Step Functions에서 스테이트 머신의 IAM 역할 생성 - AWS Step Functions
Step Functions의 역할 만들기교차 서비스 혼동된 대리자 문제 예방인라인 정책 연결

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Step Functions에서 스테이트 머신의 IAM 역할 생성

AWS Step Functions 코드 실행 및 액세스 가능 AWS 리소스 (예: 호출) AWS Lambda 함수). 보안을 유지하려면 IAM 역할을 사용하여 Step Functions에 해당 리소스에 대한 액세스 권한을 부여해야 합니다.

이 안내서의 내용을 통해 다음과 같은 작업에 유효한 자동 생성된 IAM 역할을 활용할 수 있습니다. Step Functions 학습을 위한 튜토리얼 AWS 스테이트 머신을 생성하는 지역. 하지만 스테이트 머신의 IAM 역할을 직접 만들 수는 있습니다.

상태 머신이 사용할 IAM 정책을 만들 때는 상태 머신이 위임하길 원하는 권한을 정책에 포함해야 합니다. 기존 버전을 사용할 수 있습니다. AWS 관리형 정책을 예로 들거나 특정 요구 사항에 맞는 사용자 지정 정책을 처음부터 만들 수 있습니다. 자세한 내용은 IAM사용 설명서에서 IAM 정책 생성을 참조하십시오.

상태 머신의 IAM 역할을 직접 만들려면 이 섹션의 단계를 따르세요.

이 예시에서는 Lambda 함수를 호출할 권한이 있는 IAM 역할을 생성합니다.

Step Functions의 역할 만들기

  1. IAM콘솔에 로그인한 다음 역할, 역할 생성을 선택합니다.

  2. 신뢰할 수 있는 엔티티 선택 페이지의 아래 AWS 서비스를 선택하고 목록에서 Step Functions를 선택한 후 다음: 권한을 선택합니다.

  3. 연결된 권한 정책 페이지에서 다음: 검토를 선택합니다.

  4. 검토 페이지에서 역할 이름에 StepFunctionsLambdaRole을 입력한 다음 역할 생성을 선택합니다.

    IAM역할은 역할 목록에 표시됩니다.

IAM권한 및 정책에 대한 자세한 내용은 사용 IAM설명서의 액세스 관리를 참조하십시오.

교차 서비스 혼동된 대리자 문제 예방

혼동된 대리자 문제는 작업을 수행할 권한이 없는 엔터티가 권한이 더 많은 엔터티에게 작업을 수행하도록 강요할 수 있는 보안 문제입니다. In AWS서비스 간 사칭으로 인해 대리인 문제가 발생할 수 있습니다. 교차 서비스 가장은 한 서비스(호출하는 서비스)가 다른 서비스(호출되는 서비스)를 직접적으로 호출할 때 발생할 수 있습니다. 이러한 유형의 가장은 크로스 계정과 교차 서비스에서 발생할 수 있습니다. 직접적으로 호출하는 서비스는 다른 고객의 리소스에 대해 액세스 권한이 없는 방식으로 작동하게 권한을 사용하도록 조작될 수 있습니다.

대리인이 혼동하는 것을 방지하기 위해, AWS 계정의 리소스에 대한 액세스 권한이 부여된 서비스 주체를 통해 모든 서비스의 데이터를 보호하는 데 도움이 되는 도구를 제공합니다. 이 섹션에서는 다음과 같은 특정 서비스 간 혼동 사고 예방에 대해 중점적으로 다룹니다. AWS Step Functions하지만 사용 IAM설명서의 혼동 대리인 문제 섹션에서 이 주제에 대해 자세히 알아볼 수 있습니다.

리소스 정책에서 aws:SourceArn및 aws:SourceAccount글로벌 조건 컨텍스트 키를 사용하여 다음과 같은 권한을 제한하는 것이 좋습니다.Step Functions 리소스에 액세스할 수 있는 다른 서비스를 제공합니다. 하나의 리소스만 교차 서비스 액세스와 연결되도록 허용하려는 경우 aws:SourceArn를 사용하십시오. 해당 계정의 모든 리소스가 교차 서비스 사용과 연결되도록 허용하려는 경우 aws:SourceAccount을(를) 사용합니다.

혼란스러운 대리자 문제를 방지하는 가장 효과적인 방법은 전체 ARN 리소스가 포함된 aws:SourceArn 글로벌 조건 컨텍스트 키를 사용하는 것입니다. 전체 ARN 리소스를 모르거나 여러 리소스를 지정하는 경우에는 aws:SourceArn 글로벌 컨텍스트 조건 키를 와일드카드 문자 (*) 와 함께 사용하여 의 알 수 없는 부분을 지정하십시오. ARN 예: arn:aws:states:*:111122223333:*.

다음은 혼동된 대리자 문제를 예방하기 위해 Step Functions에서 aws:SourceArn 또는 aws:SourceAccount를 사용하는 방법을 보여주는 신뢰할 수 있는 정책의 예제입니다.

{
  "Version":"2012-10-17",
  "Statement":[
     {
        "Effect":"Allow",
        "Principal":{
           "Service":[
              "states.amazonaws.com"
           ]
        },
        "Action":"sts:AssumeRole",
        "Condition":{
           "ArnLike":{
              "aws:SourceArn":"arn:aws:states:us-east-1:111122223333:stateMachine:*"
           },
           "StringEquals":{
              "aws:SourceAccount":"111122223333"
           }
        }
     }
  ]
}

인라인 정책 연결

Step Functions는 Task 상태에서 직접 다른 서비스를 제어할 수 있습니다. Step Functions가 제어해야 하는 서비스의 API 작업에 액세스할 수 있도록 인라인 정책을 연결하십시오.

  1. IAM콘솔을 열고 역할을 선택한 다음 Step Functions 역할을 검색하고 해당 역할을 선택합니다.

  2. 인라인 정책 추가를 선택합니다.

  3. 시각적 편집기 또는 JSON탭을 사용하여 역할에 대한 정책을 만들 수 있습니다.

방법에 대한 자세한 내용은 AWS Step Functions 다른 사람을 제어할 수 있습니다. AWS 서비스, 참조Step Functions와 서비스 통합.

참고

Step Functions 콘솔에서 생성한 IAM 정책의 예는 을 참조하십시오Step Functions가 통합 서비스를 위한 IAM 정책을 생성하는 방법.