직무에 관한 AWS 관리형 정책

최소 권한 부여 또는 작업 수행에 요구되는 권한만 부여하는 정책을 사용하는 것이 좋습니다. 최소 권한을 부여하는 가장 안전한 방법은 팀에 필요한 권한만 있는 사용자 지정 정책을 작성하는 것입니다. 필요한 경우 팀에서 추가 권한을 요청할 수 있는 프로세스를 만들어야 합니다. 팀에 필요한 권한만 제공하는 IAM 고객 관리형 정책을 생성하기 위해서는 시간과 전문 지식이 필요합니다.

IAM 자격 증명(사용자, 사용자 그룹 및 역할)에 대한 권한을 추가하려면 AWS 관리형 정책을 사용할 수 있습니다. AWS 관리형 정책은 일반적인 사용 사례를 다루며 사용자의 AWS 계정에서 사용할 수 있습니다. AWS 관리형 정책은 최소 권한을 부여하지 않습니다. 보안 주체가 작업을 수행하는 데 필요한 것보다 더 많은 권한을 부여할 경우 보안 위험을 고려해야 합니다.

AWS 관리형 정책(작업 기능 포함)을 모든 IAM 자격 증명에 연결할 수 있습니다. 최소 권한으로 전환하려면 AWS Identity and Access Management Access Analyzer를 실행하여 AWS 관리형 정책으로 보안 주체를 모니터링합니다. 사용 권한을 학습한 후 사용자 지정 정책을 작성하거나 팀에 필요한 권한만 있는 정책을 생성할 수 있습니다. 이는 덜 안전하지만 팀에서 AWS를 어떻게 사용하는지 학습할 수록 더 많은 유연성을 제공합니다..

직무에 관한 AWS 관리형 정책은 IT 업계의 일반적인 직무 기능과 긴밀하게 연결되도록 구성됩니다. 이 정책을 적용하면 특정 직무 담당자에게 기대되는 작업 수행에 필요한 권한을 부여할 수 있습니다. 이 정책은 여러 서비스에 대한 권한을 정책 하나에 통합하기 때문에, 여러 정책에 권한이 분산되어 있는 경우보다 업무 절차가 간소합니다.

역할을 이용한 서비스 결합

일부 정책은 IAM 서비스 역할을 이용하여 다른 AWS 서비스에 포함된 기능을 활용할 수 있도록 지원합니다. 이 정책은 iam:passrole에 대한 액세스를 허용하여, 정책에 정의된 사용자가 역할을 AWS 서비스에 전달할 수 있도록 합니다. 이 역할은 AWS 서비스에서 사용자를 대행할 수 있도록 IAM 권한을 위임합니다.

필요에 따라 역할을 만들어야 합니다. 예를 들어 네트워크 관리자 정책은 정책을 지닌 사용자가 ‘flow-logs-vpc’라는 역할을 Amazon CloudWatch 서비스로 전달하도록 허용합니다. CloudWatch는 이 역할을 사용하여 사용자가 생성한 VPC의 IP 트래픽을 로그하고 캡처합니다.

보안 모범 사례를 따르기 위해 직무 기능에 관한 정책에는 전달할 수 있는 유효한 역할의 이름을 제한하는 필터가 포함되어 있습니다. 따라서 불필요한 권한을 부여할 가능성이 없습니다. 사용자가 선택적 서비스 역할을 필요로 할 경우, 정책에 정의된 명명 규칙에 따라 역할을 만들어야 합니다. 그런 다음 해당 역할에 권한을 부여합니다. 그러면 사용자는 역할이 제공하는 모든 권한을 부여해 서비스에서 이 역할을 사용하도록 구성할 수 있습니다.

다음 섹션에서 각 정책의 이름에는 AWS Management Console의 정책 세부 정보 페이지로 이동하는 링크가 연결되어 있습니다. 해당 페이지에서 정책 문서를 확인하고 부여된 권한을 검토할 수 있습니다.

