SEC02-BP04 중앙 집중식 자격 증명 공급자 신뢰 - AWS Well-Architected 프레임워크
구현 지침 리소스

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

SEC02-BP04 중앙 집중식 자격 증명 공급자 신뢰

직원 ID(직원 및 계약업체)의 경우 중앙 위치에서 ID를 관리할 수 있는 ID 제공업체를 이용하세요. 이렇게 하면 단일 위치에서 액세스를 생성, 관리 및 취소하므로 여러 애플리케이션과 서비스에 대한 액세스를 더 쉽게 관리할 수 있습니다.

원하는 결과: 인력 사용자, 인증 정책(예: 다중 인증 필요(MFA)), 시스템 및 애플리케이션에 대한 권한 부여(예: 사용자의 그룹 멤버십 또는 속성을 기반으로 액세스 할당)를 중앙에서 관리하는 중앙 집중식 자격 증명 공급자가 있습니다. 직원은 중앙 ID 제공업체에 로그인하고 내부 및 외부 애플리케이션에 페더레이션(sSingle Sign On)하므로 사용자가 여러 자격 증명을 기억할 필요가 없습니다. ID 제공업체는 인사(HR) 시스템과 통합되므로 직원 변경 사항이 ID 제공업체와 자동으로 동기화됩니다. 예를 들어 누군가 조직을 떠나면 페더레이션 애플리케이션 및 시스템( 포함)에 대한 액세스를 자동으로 취소할 수 있습니다 AWS. ID 제공업체에서 세부 감사 로깅을 활성화했으며 이러한 로그를 모니터링하여 비정상적인 사용자 동작이 있는지 확인하고 있습니다.

일반적인 안티 패턴:

  • 페더레이션 및 Single Sign-On은 사용하지 않습니다. 직원이 여러 애플리케이션과 시스템에서 별도의 사용자 계정과 자격 증명을 생성합니다.

  • ID 제공업체를 HR 시스템에 통합하는 등 직원의 ID 수명 주기를 자동화하지 않습니다. 사용자가 조직을 떠나거나 역할을 변경하면 수동 프로세스에 따라 여러 애플리케이션 및 시스템에서 기록을 삭제하거나 업데이트합니다.

이 모범 사례 확립의 이점: 중앙 집중식 ID 제공업체를 사용하면 직원 ID 및 정책을 한 곳에서 관리하고, 사용자와 그룹에 애플리케이션 액세스 권한을 할당하며, 사용자 로그인 활동을 모니터링할 수 있습니다. 인사(HR) 시스템과 통합하면 사용자가 역할을 변경하면 이러한 변경 내용이 ID 제공업체와 동기화되고 할당된 애플리케이션 및 권한이 자동으로 업데이트됩니다. 사용자가 조직을 떠나면 ID 제공업체에서 해당 ID가 자동으로 비활성화되어 페더레이션된 애플리케이션 및 시스템에 대한 액세스 권한이 취소됩니다.

이 모범 사례가 확립되지 않을 경우 노출되는 위험 수준: 높음

구현 가이드

AWS에 액세스하는 직원을 위한 지침

조직의 직원 및 계약자와 같은 인력 사용자는 AWS Management Console 또는 AWS Command Line Interface (AWS CLI)를 AWS 사용하여 직무를 수행해야 할 수 있습니다. 중앙 집중식 자격 증명 공급자에서 로 페더레이션하여 인력 사용자에게 AWS 액세스 권한을 부여할 수 있습니다 AWS . 바로 페더레이션을 각 로 직접 연결 AWS 계정 하거나 AWS 조직의 여러 계정으로 페더레이션합니다.

앞의 지침을 따른 후에는 에서 워크로드를 관리할 때 작업 인력 사용자가 더 이상 일반 작업에 IAM 사용자와 그룹을 사용할 필요가 없습니다 AWS. 대신 사용자와 그룹은 외부에서 관리되며 AWS 사용자는 리소스에 페더레이션 자격 증명 AWS 으로 액세스할 수 있습니다. 페더레이션 ID는 중앙 ID 제공업체가 정의한 그룹을 사용합니다. 에서 더 이상 필요하지 않은 IAM 그룹, IAM 사용자 및 장기 사용자 자격 증명(암호 및 액세스 키)을 식별하고 제거해야 합니다 AWS 계정. 자격 증명 보고서 를 사용하여 미사용 자격 증명을 찾고, 해당 IAM 사용자를 삭제하고, IAM 그룹을 삭제할 수 있습니다. IAM 새 IAM 사용자 및 그룹의 생성을 방지하는 데 도움이 되는 서비스 제어 정책(SCP)을 조직에 적용하여 에 대한 액세스 AWS 가 페더레이션 ID를 통해 이루어지도록 할 수 있습니다.

애플리케이션 사용자를 위한 지침

Amazon Cognito를 중앙 집중식 ID 제공업체로 사용하여 모바일 앱과 같은 애플리케이션 사용자의 자격 증명을 관리할 수 있습니다. Amazon Cognito는 웹 및 모바일 앱에 대한 인증, 권한 부여 및 사용자 관리를 지원합니다. Amazon Cognito는 수백만 명의 사용자로 확장 가능한 자격 증명 스토어를 제공하고, 소셜 및 엔터프라이즈 ID 페더레이션을 지원하며, 고급 보안 기능을 제공하여 사용자와 비즈니스를 보호할 수 있도록 지원합니다. 사용자 지정 웹 또는 모바일 애플리케이션을 Amazon Cognito에 통합하여 몇 분 만에 애플리케이션에 사용자 인증 및 액세스 제어를 추가할 수 있습니다. SAML 및 Open ID Connect(OIDC)와 같은 개방형 자격 증명 표준을 기반으로 구축된 Amazon Cognito는 다양한 규정 준수를 지원하고 프런트엔드 및 백엔드 개발 리소스와 통합됩니다.

구현 단계

직원이 AWS에 액세스하는 단계

  • 다음 접근 방식 중 하나를 AWS 사용하여 인력 사용자를 중앙 집중식 자격 증명 공급자로 통합합니다.

    • IAM Identity Center를 사용하여 자격 증명 공급자와 페더레이션하여 AWS 조직에서 Single Sign-On을 여러 개 활성화 AWS 계정 할 수 있습니다.

    • IAM 를 사용하여 자격 증명 공급자를 각 에 직접 연결하여 페더레이션된 세분화된 액세스를 AWS 계정활성화합니다.

  • 페더레이션 ID로 대체되는 IAM 사용자 및 그룹을 식별하고 제거합니다.

애플리케이션 사용자를 위한 단계

  • Amazon Cognito를 애플리케이션에 대한 중앙 집중식 ID 제공업체로 사용합니다.

  • OpenID Connect 및 를 사용하여 사용자 지정 애플리케이션을 Amazon Cognito와 통합합니다OAuth. 인증용 Amazon Cognito와 같은 다양한 AWS 서비스와 통합하기 위한 간단한 인터페이스를 제공하는 Amplify 라이브러리를 사용하여 사용자 지정 애플리케이션을 개발할 수 있습니다.

리소스

관련 Well-Architected 모범 사례:

관련 문서:

관련 비디오:

관련 예제:

관련 도구: