엔드포인트 정책을 사용하여 VPC 엔드포인트에 대한 액세스 제어

엔드포인트 정책은 VPC 엔드포인트에 연결하여 엔드포인트를 사용하여 액세스할 수 있는 보안 AWS 주체를 제어하는 리소스 기반 정책입니다. AWS 서비스

엔드포인트 정책은 ID 기반 정책이나 리소스 기반 정책을 재정의하거나 대체하지 않습니다. 예를 들어 인터페이스 엔드포인트를 사용하여 Amazon S3에 연결하는 경우, Amazon S3 버킷 정책을 사용하여 특정 엔드포인트나 특정 VPC의 버킷에 대한 액세스를 제어할 수도 있습니다.

고려 사항

• 엔드포인트 정책은 IAM 정책 언어를 사용하는 JSON 정책 문서입니다. 보안 주체 요소가 포함되어 있어야 합니다. 엔드포인트 정책의 크기는 공백을 포함하여 20,480자를 초과할 수 없습니다.

• 에 대한 인터페이스 또는 게이트웨이 엔드포인트를 생성할 때 엔드포인트에 단일 엔드포인트 정책을 연결할 수 있습니다. AWS 서비스언제든지 엔드포인트 정책을 업데이트할 수 있습니다. 엔드포인트 정책을 연결하지 않으면 기본 엔드포인트 정책이 연결됩니다.

• 모든 사람이 엔드포인트 정책을 AWS 서비스 지원하는 것은 아닙니다. 에서 엔드포인트 정책을 AWS 서비스 지원하지 않는 경우 서비스의 모든 엔드포인트에 대한 전체 액세스를 허용합니다. 자세한 설명은 엔드포인트 정책 지원 보기 섹션을 참조하세요.

• AWS 서비스 이외의 엔드포인트 서비스를 위한 VPC 엔드포인트를 생성하면 엔드포인트에 대한 전체 액세스 권한이 허용됩니다.

기본 엔드포인트 정책

기본 엔드포인트 정책을 통해 엔드포인트에 대한 전체 액세스 권한이 부여됩니다.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*"
        }
    ]
}

인터페이스 엔드포인트 정책

에 대한 엔드포인트 정책의 예는 AWS 서비스을 참조하십시오AWS 서비스 다음과 통합되는 AWS PrivateLink. 표의 첫 번째 열에는 각 AWS PrivateLink 설명서에 대한 링크가 AWS 서비스있습니다. 에서 엔드포인트 정책을 AWS 서비스 지원하는 경우 해당 설명서에는 엔드포인트 정책 예제가 포함됩니다.

게이트웨이 엔드포인트의 보안 주체

게이트웨이 엔드포인트에서는 aws:PrincipalArn 조건 키를 사용하여 보안 주체에 액세스 권한을 부여해야 합니다.

다음 형식 중 하나로 보안 주체를 지정하면 계정의 모든 사용자 및 역할이 아닌 AWS 계정 루트 사용자 에게만 액세스 권한이 부여됩니다.

"AWS": "account_id"

"AWS": "arn:aws:iam::account_id:root"

보안 주체에 Amazon 리소스 이름(ARN)을 지정하면 정책을 저장할 때 해당 ARN이 고유 보안 주체 ID로 변환됩니다.

게이트웨이 엔드포인트에 대한 엔드포인트 정책의 예는 다음을 참조하세요.

• Amazon S3에 대한 엔드포인트

• DynamoDB에 대한 엔드포인트

VPC 엔드포인트 정책 업데이트

다음 절차에 따라  AWS 서비스에 대한 엔드포인트 정책을 업데이트합니다. 엔드포인트 정책을 업데이트할 경우 변경 사항이 적용되기까지 몇 분 정도 걸릴 수 있습니다.

콘솔을 사용하여 엔드포인트 정책을 업데이트하는 방법

1. https://console.aws.amazon.com/vpc/에서 Amazon VPC 콘솔을 엽니다.

2. 탐색 창에서 엔드포인트를 선택합니다.

3. VPC 엔드포인트를 선택합니다.

4. 작업(Actions), 정책 관리(Manage policy)를 선택합니다.

5. 모든 액세스(Full Access)를 선택하여 서비스에 대한 전체 액세스를 허용하거나 사용자 지정(Custom)을 선택하고 사용자 지정 정책을 연결합니다.

6. 저장(Save)을 선택합니다.

명령줄 사용하여 엔드포인트 정책을 업데이트하는 방법

• modify-vpc-endpoint (AWS CLI)

• Edit-EC2 VpcEndpoint (윈도우용 도구) PowerShell