IAM Access Analyzer 정책 생성

IAM 역할에 대한 정책 생성

1. AWS Management Console에 로그인하여 https://console.aws.amazon.com/iam/ 에서 IAM 콘솔을 엽니다.

2. 왼쪽의 탐색 창에서 역할을 선택합니다.

   참고

   IAM 사용자에 대한 활동을 기반으로 정책을 생성하는 단계는 거의 동일합니다. 이렇게 하려면 역할(Roles) 대신 사용자(Users)를 선택합니다.

3. 계정의 역할 목록에서 정책을 생성하는 데 사용할 활동을 가진 역할의 이름을 선택합니다.

4. 권한(Permissions) 탭의 CloudTrail 이벤트 기반 정책 생성 섹션에서 정책 생성(Generate policy)을 선택합니다.

5. 정책 생성 페이지에서 해당 역할로 수행된 작업에 대해 IAM Access Analyzer이(가) CloudTrail 이벤트를 분석할 기간을 지정합니다. 최대 90일 범위를 선택할 수 있습니다. 정책 생성 시간을 줄이려면 가능한 한 가장 짧은 기간을 선택하는 것이 좋습니다.

6. CloudTrail 액세스(CloudTrail access) 섹션에서 적절한 기존 역할을 선택하거나 적절한 역할이 없는 경우 새 역할을 만듭니다. 이 역할은 액세스 활동을 검토하고 사용된 서비스 및 작업을 식별하기 위해 사용자를 대신해 CloudTrail 추적에 액세스할 수 있는 권한을 IAM Access Analyzer에 부여합니다. 이 역할에 필요한 권한에 대해 알아보려면 정책을 생성하는 데 필요한 권한 섹션을 참조하세요.

7. 분석할 CloudTrail 추적 섹션에서 계정에 대한 이벤트를 기록하는 CloudTrail 추적을 지정합니다.

   로그를 다른 계정에 저장하는 CloudTrail 추적을 선택하면 크로스 계정 액세스에 대한 정보 상자가 표시됩니다. 크로스 계정 액세스를 사용하려면 추가로 설정해야 합니다. 자세한 내용은 이 주제 뒷부분의 Choose a role for cross-account access 섹션을 참조하세요.

8. 정책 생성(Generate policy)을 선택합니다.

9. 정책 생성이 진행되는 동안 권한(Permissions) 탭의 역할 요약(Roles Summary) 페이지로 돌아갑니다. 정책 요청 세부 정보 섹션의 상태가 성공(Success)으로 표시될 때까지 기다린 다음 생성된 정책 보기(View generated policy)를 선택합니다. 최대 7일간 생성된 정책을 볼 수 있습니다. 다른 정책을 생성하면 기존 정책이 생성된 새 정책으로 대체됩니다.

1. 다음 섹션을 검토하세요.

   • 권한 검토 페이지에서 생성된 정책에 포함된 작업(Actions included in the generated policy) 목록을 검토합니다. 목록에는 지정된 날짜 범위 내에서 역할에 의해 사용된 것으로 IAM Access Analyzer이(가) 확인한 서비스 및 작업이 표시됩니다.

   • 사용된 서비스(Services used) 섹션에는 지정된 날짜 범위 내에서 역할에 의해 사용된 것으로 IAM Access Analyzer이(가) 확인한 추가 서비스가 표시됩니다. 사용된 작업에 대한 정보는 이 섹션에 나열된 서비스에 대해 제공되지 않을 수 있습니다. 나열된 각 서비스에 대한 메뉴를 사용하여 정책에 포함할 작업을 수동으로 선택합니다.

2. 작업 추가를 완료했으면 다음(Next)을 선택합니다.

생성된 정책 사용자 지정

1. 정책 템플릿을 업데이트합니다. 정책 템플릿에는 다음 그림과 같이 리소스 수준 권한을 지원하는 작업에 대한 리소스 ARN 자리 표시자가 포함되어 있습니다. 리소스 수준 권한이란 사용자가 작업을 수행할 수 있는 리소스를 지정하는 기능을 말합니다. 리소스 수준 권한을 지원하는 작업에 대해서는 ARN을 사용하여 정책에서 개별 리소스를 지정하는 것이 좋습니다. 자리 표시자 리소스 ARN을 사용 사례에 맞는 유효한 리소스 ARN으로 바꿀 수 있습니다.

