AWS Identity and Access Management

AWS 계정을 생성하면 AWS 계정에 대한 루트 사용자 계정이 자동으로 생성됩니다. 이 사용자 계정은 AWS 계정에 있는 모든 AWS 서비스와 리소스에 대한 완전한 액세스 권한을 가지고 있습니다. 일상적인 작업에 이 계정을 사용하는 대신, 처음에 추가 역할 및 사용자 계정을 만들 때와 이 계정이 필요한 관리 활동에만 이 계정을 사용해야 합니다. AWS에서는 처음부터 최소 권한의 원칙을 적용하는 것이 좋습니다. 이렇게 하려면 작업마다 다른 사용자 계정과 역할을 정의하고 각 작업을 완료하는 데 필요한 최소 권한 집합을 지정합니다. 이 접근 방식은 GDPR에 도입된 핵심 개념인 설계를 통한 데이터 보호를 조정하기 위한 메커니즘입니다. AWS Identity and Access Management(IAM)는 AWS 리소스에 대한 액세스를 안전하게 제어하기 위해 사용할 수 있는 웹 서비스입니다.

사용자와 역할은 특정 권한이 있는 IAM 자격 증명을 정의합니다. 권한 있는 사용자는 IAM 역할을 수임하여 특정 작업을 수행할 수 있습니다. 역할을 수임하면 임시 자격 증명이 생성됩니다. 예를 들어, IAM 역할을 사용하여 Amazon S3 버킷 및 Amazon Relational Database Service(Amazon RDS) 또는 Amazon DynamoDB 데이터베이스와 같은 다른 AWS 리소스에 액세스하는 데 필요한 임시 자격 증명과 함께 Amazon Elastic Compute Cloud(Amazon EC2)에서 실행되는 애플리케이션을 안전하게 제공할 수 있습니다. 마찬가지로 실행 역할은 로그 스트리밍을 위한 Amazon CloudWatch Logs 또는 Amazon Simple Queue Service(Amazon SQS) 대기열의 메시지 읽기와 같은 다른 AWS 서비스 및 리소스에 액세스하는 데 필요한 권한과 함께 AWS Lambda 함수를 제공합니다. 역할을 생성할 때 정책을 역할에 추가하여 권한 부여를 정의합니다.

고객이 리소스 정책을 모니터링하고 의도하지 않은 퍼블릭 또는 교차 계정 액세스 권한이 있는 리소스를 식별할 수 있도록 IAM Access Analyzer를 활성화하여 AWS 계정 외부에서 액세스할 수 있는 리소스를 식별하는 포괄적인 검색 결과를 생성할 수 있습니다. IAM Access Analyzer는 정책에서 허용하는 가능한 액세스 경로를 확인하기 위해 산술 논리 및 추론을 사용하여 리소스 정책을 평가합니다. IAM Access Analyzer는 새 정책 또는 업데이트된 정책을 지속적으로 모니터링하며, IAM 역할에 대한 정책뿐 아니라 Amazon S3 버킷, AWS Key Management Service(AWS KMS) 키, Amazon SQS 대기열, Lambda 함수와 같은 서비스 리소스에 대한 정책을 사용하여 부여된 권한을 분석합니다.

Access Analyzer for S3은 인터넷에 있는 모든 사용자 또는 조직 외부의 AWS 계정을 포함한 다른 AWS 계정에 대한 액세스를 허용하도록 버킷이 구성된 경우 사용자에게 알립니다. Amazon S3용 Access Analyzer에서 위험 버킷을 검토할 때 클릭 한 번으로 버킷에 대한 모든 퍼블릭 액세스를 차단할 수 있습니다. AWS에서는 특정 사용 사례를 지원하기 위해 퍼블릭 액세스가 필요한 경우를 제외하고 버킷에 대한 모든 액세스를 차단하는 것이 좋습니다. 모든 퍼블릭 액세스를 차단하기 전에 애플리케이션이 퍼블릭 액세스 없이 계속 올바르게 작동하는지 확인하세요. 자세한 내용은 Amazon S3을 사용하여 퍼블릭 액세스 차단을 참조하세요.

또한 IAM은 마지막으로 액세스한 정보를 제공하여 사용되지 않는 권한을 식별할 수 있도록 지원하므로 연결된 보안 주체에서 해당 권한을 제거할 수 있습니다. 마지막으로 액세스한 정보를 사용하면 정책을 구체화하고 필요한 서비스와 작업에만 액세스를 허용할 수 있습니다. 그러면 최소 권한 모범 사례를 더 효과적으로 준수하고 적용할 수 있습니다. IAM에 또는 전체 AWS Organizations 환경에 걸쳐 존재하는 엔터티 또는 정책에 대해 마지막으로 액세스한 정보를 볼 수 있습니다.