사용자 정책을 사용하여 버킷에 대한 액세스 제어

1. AWS Management Console에 로그인하여 https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

2. 탐색(Navigation) 창에서 IAM 대시보드(IAM Dashboard)를 선택합니다.

3. IAM 사용자 로그인 링크:(IAM users sign in link:) 아래의 URL을 기록합니다. 자신의 IAM 사용자 이름 및 암호로 콘솔에 로그인할 수 있도록 IAM 사용자에게 이 링크를 제공하게 됩니다.

1. AWS Management Console에 로그인한 후 https://console.aws.amazon.com/s3/에서 Amazon S3 콘솔을 엽니다.

2. 버킷을 만듭니다.

   단계별 지침은 버킷 생성단원을 참조하세요.

3. 버킷에 문서를 하나 업로드합니다.

   이 연습에서는 이 버킷의 루트 수준에 s3-dg.pdf 문서가 있다고 가정합니다. 다른 문서를 업로드하는 경우 s3-dg.pdf를 해당 파일 이름으로 대체합니다.

4. Private, Finance 및 Development라는 세 개의 폴더를 버킷에 추가합니다.

   폴더 생성에 대한 단계별 지침은 Amazon Simple Storage Service 사용 설명서의 Amazon S3 콘솔에서 폴더를 사용하여 객체 구성>을(를) 참조하십시오.

5. 각 폴더에 문서를 한두 개 업로드합니다.

   이 연습에서는 문서 몇 개를 각 폴더에 업로드했으며 결과적으로 버킷에 다음 키를 사용하는 객체가 있다고 가정합니다.

   • Private/privDoc1.txt

   • Private/privDoc2.zip

   • Development/project1.xls

   • Development/project2.xls

   • Finance/Tax2011/document1.pdf

   • Finance/Tax2011/document2.pdf

   • s3-dg.pdf

   단계별 지침은 객체 업로드단원을 참조하세요.

1. IAM 사용자 로그인 링크(IAM 사용자를 위한 로그인 링크 제공 참조)를 사용하여 IAM 사용자 자격 증명 중 하나로 AWS Management Console에 로그인합니다.

2. https://console.aws.amazon.com/s3/에서 Amazon S3 콘솔을 엽니다.

   액세스가 거부되었다는 콘솔 메시지를 확인합니다.

1. AWS Management Console에 로그인하여 https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

   참고

   사용자 권한을 부여하고 있으므로 IAM 사용자로 로그인하지 않고 AWS 계정 자격 증명을 사용하여 로그인합니다.

2. 관리형 정책을 만듭니다.

   1. 왼쪽 탐색 창에서 정책을 선택한 다음 정책 생성을 선택합니다.

   2. [JSON] 탭을 선택합니다.

   3. 다음 액세스 정책을 복사하여 정책 텍스트 필드에 붙여 넣습니다.

      {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Sid": "AllowGroupToSeeBucketListInTheConsole",
            "Action": ["s3:ListAllMyBuckets"],
            "Effect": "Allow",
            "Resource": ["arn:aws:s3:::*"]
          }
        ]
      }

      정책은 JSON 문서입니다. 문서에서 Statement는 객체 배열로, 각 객체는 이름-값 페어 모음을 사용하여 권한을 설명합니다. 이전 정책은 하나의 특정 권한을 설명합니다. Action은 액세스 유형을 지정합니다. 정책에서 s3:ListAllMyBuckets는 사전 정의된 Amazon S3 작업입니다. 이 작업은 인증된 발신자가 소유한 모든 버킷의 목록을 반환하는 Amazon S3 GET Service 작업을 포함합니다. Effect 요소 값은 특정 권한이 허용되는지 또는 거부되는지를 결정합니다.

   4. Review policy(정책 검토)를 선택합니다. 다음 페이지에서 Name(이름) 필드에 AllowGroupToSeeBucketListInTheConsole을 입력하고 Create policy(정책 생성)를 선택합니다.

      참고

      요약 항목에 이 정책이 어떠한 권한도 부여하지 않는다고 알리는 메시지가 표시됩니다. 이 연습의 경우 이 메시지를 무시해도 됩니다.

3. 만든 AllowGroupToSeeBucketListInTheConsole 관리형 정책을 Consultants 그룹에 연결합니다.

   관리형 정책 연결에 대한 단계별 지침은 IAM 사용 설명서의 IAM 자격 증명 권한 추가 및 제거를 참조하세요.

   IAM 콘솔의 IAM 사용자 및 그룹에 정책 문서를 연결합니다. 두 사용자가 모두 버킷을 나열할 수 있게 만들려고 하기 때문에 정책을 그룹에 연결합니다.