관리자 직무

AWS 관리형 정책 이름: AdministratorAccess

사용 사례: 이 사용자는 모든 액세스를 가지며 AWS 내 모든 서비스와 리소스에 권한을 위임할 수 있습니다.

정책 업데이트 AWS는 이 정책을 유지 관리하고 업데이트합니다. 이 정책의 변경 내역을 보려면 IAM 콘솔에서 정책을 확인한 다음 정책 버전(Policy versions) 탭을 선택합니다. 작업 기능 정책 업데이트에 대한 자세한 내용은 직무에 관한 AWS 관리형 정책 업데이트 섹션을 참조하세요.

정책 설명: 이 정책은 모든 AWS 서비스와 계정 내 모든 리소스에 대한 모든 작업을 허용합니다. 관리형 정책에 대한 자세한 내용은 AWS 관리형 정책 참조 가이드의 AdministratorAccess를 참조하세요.

결제 직무

AWS 관리형 정책 이름: Billing

사용 사례: 이 사용자는 결제 정보를 확인하고 지불을 설정 및 승인해야 합니다. 사용자가 전체 AWS 서비스에 누적된 비용을 모니터링할 수 있습니다.

정책 업데이트 AWS는 이 정책을 유지 관리하고 업데이트합니다. 이 정책의 변경 내역을 보려면 IAM 콘솔에서 정책을 확인한 다음 정책 버전(Policy versions) 탭을 선택합니다. 작업 기능 정책 업데이트에 대한 자세한 내용은 직무에 관한 AWS 관리형 정책 업데이트 섹션을 참조하세요.

정책 설명: 이 정책은 결제 관리, 비용, 결제 방법, 예산, 보고서 등에 필요한 모든 권한을 부여합니다. 추가적인 비용 관리 정책 예는 AWS Billing and Cost Management 사용 설명서의 AWS Billing 정책 예를 참조하세요. 관리형 정책에 대한 자세한 내용은 AWS 관리형 정책 참조 가이드의 Billing를 참조하세요.

데이터베이스 관리자 직무

AWS 관리형 정책 이름: DatabaseAdministrator

사용 사례: 이 사용자는 AWS 클라우드에서 데이터베이스를 설정, 구성, 유지합니다.

정책 업데이트 AWS는 이 정책을 유지 관리하고 업데이트합니다. 이 정책의 변경 내역을 보려면 IAM 콘솔에서 정책을 확인한 다음 정책 버전(Policy versions) 탭을 선택합니다. 작업 기능 정책 업데이트에 대한 자세한 내용은 직무에 관한 AWS 관리형 정책 업데이트 섹션을 참조하세요.

정책 설명: 이 정책은 데이터베이스를 생성, 구성, 유지할 수 있는 권한을 부여합니다. 여기에는 Amazon DynamoDB, Amazon Relational Database Service(RDS) 및 Amazon Redshift와 같은 AWS데이터베이스 서비스에 대한 액세스가 포함됩니다. 이 정책이 지원하는 데이터베이스 서비스의 전체 목록에 대한 정책을 봅니다. 관리형 정책에 대한 자세한 내용은 AWS 관리형 정책 참조 가이드의 DatabaseAdministrator를 참조하세요.

이 직무 정책은 AWS 서비스로 역할을 전달할 수 있는 기능을 지원합니다. 이 정책은 다음 표에 명시된 역할에만 iam:PassRole 작업을 허용합니다. 자세한 내용은 이 주제의 후반부에서 역할 생성 및 정책 연결(콘솔) 섹션을 참조하세요.

데이터 사이언티스트 직무

AWS 관리형 정책 이름: DataScientist

사용 사례: 이 사용자는 Hadoop 작업과 쿼리를 실행합니다. 또한 데이터 분석 및 비즈니스 인텔리전스에 관한 정보에 액세스하고 이를 분석합니다.

