상단에 확인 메시지가 나타납니다.
세부 정보 섹션에서 ID 인식 세션의 상태는 활성화됨으로 표시됩니다.

ID 인식 콘솔 세션의 작동 방식

IAM ID 센터는 활성 IAM ID 센터 사용자 ID와 IAM ID 센터 세션 ID를 포함하도록 사용자의 현재 콘솔 세션을 개선합니다.

ID 인식 콘솔 세션에는 다음 세 가지 값이 포함됩니다.

ID 저장소 사용자 ID (아이덴티티 스토어: UserId) - 이 값은 IAM Identity Center에 연결된 ID 소스에서 사용자를 고유하게 식별하는 데 사용됩니다.
ID 저장소 디렉터리 ARN (아이덴티티 스토어: IdentityStoreArn) - 이 값은 IAM Identity Center에 연결되어 있고 속성을 조회할 수 있는 ID 저장소의 ARN입니다. identitystore:UserId
IAM ID 센터 세션 ID - 이 값은 사용자의 IAM ID 센터 세션이 여전히 유효한지 여부를 나타냅니다.

값은 동일하지만 사용자가 로그인하는 방식에 따라 다른 방식으로 얻어지며 프로세스의 다른 시점에서 추가됩니다.

IAM ID 센터 (AWS 액세스 포털): 이 경우 사용자의 ID 저장소 사용자 ID 및 ARN 값은 활성 IAM ID 센터 세션에 이미 제공되어 있습니다. IAM ID 센터는 세션 ID만 추가하여 현재 세션을 개선합니다.
기타 로그인 방법: 사용자가 IAM 사용자, IAM 역할 또는 IAM의 연동 사용자로 로그인하는 경우 이러한 값은 제공되지 않습니다. AWS IAM Identity Center는 ID 저장소 사용자 ID, ID 저장소 디렉터리 ARN 및 세션 ID를 추가하여 현재 세션을 개선합니다.

관리형 애플리케이션 사용 제한 AWS

IAM Identity Center를 처음으로 AWS 활성화하면 의 모든 계정에서 AWS 관리형 애플리케이션을 자동으로 사용할 수 있습니다. AWS Organizations애플리케이션을 제한하려면 SCP를 구현해야 합니다. SCP를 사용하여 IAM Identity Center 사용자 및 그룹 정보에 대한 액세스를 차단하고 지정된 계정을 제외하고는 애플리케이션이 시작되지 않도록 할 수 있습니다.