권한 설정 - AWS Resource Groups
개별 서비스에 대한 권한 Resource Groups 및 Tag Editor에 대한 필수 권한

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

권한 설정

Resource Groups와 Tag Editor를 완전히 활용하려면 리소스에 태그를 지정하거나 혹은 리소스의 태그 키와 값을 볼 수 있는 추가 권한이 필요할 수 있습니다. 이러한 권한은 다음 범주로 분류됩니다.

  • 개별 서비스의 리소스에 태그를 지정하고 리소스 그룹에 해당 리소스를 추가할 수 있도록 하기 위한 개별 리소스에 대한 권한.

  • Tag Editor 콘솔을 사용하는 데 필요한 권한.

  • 를 사용하는 데 필요한 권한 AWS Resource Groups 콘솔 및API.

관리자인 경우 다음을 통해 정책을 생성하여 사용자에게 권한을 제공할 수 있습니다. AWS Identity and Access Management (IAM) 서비스. 먼저 IAM 역할 또는 사용자와 같은 보안 주체를 만들거나 외부 ID를 사용자 주체와 연결합니다. AWS 다음과 같은 서비스를 사용하는 환경 AWS IAM Identity Center. 그런 다음 사용자에게 필요한 권한이 포함된 정책을 적용합니다. 정책 생성 및 연결에 대한 자세한 내용은 IAM 정책 사용을 참조하십시오.

개별 서비스에 대한 권한

중요

이 섹션에서는 다른 서비스 콘솔의 리소스에 태그를 지정하고 해당 리소스를 리소스 그룹에 추가하려는 경우 필요한 권한에 대해 설명합니다. APIs

리소스 및 해당 그룹 유형에서 설명한 바와 같이 각 리소스 그룹은 하나 이상의 태그 키 또는 값을 공유하는 특정 유형의 리소스 모음입니다. 리소스에 태그를 추가하려면 리소스가 속한 서비스에 필요한 권한이 있어야 합니다. 예를 들어 Amazon EC2 인스턴스에 태그를 지정하려면 Amazon EC2 User Guide에 나열된 것과 같은 해당 서비스의 태깅 작업에 대한 권한이 있어야 합니다. API

Resource Groups의 기능을 완전히 활용하려면 서비스 콘솔에 액세스하고 여기에서 리소스를 사용할 수 있는 기타 권한이 필요합니다. Amazon에 대한 이러한 정책의 예는 Amazon EC2 EC2사용 설명서의 Amazon EC2 콘솔 작업에 대한 예제 정책을 참조하십시오.

Resource Groups 및 Tag Editor에 대한 필수 권한

Resource Groups 및 Tag Editor를 사용하려면 의 사용자 정책 설명에 다음 권한을 추가해야 IAM 합니다. 둘 중 하나를 추가할 수 있습니다. AWS-유지 up-to-date 관리하고 관리하는 관리형 정책 AWS또는 사용자 지정 정책을 직접 만들고 유지할 수도 있습니다.

사용 AWS Resource Groups 및 태그 편집기 권한에 대한 관리형 정책

AWS Resource Groups 그리고 태그 편집기는 다음을 지원합니다. AWS 사용자에게 미리 정의된 권한 세트를 제공하는 데 사용할 수 있는 관리형 정책. 생성한 다른 정책과 마찬가지로 이러한 관리형 정책을 모든 사용자, 역할 또는 그룹에 연결할 수 있습니다.

ResourceGroupsandTagEditorReadOnlyAccess

이 정책은 연결된 IAM 역할 또는 사용자에게 Resource Groups 및 Tag Editor 모두에 대해 읽기 전용 작업을 호출할 수 있는 권한을 부여합니다. 리소스의 태그를 읽으려면 별도의 정책을 통해 해당 리소스에 대한 권한도 있어야 합니다(다음 중요 참고 사항 참조).

