예제 2: 버킷 소유자가 교차 계정 버킷 권한 부여

1. AWS 계정이 두 개 있으며 각 계정에 이전 섹션의 표에 나와 있는 것과 같이 관리자 사용자가 한 명 있는지 확인합니다.

   1. 필요한 경우 AWS 계정에 가입합니다.

   2. 계정 A의 자격 증명을 사용하여 IAM 콘솔에 로그인하여 관리자 사용자를 만듭니다.

      1. AccountAadmin 사용자를 생성하고 보안 자격 증명을 적어 둡니다. 지침은 IAM 사용 설명서의 AWS 계정에서 IAM 사용자 생성을 참조하십시오.

      2. 모든 권한을 제공하는 사용자 정책을 연결하여 AccountAadmin에 관리자 권한을 부여합니다. 지침은 IAM 사용 설명서의 정책 작업 섹션을 참조하십시오.

   3. IAM 콘솔의 대시보드에서 IAM 사용자 로그인 URL을 적어 둡니다. 계정에 속한 모든 사용자가 AWS Management Console에 로그인할 때 이 URL을 사용해야 합니다.

      자세한 내용은 IAM 사용 설명서의 사용자의 계정 로그인 방법 단원을 참조하십시오.

   4. 계정 B의 자격 증명을 사용하여 이전 단계를 반복하고 관리자 사용자인 AccountBadmin을 만듭니다.

2. AWS Command Line Interface(AWS CLI) 또는 AWS Tools for Windows PowerShell을 설정합니다. 관리자 사용자 자격 증명은 다음과 같이 저장합니다.

   • AWS CLI를 사용하는 경우 구성 파일에 AccountAadmin 및 AccountBadmin의 프로파일 2개를 생성합니다.

   • AWS Tools for Windows PowerShell을 사용하는 경우 세션의 자격 증명을 AccountAadmin 및 AccountBadmin으로 저장해야 합니다.

   지침은 연습을 위한 도구 설정 단원을 참조하십시오.

3. 프로파일이라고도 하는 관리자 사용자 자격 증명을 저장합니다. 입력하는 각 명령에 대해 자격 증명을 지정하는 대신 프로파일 이름을 사용할 수 있습니다. 자세한 내용은 연습을 위한 도구 설정 단원을 참조하십시오.

   1. 두 계정의 AWS CLI 자격 증명 파일에서 각 관리자 사용자, AccountAadmin 및 AccountBadmin에 대해 프로파일을 추가합니다.

      [AccountAadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1
      
      [AccountBadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1

   2. AWS Tools for Windows PowerShell을 사용 중이라면 다음 명령을 실행합니다.

      set-awscredentials –AccessKey AcctA-access-key-ID –SecretKey AcctA-secret-access-key –storeas AccountAadmin
      set-awscredentials –AccessKey AcctB-access-key-ID –SecretKey AcctB-secret-access-key –storeas AccountBadmin

1. Amazon S3 콘솔에서 버킷을 생성합니다. 이 연습에서는 버킷이 미국 동부(버지니아 북부) AWS 리전에서 생성되었으며 이름이 amzn-s3-demo-bucket이라고 가정합니다.

   지침은 버킷 생성 단원을 참조하십시오.

2. 버킷에 샘플 객체를 업로드합니다.

   지침은 2단계: 버킷에 객체 업로드을 참조하십시오.

1. amzn-s3-demo-bucket에 다음 버킷 정책을 연결합니다. 이 정책은 계정 B에게 s3:GetLifecycleConfiguration 및 s3:ListBucket 작업에 대한 권한을 부여합니다.

   지침은 Amazon S3 콘솔을 사용하여 버킷 정책 추가 단원을 참조하십시오.

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Sid": "Example permissions",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountB-ID:root"
            },
            "Action": [
               "s3:GetLifecycleConfiguration",
               "s3:ListBucket"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket"
            ]
         }
      ]
   }

2. 계정 B와 해당 관리자 사용자가 작업을 수행할 수 있는지 확인합니다.

   • AWS CLI를 사용하여 확인

     aws s3 ls s3://amzn-s3-demo-bucket --profile AccountBadmin
     aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile AccountBadmin

   • AWS Tools for Windows PowerShell을 사용하여 확인

     get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin 
     get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin

AWS CLI를 사용하여 권한 테스트

1. AWS CLI 구성 파일에 UserDave 프로파일을 추가합니다. 구성 파일에 대한 자세한 내용은 연습을 위한 도구 설정을 참조하십시오.

   [profile UserDave]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. 명령 프롬프트에서 다음 AWS CLI 명령을 입력하여 이제 Dave가 계정 A 소유의 amzn-s3-demo-bucket에서 객체 목록을 가져올 수 있는지 확인합니다. 명령에 UserDave 프로파일이 지정된 것을 확인합니다.

   aws s3 ls s3://amzn-s3-demo-bucket --profile UserDave

   Dave에게는 다른 권한이 없습니다. 따라서 다른 작업(예: 다음 get-bucket-lifecycle 구성)을 시도하면 Amazon S3는 권한 거부를 반환합니다.

   aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile UserDave

AWS Tools for Windows PowerShell을 사용하여 권한 테스트

1. Dave의 자격 증명을 AccountBDave로 저장합니다.

   set-awscredentials -AccessKey AccessKeyID -SecretKey SecretAccessKey -storeas AccountBDave

2. List Bucket 명령을 시도합니다.

   get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

   Dave에게는 다른 권한이 없습니다. 따라서 다른 작업(예: 다음 get-s3bucketlifecycleconfiguration)을 시도할 경우 Amazon S3는 권한 거부를 반환합니다.

   get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

1. 테스트를 완료한 후, 다음과 같이 수행해 정리합니다.

   1. 계정 A의 자격 증명을 사용하여 AWS Management Console(AWS Management Console)에 로그인하고 다음을 수행합니다.

      • Amazon S3 콘솔에서 amzn-s3-demo-bucket에 연결된 버킷 정책을 제거합니다. 버킷 속성의 권한 섹션에서 정책을 삭제합니다.

      • 이 연습을 위해 버킷을 만들었다면 Amazon S3 콘솔에서 객체를 삭제한 뒤 버킷을 삭제합니다.

      • IAM 콘솔에서 AccountAadmin 사용자를 제거합니다.

2. 계정 B의 자격 증명을 사용하여 IAM 콘솔에 로그인합니다. AccountBadmin 사용자를 삭제합니다. 단계별 지침은 IAM 사용 설명서의 IAM 사용자 삭제를 참조하세요.