정책 업데이트 AWS는 이 정책을 유지 관리하고 업데이트합니다. 이 정책의 변경 내역을 보려면 IAM 콘솔에서 정책을 확인한 다음 정책 버전(Policy versions) 탭을 선택합니다. 작업 기능 정책 업데이트에 대한 자세한 내용은 직무에 관한 AWS 관리형 정책 업데이트 섹션을 참조하세요.

정책 설명: 이 정책은 Amazon EMR 클러스터에서 쿼리를 생성, 관리, 실행하고 Amazon QuickSight 같은 도구로 데이터 분석을 수행할 수 있는 권한을 부여합니다. 이 정책에는 AWS Data Pipeline, Amazon EC2, Amazon Kinesis, Amazon Machine Learning, SageMaker와 같은 추가적인 데이터 사이언티스트 서비스에 대한 액세스가 포함됩니다. 이 정책이 지원하는 데이터 과학자 서비스의 전체 목록에 대한 정책을 봅니다. 관리형 정책에 대한 자세한 내용은 AWS 관리형 정책 참조 가이드의 DataScientist를 참조하세요.

이 직무 정책은 AWS 서비스로 역할을 전달할 수 있는 기능을 지원합니다. 한 개의 문이 역할을 SageMaker에 전달하도록 허용합니다. 또 다른 문은 다음 표에 명시된 역할에만 iam:PassRole 작업을 허용합니다. 자세한 내용은 이 주제의 후반부에서 역할 생성 및 정책 연결(콘솔) 섹션을 참조하세요.

개발자 고급 사용자 직무

AWS 관리형 정책 이름: PowerUserAccess

사용 사례: 이 사용자는 애플리케이션 개발 작업을 수행하며, AWS 인식 애플리케이션 개발을 지원하는 리소스와 서비스를 생성하고 구성할 수 있습니다.

정책 업데이트 AWS는 이 정책을 유지 관리하고 업데이트합니다. 이 정책의 변경 내역을 보려면 IAM 콘솔에서 정책을 확인한 다음 정책 버전(Policy versions) 탭을 선택합니다. 작업 기능 정책 업데이트에 대한 자세한 내용은 직무에 관한 AWS 관리형 정책 업데이트 섹션을 참조하세요.

정책 설명: 이 정책의 첫 번째 설명문은 NotAction 요소를 사용하여 모든 AWS 서비스와 모든 리소스(AWS Identity and Access Management, AWS Organizations 및 AWS Account Management 제외)에 대해 모든 작업을 허용합니다. 두 번째 설명문은 서비스에 연결된 역할을 생성할 수 있는 IAM 권한을 부여합니다. 이것은 Amazon S3 버킷처럼 다른 서비스에서 리소스에 액세스해야 하는 서비스에 필요합니다. 또한 조직에 관리 계정 이메일과 조직 한도 등 사용자 조직에 대한 정보를 볼 권한을 부여합니다. 이 정책은 IAM 및 조직을 제한하지만 IAM Identity Center가 활성화된 경우 사용자가 모든 IAM Identity Center 작업을 수행할 수 있습니다. 또한 계정에 대해 활성화 또는 비활성화된 AWS 리전을 볼 수 있는 계정 관리 권한을 부여합니다.

네트워크 관리자 직무

AWS 관리형 정책 이름: NetworkAdministrator

사용 사례: 이 사용자는 AWS 네트워크 리소스를 설정하고 유지하는 작업을 담당합니다.

정책 업데이트 AWS는 이 정책을 유지 관리하고 업데이트합니다. 이 정책의 변경 내역을 보려면 IAM 콘솔에서 정책을 확인한 다음 정책 버전(Policy versions) 탭을 선택합니다. 작업 기능 정책 업데이트에 대한 자세한 내용은 직무에 관한 AWS 관리형 정책 업데이트 섹션을 참조하세요.

