AWS ID 및 액세스 관리: 기본 사항 및 모범 사례

IAM은 AWS 서비스를 기반으로 구축하는 방법을 배우기 위한 기본적인 클라우드 빌더 기술입니다.

### AWS ID 및 액세스 관리(IAM)의 기본 역할
IAM은 모든 AWS 서비스에서 인증 및 권한 부여에 사용되므로 AWS 구축 방법을 배우기 위한 가장 기본적인 클라우드 빌더 기술로 간주됩니다. 2011년에는 여러 사용자가 하나의 AWS 계정 내에서 활동해야 하는 필요성이 증가함에 따라 각 IAM 사용자에게 서로 다른 정책을 제공하는 혁신을 제공하기 위해 IAM이 도입되었습니다. 2012년에는 IAM 역할이 도입되면서 IAM이 더욱 발전하여 AWS 계정 내에서 ID 시스템을 확장했습니다.

### 자격증명 관리에서 IAM의 역할
IAM 역할은 EC2 인스턴스와 같은 엔티티에 단기 자격 증명을 제공하여 장기 자격 증명을 관리할 필요성을 줄이고 보안을 강화하기 위해 도입되었습니다. AWS STS(보안 토큰 서비스)는 AWS 서비스, IAM 주체 및 사용자 ID에 대해 설정된 권한을 기반으로 IAM 역할에 대한 이러한 단기 자격 증명을 생성하는 역할을 담당합니다. IAM 역할을 만들 때 첫 번째 단계는 EC2 또는 Lambda와 같은 AWS 서비스 등 신뢰할 수 있는 엔티티 유형을 정의하고 해당 엔티티가 역할을 맡을 수 있는 권한을 지정하는 것입니다.

### AWS의 IAM 정책, 역할 및 ID 센터 이해하기
IAM 정책은 AWS 내에서뿐만 아니라 온프레미스 환경에서도 Lambda와 같은 AWS 서비스에 액세스하고 자격 증명을 제공할 수 있는 권한을 부여하는 데 사용됩니다. 클라우드 인프라의 복잡성이 증가함에 따라 IAM 역할은 여러 AWS 계정에서 액세스 및 권한을 관리하는 데 중요한 역할을 합니다. IAM Identity Center는 기업 ID 공급자와 AWS 간의 가교 역할을 하며, ID를 동기화하고 사용자와 그룹을 다양한 역할에 매핑할 수 있도록 합니다. 또한, 기업 디렉터리의 속성 및 그룹 멤버십을 사용하여 AWS 계정에서 역할을 맡은 사용자에 대한 태그를 추가할 수 있는 ABAC(속성 기반 액세스 제어)를 제공하며, 액세스 정의를 위한 권한 세트의 개념도 제공합니다.

### IAM ID 센터에서 권한 집합 구성하기
IAM Identity Center를 사용하면 네트워크 관리자와 같은 사전 정의된 권한 집합 또는 사용자 지정 권한 집합을 포함하여 권한 집합을 구성할 수 있습니다. 권한 세트에 할당된 사용자를 위해 관련 AWS 계정에 IAM 역할을 생성합니다. IAM 역할은 AWS 컴퓨팅 환경, IAM 역할 어디서나 또는 콘솔 또는 명령줄 인터페이스를 통해 AWS 환경을 통해 대화형으로 액세스하는 등 다양한 수단을 통해 액세스할 수 있습니다. 이러한 IAM 역할에 대한 자격 증명은 EC2 및 Lambda와 같은 대부분의 경우 자동으로 처리되며, CLI는 S3와 같은 AWS 서비스에 요청할 때 인증 프로세스에 대한 자세한 인사이트를 제공합니다.

### S3 GetObject 요청 분석하기
S3 GetObject 요청은 버킷 이름과 오브젝트의 경로라는 두 개의 매개변수로 구성됩니다. 요청은 인증 헤더에 있는 액세스 키 ID, 서명 및 보안 토큰을 사용하여 인증을 위해 미국-East-1 지역의 S3 서비스로 전송됩니다.
요청의 인증은 S3와 동일한 지역에 있는 IAM 데이터 플레인에서 처리되며, 이 플레인은 서명의 유효성을 검사하고 요청자의 신원을 확인하여 S3에 IAM 주체에 대한 정보를 제공합니다.

### IAM 원칙, 정책 및 권한 부여에 대한 이해
IAM 인증은 주체에 대한 정보와 해당 권한 정책을 제공합니다. IAM의 권한 부여 프로세스에는 프로퍼티 백을 구축하고, 정책 문장을 일치시키고, 일치하는 내용을 기반으로 결정을 내리는 과정이 포함됩니다. IAM 권한은 일반적으로 워크로드(사람이 아닌 것)에 대한 정책과 사람에 대한 권한의 두 가지 범주로 나뉘며, 전자는 더 정확하고 후자는 더 복잡합니다.

### IAM 정책 작성 및 일치시키기: 단계별 가이드
IAM 정책은 직업을 가진 사람에 대한 일반 정책과 알려진 시스템에 대한 특정 정책의 두 가지 방식으로 작성할 수 있습니다. 이 프로세스에는 요청 속성을 각 문과 일치시키는 작업이 포함되며, 성공적인 일치를 위해 적어도 하나의 "허용" 문과 "거부" 문이 필요합니다.
S3:GetObject와 같은 애플리케이션의 동작에 대한 IAM 정책은 AWS 설명서의 "AWS 서비스의 동작, 리소스 및 조건 키" 페이지에서 동작 목록과 해당 API 메서드를 사용하여 확인할 수 있습니다.