ResourceGroupsandTagEditorFullAccess

이 정책은 연결된 IAM 역할 또는 사용자에게 Resource Groups 작업과 태그 편집기의 읽기 및 쓰기 태그 작업을 호출할 수 있는 권한을 부여합니다. 리소스의 태그를 읽고 쓰려면 별도의 정책을 통해 해당 리소스에 대한 권한도 있어야 합니다(다음 중요 참고 사항 참조).

중요

이전 두 정책은 Resource Groups 및 Tag Editor 작업을 호출하고 해당 콘솔을 사용할 수 있는 권한을 부여합니다. Resource Groups 작업의 경우 이러한 정책만으로도 충분하며 Resource Groups 콘솔에서 리소스를 사용하는 데 필요한 모든 권한이 부여됩니다.

하지만 태그 지정 작업과 Tag Editor 콘솔의 경우 권한이 더 세분화됩니다. 작업을 호출할 수 있는 권한뿐만 아니라 태그에 액세스하려는 특정 리소스에 대한 적절한 권한도 있어야 합니다. 태그에 대한 액세스 권한을 부여하려면 다음 정책 중 하나도 연결해야 합니다.

  • The AWS-managed 정책은 모든 서비스 리소스의 읽기 전용 작업에 권한을 ReadOnlyAccess부여합니다. AWS 이 정책을 새 정책과 함께 자동으로 최신 상태로 유지합니다. AWS 서비스가 제공되는 대로.

  • 대부분의 서비스는 서비스별 읽기 전용으로 제공됩니다. AWS-해당 서비스에서 제공하는 리소스에만 액세스를 제한하는 데 사용할 수 있는 관리형 정책. 예를 들어 EC2 아마존은 아마존을 제공합니다EC2ReadOnlyAccess.

  • 사용자가 액세스할 몇 가지 서비스 및 리소스에 대해 매우 구체적인 읽기 전용 작업에만 액세스 권한을 부여하는 자체 정책을 만들 수 있습니다. 이 정책은 ‘허용 목록’ 전략이나 거부 목록 전략을 사용합니다.

    허용 목록 전략은 정책에서 명시적으로 허용할 때까지 기본적으로 액세스가 거부된다는 점을 활용합니다. 따라서 다음 예제와 같은 정책을 사용할 수 있습니다.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [ "resource-groups:*" ],
            "Resource": "arn:aws:resource-groups:*:123456789012:group/*"
        }
    ]
}

    또는 명시적으로 차단한 리소스를 제외한 모든 리소스에 대한 액세스를 허용하는 ‘거부 목록’ 전략을 사용할 수도 있습니다.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
             "Action": [ "resource-groups:*" ],
            "Resource": "arn:aws:resource-groups:*:123456789012:group/*"
        }
    ]
}

수동으로 Resource Groups 및 Tag Editor 권한 추가

  • resource-groups:*(이 권한은 모든 Resource Groups 작업을 허용합니다. 그러지 않고 사용자가 수행할 수 있는 작업을 제한하려면 별표를 특정 Resource Groups 작업이나 쉼표로 구분된 작업 목록으로 바꿀 수 있습니다.)

  • cloudformation:DescribeStacks

  • cloudformation:ListStackResources

  • tag:GetResources

  • tag:TagResources

  • tag:UntagResources

  • tag:getTagKeys

  • tag:getTagValues

  • resource-explorer:*

참고

이 resource-groups:SearchResources 권한은 태그 키 또는 값을 사용하여 검색을 필터링할 때 Tag Editor가 리소스를 나열하도록 허용합니다.

이 resource-explorer:ListResources 권한을 사용하면 검색 태그를 정의하지 않고 리소스를 검색할 때 태그 편집기가 리소스를 나열할 수 있습니다.

콘솔에서 Resource Groups 및 Tag Editor를 사용하려면 resource-groups:ListGroupResources 작업을 실행할 수 있는 권한도 필요합니다. 이 권한은 현재 리전에서 사용 가능한 리소스 유형을 나열하는 데 필요합니다. resource-groups:ListGroupResources에 정책 조건을 사용하는 것은 현재 지원되지 않습니다.