   작업이 리소스 수준 권한을 지원하지 않는 경우 와일드카드(*)를 사용하여 모든 리소스가 작업의 영향을 받을 수 있도록 지정해야 합니다. 어떤 AWS 서비스가 리소스 수준 권한을 지원하는지 알아보려면 IAM으로 작업하는 AWS 서비스를 참조하세요. 각 서비스의 작업 목록과 어떤 작업이 리소스 수준 권한을 지원하는지에 대한 자세한 내용은 AWS 서비스의 작업, 리소스 및 조건 키를 참조하세요.

   

2. (선택 사항) 템플릿에서 JSON 정책 설명을 추가, 수정 또는 제거합니다. JSON 정책 작성에 대한 자세한 내용은 IAM 정책 생성(콘솔)을 참조하세요.

3. 정책 템플릿을 사용자 지정했으면 다음 옵션을 사용할 수 있습니다.

   • (선택 사항) 템플릿에서 JSON을 복사하여 생성된 정책 페이지 외부에서 별도로 사용할 수 있습니다. 예를 들어 JSON을 사용하여 다른 계정에 정책을 생성하려는 경우 템플릿의 정책이 JSON 정책에 대한 6,144자 제한을 초과하면 정책이 여러 정책으로 분할됩니다.

   • 다음(Next)을 선택하여 동일한 계정에서 관리형 정책을 검토하고 생성합니다.

정책 검토 및 생성

1. 관리형 정책 검토 및 생성 페이지에서 생성하려는 정책의 이름(Name)과 설명(Description)(선택 사항)을 입력합니다.

2. (선택 사항) 요약(Summary) 섹션에서 정책에 포함될 사용 권한을 검토할 수 있습니다.

3. (선택 사항) 태그를 키 값 페어로 연결하여 메타데이터를 정책에 추가합니다. IAM에서 태그를 사용하는 방법에 대한 자세한 내용은 IAM 리소스 태깅을 참조하세요.

4. 작업을 마쳤으면 다음 중 하나를 수행합니다.

   • 정책을 생성하는 데 사용된 역할에 새 정책을 직접 연결할 수 있습니다. 이렇게 하려면 페이지 하단에서 YourRoleName에 정책 연결 옆에 있는 확인란을 선택합니다. 그런 다음 정책 생성 및 연결(Create and attach policy)을 선택합니다.

   • 그렇지 않은 경우 정책 생성(Create policy)을 선택합니다. IAM 콘솔의 정책 탐색 창의 정책 목록에서 생성한 정책을 찾을 수 있습니다.

5. 생성한 정책을 계정의 엔터티에 연결할 수 있습니다. 정책을 연결한 후, 지나치게 광범위한 기타 정책이 엔터티에 연결될 수 있는 경우 이를 제거할 수 있습니다. 관리형 정책을 연결하는 방법은 IAM 자격 증명 권한 추가(콘솔)를 참조하세요.

1단계: 크로스 계정 액세스를 위한 역할 선택 또는 생성

• 계정에 필요한 권한이 있는 역할이 이미 있는 경우 정책 생성(Generate policy) 화면에서 기존 역할 사용(Use an existing role)이 미리 선택되어 있습니다. 그렇지 않으면 새 서비스 역할 생성 및 사용(Create and use a new service role)을 선택합니다. 새 역할은 계정 B의 CloudTrail 로그에 대한 액세스 권한을 IAM Access Analyzer에 부여하는 데 사용됩니다.

2단계: 계정 B의 Amazon S3 버킷 구성 확인 또는 업데이트

1. AWS Management Console에 로그인한 후 https://console.aws.amazon.com/s3/에서 Amazon S3 콘솔을 엽니다.

2. 버킷(Buckets) 목록에서 CloudTrail 추적 로그가 저장된 버킷의 이름을 선택합니다.