4. 권한을 테스트합니다.

   1. IAM 사용자 로그인 링크(IAM 사용자를 위한 로그인 링크 제공 참조)를 사용하여 IAM 사용자 자격 증명 중 하나로 콘솔에 로그인합니다.

   2. https://console.aws.amazon.com/s3/에서 Amazon S3 콘솔을 엽니다.

      이제 콘솔에 모든 버킷이 나열되지만 버킷의 객체는 아닙니다.

사용자가 루트 수준 버킷 콘텐츠를 나열할 수 있도록 허용하려면

1. AWS Management Console에 로그인하여 https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

   IAM 사용자의 자격 증명이 아니라 AWS 계정 자격 증명을 사용하여 콘솔에 로그인합니다.

2. Consultants 그룹에 연결된 기존 AllowGroupToSeeBucketListInTheConsole 관리형 정책을 다음 정책으로 바꿉니다. 다음 정책은 s3:ListBucket 작업도 허용합니다. companybucket 정책에서 Resource을 버킷의 이름으로 대체해야 합니다.

   단계별 지침은 IAM 사용 설명서의 IAM 정책 편집을 참조하세요. 단계별 지침을 따를 때는 정책이 연결된 모든 보안 주체에 변경 사항을 적용하기 위한 단계를 따라야 합니다.

   {
     "Version": "2012-10-17",                 
     "Statement": [
        {
          "Sid": "AllowGroupToSeeBucketListAndAlsoAllowGetBucketLocationRequiredForListBucket",
          "Action": [ "s3:ListAllMyBuckets", "s3:GetBucketLocation" ],
          "Effect": "Allow",
          "Resource": [ "arn:aws:s3:::*"  ]
        },
        {
          "Sid": "AllowRootLevelListingOfCompanyBucket",
          "Action": ["s3:ListBucket"],
          "Effect": "Allow",
          "Resource": ["arn:aws:s3:::companybucket"],
          "Condition":{ 
                "StringEquals":{
                       "s3:prefix":[""], "s3:delimiter":["/"]
                              }
                      }
        }
     ] 
   }

3. 업데이트된 권한을 테스트합니다.

   1. IAM 사용자 로그인 링크(IAM 사용자를 위한 로그인 링크 제공 참조)를 사용하여 AWS Management Console에 로그인합니다.

      https://console.aws.amazon.com/s3/에서 Amazon S3 콘솔을 엽니다.

   2. 만든 버킷을 선택합니다. 그러면 콘솔에 루트 수준 버킷 항목이 표시됩니다. 버킷에서 폴더 하나를 선택하면 폴더 콘텐츠를 볼 수 없습니다. 아직 해당 권한을 부여하지 않았기 때문입니다.

1. AWS Management Console에 로그인하여 https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

   IAM 사용자의 자격 증명이 아니라 AWS 계정 자격 증명을 사용하여 콘솔에 로그인합니다.

2. 사용자 Alice에게 Development 폴더 콘텐츠를 나열할 수 있는 권한을 부여하기 위해 인라인 정책을 만듭니다.

   1. 왼쪽에 있는 탐색 창에서 Users(사용자)를 선택합니다.

   2. 사용자 이름 Alice를 선택합니다.

   3. 사용자 세부 정보 페이지에서 Permissions(권한) 탭을 선택한 다음 Add inline policy(인라인 정책 추가)를 선택합니다.

   4. [JSON] 탭을 선택합니다.

   5. 다음 액세스 정책을 복사하여 정책 텍스트 필드에 붙여넣습니다.

      {
          "Version": "2012-10-17",  
          "Statement": [
          {
            "Sid": "AllowListBucketIfSpecificPrefixIsIncludedInRequest",
            "Action": ["s3:ListBucket"],
            "Effect": "Allow",
            "Resource": ["arn:aws:s3:::companybucket"],
            "Condition":{  "StringLike":{"s3:prefix":["Development/*"] }
             }
          }
        ]
      }

   6. Review policy(정책 검토)를 선택합니다. 다음 페이지에서 Name(이름) 필드에 이름을 입력하고 Create policy(정책 생성)를 선택합니다.

3. Alice의 권한에 대한 변경 사항을 테스트합니다.

   1. IAM 사용자 로그인 링크(IAM 사용자를 위한 로그인 링크 제공 참조)를 사용하여 AWS Management Console에 로그인합니다.

   2. https://console.aws.amazon.com/s3/에서 Amazon S3 콘솔을 엽니다.