정책 설명: 이 정책은 Auto Scaling, Amazon EC2, AWS Direct Connect, Route 53, Amazon CloudFront, Elastic Load Balancing, AWS Elastic Beanstalk, Amazon SNS, CloudWatch, CloudWatch Logs, Amazon S3, IAM, Amazon Virtual Private Cloud의 네트워크 리소스를 생성하고 유지할 수 있는 권한을 부여합니다. 관리형 정책에 대한 자세한 내용은 AWS 관리형 정책 참조 가이드의 NetworkAdministrator를 참조하세요.

이 직무는 AWS 서비스로 역할을 전달할 수 있는 기능을 필요로 합니다. 이 정책은 다음 표에 명시된 역할에만 iam:GetRole 및 iam:PassRole을 허용합니다. 자세한 내용은 이 주제의 후반부에서 역할 생성 및 정책 연결(콘솔) 섹션을 참조하세요.

읽기 전용 액세스

AWS 관리형 정책 이름: ReadOnlyAccess

사용 사례: 이 사용자는 AWS 계정의 모든 리소스에 대한 읽기 전용 액세스가 필요합니다.

정책 업데이트 AWS는 이 정책을 유지 관리하고 업데이트합니다. 이 정책의 변경 내역을 보려면 IAM 콘솔에서 정책을 확인한 다음 정책 버전(Policy versions) 탭을 선택합니다. 작업 기능 정책 업데이트에 대한 자세한 내용은 직무에 관한 AWS 관리형 정책 업데이트 섹션을 참조하세요.

정책 설명: 이 정책은 리소스와 해당 속성을 나열하고, 가져오고, 설명하고 볼 수 있는 권한을 부여합니다. 생성 또는 삭제와 같은 변형 기능은 포함되지 않습니다. 이 정책에는 보안 관련 AWS 서비스(예: AWS Identity and Access Management 및 AWS Billing and Cost Management)에 대한 읽기 전용 액세스가 포함됩니다. 이 정책이 지원하는 서비스 및 작업의 전체 목록에 대한 정책을 봅니다.

보안 감사자 직무

AWS 관리형 정책 이름: SecurityAudit

사용 사례: 이 사용자는 보안 요구 사항을 준수하기 위해 계정을 모니터링합니다. 이 사용자는 로그와 이벤트에 액세스하여 잠재적인 보안 위반이나 악의적인 활동을 조사할 수 있습니다.

정책 업데이트 AWS는 이 정책을 유지 관리하고 업데이트합니다. 이 정책의 변경 내역을 보려면 IAM 콘솔에서 정책을 확인한 다음 정책 버전(Policy versions) 탭을 선택합니다. 작업 기능 정책 업데이트에 대한 자세한 내용은 직무에 관한 AWS 관리형 정책 업데이트 섹션을 참조하세요.

정책 설명: 이 정책은 많은 AWS 서비스에 대한 구성 데이터를 확인하고, 해당 로그를 검토할 수 있는 권한을 부여합니다. 관리형 정책에 대한 자세한 내용은 AWS 관리형 정책 참조 가이드의 SecurityAudit를 참조하세요.

지원 사용자 직무

AWS 관리형 정책 이름: SupportUser

사용 사례: 이 사용자는 AWS 지원을 통해 지원 사례를 생성하고 기존 사례의 상태를 확인합니다.

정책 업데이트 AWS는 이 정책을 유지 관리하고 업데이트합니다. 이 정책의 변경 내역을 보려면 IAM 콘솔에서 정책을 확인한 다음 정책 버전(Policy versions) 탭을 선택합니다. 작업 기능 정책 업데이트에 대한 자세한 내용은 직무에 관한 AWS 관리형 정책 업데이트 섹션을 참조하세요.

정책 설명: 이 정책은 AWS Support 사례를 생성하고 업데이트할 수 있는 권한을 부여합니다. 관리형 정책에 대한 자세한 내용은 AWS 관리형 정책 참조 가이드의 SupportUser을 참조하세요.

시스템 관리자 직무

AWS 관리형 정책 이름: SystemAdministrator

사용 사례: 이 사용자는 개발 작업에 필요한 리소스를 설정하고 유지합니다.