### S3 액세스에 대한 정책 설명서 작성하기
이 자습서에서는 리소스 및 조건 지정을 포함하여 S3 GetObject 및 ListBucket 작업에 대한 정책 문을 구성하는 방법을 설명합니다. IAM 권한 이름과 ListBucket의 API 메서드 이름의 차이점이 강조되어 있습니다. 접두사 조건이 충족되지 않을 때 액세스 거부 오류의 원인으로 IAM의 문자 그대로의 현학적 특성을 강조합니다.

### IAM 정책: 문자열 일치 및 리소스 기반 정책
접두사 경로를 사용하는 예에서 볼 수 있듯이 IAM은 요청에 대해 리터럴 및 현학적 문자열 일치를 사용합니다. 여러 AWS 계정을 다룰 때 리소스 소유자 계정의 권한은 액세스를 허용하기 위해 리소스 기반 정책을 발급해야 하며, 여기에는 'who' 요소를 지정해야 합니다. 리소스 기반 정책의 평가는 모든 문이 함께 평가되는 동일한 계정 권한에 포함되므로 추가 허용 문 없이도 직접 권한을 할당할 수 있습니다.

### IAM 역할 정책 및 AWS 서비스 액세스
IAM 역할에 대한 리소스 기반 정책은 역할 신뢰 정책 또는 역할 가정 정책 문서로 알려져 있으며, 주요 서비스에 의한 특정 작업을 허용합니다. S3 이벤트 알림은 조건을 사용하여 액세스를 제어할 수 있는 기능과 함께 Lambda 함수 호출 또는 SQS에 메시지 전송과 같은 작업을 트리거할 수 있습니다. IAM을 마스터한 후에는 다음 단계로 AWS 조직, 서비스 제어 정책, VPC 엔드포인트 및 데이터 정책에 대해 학습하고 서버리스 아키텍처에서 IAM 기술을 연습할 것을 권장합니다.

### AWS ID 및 액세스 관리(IAM): 클라우드 빌더의 기본 기술
* 🔒 IAM은 AWS에서 가장 기본적인 클라우드 빌더 기술로, 모든 AWS 서비스의 인증 및 권한 부여를 이해하는 데 필수적입니다.
* 📜 IAM은 2011년에 다양한 역할을 가진 여러 사용자가 AWS 계정 내에서 활동해야 할 필요성에 따라 도입되었으며, 이에 따라 IAM 사용자 및 IAM 역할이 개발되었습니다.
* 🌐 단기 자격 증명을 사용하는 IAM 역할은 AWS 내부 및 외부의 AWS 컴퓨팅 환경과 AWS 환경에 대화형으로 액세스하는 데 사용됩니다.
* 🔑 AWS 보안 토큰 서비스(STS)는 원래 ID와 해당 권한을 기반으로 IAM 역할에 대한 단기 자격 증명을 제공하는 역할을 담당합니다.
* 🖥️ IAM 역할은 기업 ID 공급자와 통합되어 속성 기반 액세스 제어를 허용하는 IAM Identity Center를 통해 구성 및 관리됩니다.
* 🔐 IAM 역할에 대한 인증은 액세스 키 ID, 서명 및 보안 토큰이 포함된 권한 부여 헤더를 사용하여 이루어지며, IAM 데이터 플레인은 서명을 확인합니다.

### IAM 정책: 이해, 작성 및 구현하기
* 🔒 IAM 정책은 높은 요청 속도를 처리하는 지역화된 데이터 플레인 서비스에 중점을 두고 AWS 서비스에서 요청을 인증하고 권한을 부여하는 데 사용됩니다.
* 📝 IAM 정책은 요청 속성과 일치하는 문이 포함된 정책 문서로 구성되며, 권한 부여는 문자열 매칭을 기반으로 하며 하나 이상의 허용 및 거부 문이 필요합니다.
* 🔗 리소스 기반 정책은 발급 권한과 리소스 소유자 권한의 두 가지 별도 권한이 필요한 서로 다른 AWS 계정 간 액세스를 허용하는 데 사용됩니다.
* ⚙️ IAM 정책 작성에는 작업, 리소스 및 조건을 정의하는 작업이 포함되며, AWS 설명서에서 정책 문 구성에 대한 지침을 제공합니다.
* 🌐 IAM 정책을 이해한 후 살펴볼 추가 개념으로는 AWS 조직, 서비스 제어 정책, VPC 엔드포인트, 데이터 권한, 서버리스 아키텍처 구축을 통한 실제 구현 등이 있습니다.

Corely

Google 계정으로 시작하기

AWS re:Inforce 2023 - A first-principles approach: AWS Identity and Access Management (IAM) (IAM201)

AWS re:Inforce 2023 - A first-principles approach: AWS Identity and Access Management (IAM) (IAM201)

Corely가 요약한 다른 콘텐츠를 탐색해보세요.

추천 콘텐츠