   3. Amazon S3 콘솔에서 Alice가 버킷의 Development/ 폴더에 있는 객체의 목록을 볼 수 있는지 확인합니다.

      사용자가 /Development 폴더를 선택하여 그 안에 있는 객체의 목록을 보면 Amazon S3 콘솔에서 접두사 ListObjects가 있는 /Development 요청이 Amazon S3로 전송됩니다. 접두사 Development 및 구분 기호 /로 사용자에게 객체 목록 확인 권한이 부여되기 때문에 Amazon S3에서 키 접두사 Development/가 지정된 객체의 목록이 반환되고 콘솔에 이 목록이 표시됩니다.

1. AWS Management Console에 로그인한 후 https://console.aws.amazon.com/s3/에서 Amazon S3 콘솔을 엽니다.

   IAM 사용자의 자격 증명이 아니라 AWS 계정 자격 증명을 사용하여 콘솔에 로그인합니다.

2. 이전 단계에서 만든 인라인 정책을 편집합니다.

   1. 왼쪽에 있는 탐색 창에서 Users(사용자)를 선택합니다.

   2. 사용자 이름 Alice를 선택합니다.

   3. 사용자 세부 정보 페이지에서 Permissions(권한) 탭을 선택하고 Inline Policies(인라인 정책) 섹션을 확장합니다.

   4. 이전 단계에서 만든 정책의 이름 옆에 있는 Edit Policy(정책 편집)를 선택합니다.

   5. 다음 정책을 복사하여 정책 텍스트 필드에 붙여 넣어 기존 정책을 바꿉니다.

      {
           "Version": "2012-10-17",
           "Statement":[
            {
               "Sid":"AllowListBucketIfSpecificPrefixIsIncludedInRequest",
               "Action":["s3:ListBucket"],
               "Effect":"Allow",
               "Resource":["arn:aws:s3:::companybucket"],
               "Condition":{
                  "StringLike":{"s3:prefix":["Development/*"]
                  }
               }
            },
            {
              "Sid":"AllowUserToReadWriteObjectDataInDevelopmentFolder", 
              "Action":["s3:GetObject", "s3:PutObject"],
              "Effect":"Allow",
              "Resource":["arn:aws:s3:::companybucket/Development/*"]
            }
         ]
      }

3. 업데이트된 정책을 테스트합니다.

   1. IAM 사용자 로그인 링크(IAM 사용자를 위한 로그인 링크 제공 참조)를 사용하여 AWS Management Console에 로그인합니다.

   2. https://console.aws.amazon.com/s3/에서 Amazon S3 콘솔을 엽니다.

   3. Amazon S3 콘솔에서 Alice가 이제 Development 폴더에서 객체를 추가하고 다운로드할 수 있는지 확인합니다.

1. AWS Management Console에 로그인한 후 https://console.aws.amazon.com/s3/에서 Amazon S3 콘솔을 엽니다.

   IAM 사용자의 자격 증명이 아니라 AWS 계정 자격 증명을 사용하여 콘솔에 로그인합니다.

2. Consultants 그룹에 연결된 기존 AllowGroupToSeeBucketListInTheConsole 관리형 정책을 다음 정책으로 바꿉니다. 정책에서 companybucket을 버킷의 이름으로 대체해야 합니다.

   지침은 IAM 사용 설명서의 고객 관리형 정책 편집 섹션을 참조하세요. 지침을 따를 때 정책이 연결된 모든 보안 주체에 변경 사항을 적용하는 작업에 대한 지시 사항을 반드시 따르십시오.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowGroupToSeeBucketListAndAlsoAllowGetBucketLocationRequiredForListBucket",
         "Action": ["s3:ListAllMyBuckets", "s3:GetBucketLocation"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::*"]
       },
       {
         "Sid": "AllowRootLevelListingOfCompanyBucket",
         "Action": ["s3:ListBucket"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::companybucket"],
         "Condition":{
             "StringEquals":{"s3:prefix":[""]}
          }
       },
       {
         "Sid": "RequireFolderStyleList",
         "Action": ["s3:ListBucket"],
         "Effect": "Deny",
         "Resource": ["arn:aws:s3:::*"],
         "Condition":{
             "StringNotEquals":{"s3:delimiter":"/"}
          }
        },
       {
         "Sid": "ExplictDenyAccessToPrivateFolderToEveryoneInTheGroup",
         "Action": ["s3:*"],
         "Effect": "Deny",
         "Resource":["arn:aws:s3:::companybucket/Private/*"]
       },
       {
         "Sid": "DenyListBucketOnPrivateFolder",
         "Action": ["s3:ListBucket"],
         "Effect": "Deny",
         "Resource": ["arn:aws:s3:::*"],
         "Condition":{
             "StringLike":{"s3:prefix":["Private/"]}
          }
       }
     ]
   }