정책 업데이트 AWS는 이 정책을 유지 관리하고 업데이트합니다. 이 정책의 변경 내역을 보려면 IAM 콘솔에서 정책을 확인한 다음 정책 버전(Policy versions) 탭을 선택합니다. 작업 기능 정책 업데이트에 대한 자세한 내용은 직무에 관한 AWS 관리형 정책 업데이트 섹션을 참조하세요.

정책 설명: 이 정책은 AWS CloudTrail, Amazon CloudWatch, AWS CodeCommit, AWS CodeDeploy, AWS Config, AWS Directory Service, Amazon EC2, AWS Identity and Access Management, AWS Key Management Service, AWS Lambda, Amazon RDS, Route 53, Amazon S3, Amazon SES, Amazon SQS, AWS Trusted Advisor, Amazon VPC를 포함해 대량의 AWS 서비스에 걸쳐서 리소스를 생성하고 유지할 수 있는 권한을 부여합니다. 관리형 정책에 대한 자세한 내용은 AWS 관리형 정책 참조 가이드의 SystemAdministrator를 참조하세요.

이 직무는 AWS 서비스로 역할을 전달할 수 있는 기능을 필요로 합니다. 이 정책은 다음 표에 명시된 역할에만 iam:GetRole 및 iam:PassRole을 허용합니다. 자세한 내용은 이 주제의 후반부에서 역할 생성 및 정책 연결(콘솔) 섹션을 참조하세요. 작업 기능 정책 업데이트에 대한 자세한 내용은 직무에 관한 AWS 관리형 정책 업데이트 섹션을 참조하세요.

보기 전용 사용자 직무

AWS 관리형 정책 이름: ViewOnlyAccess

사용 사례: 이 사용자는 여러 서비스에 걸쳐 계정 내 AWS 리소스와 기본 메타데이터 목록을 확인할 수 있습니다. 하지만 할당량을 초과하는 리소스 콘텐츠나 메타데이터, 리소스의 목록 정보를 읽을 수 없습니다.

정책 업데이트 AWS는 이 정책을 유지 관리하고 업데이트합니다. 이 정책의 변경 내역을 보려면 IAM 콘솔에서 정책을 확인한 다음 정책 버전(Policy versions) 탭을 선택합니다. 작업 기능 정책 업데이트에 대한 자세한 내용은 직무에 관한 AWS 관리형 정책 업데이트 섹션을 참조하세요.

정책 설명: 이 정책은 AWS 서비스 리소스에 대한 List*, Describe*, Get*, View*, Lookup* 액세스를 부여합니다. 각 서비스에 대해 이 정책에 포함된 작업을 보려면 ViewOnlyAccess 섹션을 참조하세요. 관리형 정책에 대한 자세한 내용은 AWS 관리형 정책 참조 가이드의 ViewOnlyAccess를 참조하세요.

직무에 관한 AWS 관리형 정책 업데이트

이러한 정책은 모두 AWS가 유지하며, AWS 서비스에서 정책을 추가할 때 새로운 서비스와 새로운 기능에 대한 지원을 포함시켜 모든 것을 최신 상태로 유지합니다. 이러한 정책은 고객이 수정할 수 없습니다. 정책 사본을 만든 후 이를 수정할 수 있으나 AWS가 새로운 서비스와 API 작업을 도입할 때 이 사본이 자동으로 업데이트되지는 않습니다.

직무 정책의 경우 IAM 콘솔에서 버전 기록 및 각 업데이트의 시간과 날짜를 볼 수 있습니다. 이렇게 하려면 이 페이지의 링크를 사용하여 정책 세부 정보를 봅니다. 그런 다음 정책 버전(Policy versions) 탭을 클릭하여 버전을 볼 수 있습니다. 이 페이지에는 정책의 최근 25개 버전이 표시됩니다. 정책의 모든 버전을 보려면 get-policy-version AWS CLI 명령 또는 GetPolicyVersion API 작업을 호출합니다.