3. 권한(Permissions) 탭을 클릭하고 객체 소유권(Object ownership) 섹션으로 이동합니다.

   Amazon S3 객체 소유권 버킷 설정을 사용하여 버킷에 업로드하는 객체의 소유권을 제어합니다. 기본적으로 다른 AWS 계정이 버킷에 객체를 업로드할 때 업로드하는 계정이 객체를 소유합니다. 정책을 생성하려면 버킷 소유자가 버킷의 모든 객체를 소유해야 합니다. ACL 사용 사례에 따라 버킷의 객체 소유권(Object Ownership) 설정을 변경해야 할 수도 있습니다. 객체 소유권(Object Ownership)을 다음 옵션 중 하나로 설정합니다.

   • 버킷 소유자 적용(Bucket owner enforced)(권장)

   • 버킷 소유자 선호(Bucket owner preferred)

   중요

   정책을 성공적으로 생성하려면 버킷의 객체를 버킷 소유자가 소유해야 합니다. 버킷 소유자 선호(Bucket owner preferred)를 사용하도록 선택하는 경우 객체 소유권이 변경된 후 해당 기간 동안만 정책을 생성할 수 있습니다.

   Amazon S3의 객체 소유권에 대해 자세히 알아보려면 Amazon S3 사용 설명서의 객체 소유권 제어 및 버킷에 대해 ACL 사용 중지를 참조하세요.

4. 계정 B의 Amazon S3 버킷 정책에 권한을 추가하여 계정 A의 역할에 대한 액세스를 허용합니다.

   다음 정책 예에서는 DOC-EXAMPLE-BUCKET이라는 버킷에 대한 ListBucket 및 GetObject를 허용합니다. 버킷에 액세스하는 역할이 조직의 계정에 속하고 이름이 AccessAnalyzerMonitorServiceRole로 시작하는 경우 액세스가 허용됩니다. aws:PrincipalArn을 Resource 요소의 Condition으로 사용하면 역할이 계정 A에 속한 경우에만 계정의 활동에 액세스할 수 있습니다. DOC-EXAMPLE-BUCKET을 실제 버킷 이름으로, optional-prefix를 버킷에 대한 선택적 접두사로, organization-id를 조직 ID로 바꿀 수 있습니다.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "PolicyGenerationBucketPolicy",
         "Effect": "Allow",
         "Principal": {
           "AWS": "*"
         },
         "Action": [
           "s3:GetObject",
           "s3:ListBucket"
         ],
         "Resource": [
           "arn:aws:s3:::DOC-EXAMPLE-BUCKET",
           "arn:aws:s3:::DOC-EXAMPLE-BUCKET/optional-prefix/AWSLogs/organization-id/${aws:PrincipalAccount}/*"
         ],
         "Condition": {
           "StringEquals": {
             "aws:PrincipalOrgID": "organization-id"
           },
           "StringLike": {
             "aws:PrincipalArn": "arn:aws:iam::${aws:PrincipalAccount}:role/service-role/AccessAnalyzerMonitorServiceRole*"
           }
         }
       }
     ]
   }

5. AWS KMS를 사용하여 로그를 암호화하는 경우, 다음 정책 예시에서처럼 키를 사용할 수 있는 액세스 권한을 IAM Access Analyzer에 부여하도록 CloudTrail 로그를 저장하는 계정에서 AWS KMS 키 정책을 업데이트합니다. CROSS_ACCOUNT_ORG_TRAIL_FULL_ARN을 추적의 ARN으로, organization-id를 조직 ID로 바꿉니다.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "*"
         },
         "Action": "kms:Decrypt",
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "kms:EncryptionContext:aws:cloudtrail:arn": "CROSS_ACCOUNT_ORG_TRAIL_FULL_ARN",
             "aws:PrincipalOrgID": "organization-id"
           },
           "StringLike": {
             "kms:ViaService": [
               "access-analyzer.*.amazonaws.com",
               "s3.*.amazonaws.com"
             ]
             "aws:PrincipalArn": "arn:aws:iam::${aws:PrincipalAccount}:role/service-role/AccessAnalyzerMonitorServiceRole*"
           }
         }
       }
     ]
   }