MFA를 통한 보안 API 액세스

관리자는 MFA 인증이 필요한 API 요청을 해야 하는 각 사용자에 대해 AWS MFA 디바이스를 구성합니다. 자세한 내용은 IAM의 AWS 다중 인증 단원을 참조하십시오.

관리자는 사용자가 AWS MFA 디바이스로 인증했는지 여부를 확인하는 Condition 요소가 포함된 사용자 정책을 생성합니다.

사용자는 MFA 파라미터를 지원하는 AWS STS API 작업인 AssumeRole 또는 GetSessionToken 중 하나를 호출합니다. 사용자는 사용자와 연결된 디바이스의 디바이스 식별자를 호출에 포함시킵니다. 또한 사용자는 디바이스에 생성하는 시간 기반 일회용 암호(TOTP)도 포함시킵니다. 각각의 경우, 사용자는 AWS에 추가 요청하는 데 사용하기 위해 임시 보안 자격 증명을 다시 가져옵니다.

신뢰하는 계정 A에서 Anaya는 CrossAccountRole이라는 IAM 역할을 생성하고 해당 역할의 신뢰 정책에서 보안 주체를 계정 B의 계정 ID로 설정합니다. 이 신뢰 정책은 AWS STS AssumeRole 작업에 대한 권한을 부여합니다. 또한 Anaya는 다음 예와 같이 신뢰 정책에 MFA 조건을 추가합니다.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Principal": {"AWS": "ACCOUNT-B-ID"},
    "Action": "sts:AssumeRole",
    "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
  }
}

Anaya는 역할이 수행할 수 있는 작업을 지정하는 역할에 권한 정책을 추가합니다. MFA 보호 기능이 포함된 역할의 권한 정책은 다른 역할 권한 정책과 다르지 않습니다. 다음 예제에서는 Anaya가 역할에 추가하는 정책을 보여줍니다. 역할을 수임한 사용자는 이 정책을 통해 계정 A의 Books 테이블에서 Amazon DynamoDB 작업을 수행할 수 있고, 아울러 콘솔에서 작업을 수행할 때 필요한 dynamodb:ListTables 작업을 할 수 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "TableActions",
            "Effect": "Allow",
            "Action": "dynamodb:*",
            "Resource": "arn:aws:dynamodb:*:ACCOUNT-A-ID:table/Books"
        },
        {
            "Sid": "ListTables",
            "Effect": "Allow",
            "Action": "dynamodb:ListTables",
            "Resource": "*"
        }
    ]
}

신뢰할 수 있는 계정 B에서 관리자는 IAM 사용자 Richard가 AWS MFA 디바이스로 구성되었는지, 그리고 그가 이 디바이스의 ID를 알고 있는지 확인합니다. 디바이스 ID란 하드웨어 MFA 디바이스의 경우 일련 번호이며, 가상 MFA 디바이스의 경우 해당 디바이스의 ARN입니다.

계정 B에서 관리자는 사용자 Richard(또는 그가 소속된 그룹)에게 AssumeRole 작업을 호출할 수 있도록 허용하는 다음과 같은 정책을 연결합니다. 리소스는 Anaya가 1단계에서 생성한 역할의 ARN으로 설정됩니다. 이 정책에는 MFA 조건이 포함되어 있지 않습니다.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": ["sts:AssumeRole"],
    "Resource": ["arn:aws:iam::ACCOUNT-A-ID:role/CrossAccountRole"]
  }]
}

계정 B에서 Richard(또는 Richard가 실행하는 애플리케이션)는 AssumeRole을 호출합니다. API 호출에는 위임할 역할의 ARN(arn:aws:iam::ACCOUNT-A-ID:role/CrossAccountRole), MFA 디바이스의 ID 및 Richard가 자신의 디바이스에서 가져오는 현재 TOTP가 포함되어 있습니다.

Richard가 AssumeRole을 호출하면, AWS에서 그가 MFA에 대한 요건을 포함해 유효한 자격 증명을 갖고 있는지 여부를 확인합니다. 만일 Richard가 유효한 자격 증명을 갖고 있다면 성공적으로 역할을 수임해 역할의 임시 자격 증명을 사용함과 동시에 계정 A에서 Books라는 테이블에 대해 어떤 DynamoDB 작업도 수행할 수 있습니다.

AssumeRole을 호출하는 프로그램의 예는 MFA 인증이 포함된 AssumeRole 호출 섹션을 참조하세요.

Anaya는 Sofia가 AWS MFA 디바이스로 구성되었는지, 그리고 Sofia가 이 디바이스의 ID를 알고 있는지 확인합니다. 디바이스 ID란 하드웨어 MFA 디바이스의 경우 일련 번호이며, 가상 MFA 디바이스의 경우 해당 디바이스의 ARN입니다.

Anaya는 EC2-Admins라는 그룹을 생성하고 이 그룹에 사용자 Sofía를 추가합니다.

Anaya는 EC2-Admins 그룹에 다음과 같은 정책을 연결합니다. 이 정책은 사용자에게 Amazon EC2 StopInstances 및 TerminateInstances 작업을 호출할 권한을 부여하는데, 단 이 사용자가 MFA를 사용하여 인증되었을 경우에 한합니다.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "ec2:StopInstances",
      "ec2:TerminateInstances"
    ],
    "Resource": ["*"],
    "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
  }]
}

사용자 Sofía가 Amazon EC2 인스턴스를 중지하거나 종료해야 하는 경우, Sofia(또는 Sofia가 실행하는 애플리케이션)는 GetSessionToken을 호출합니다. 이 API 작업에서는 MFA 디바이스의 ID와 Sofia가 자신의 디바이스에서 가져오는 현재 TOTP를 전달합니다.

사용자 Sofía(또는 Sofía가 사용하는 애플리케이션)는 GetSessionToken에서 제공하는 임시 자격 증명을 사용하여 Amazon EC2 StopInstances 또는 TerminateInstances 작업을 호출합니다.

GetSessionToken을 호출하는 프로그램의 예는 이 문서의 후반부에 있는 MFA 인증이 포함된 GetSessionToken 호출 섹션을 참조하세요.

계정 A에서 Anaya는 Account-A-bucket이라는 버킷을 생성합니다.

Anaya는 이 버킷에 버킷 정책을 추가합니다. 이 정책은 계정 A, 계정 B 또는 계정 C의 모든 사용자가 이 버킷에서 Amazon S3 PutObject 및 DeleteObject 작업을 수행하도록 허용합니다. 이 정책에는 MFA 조건이 포함되어 있습니다.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {"AWS": [
      "ACCOUNT-A-ID",
      "ACCOUNT-B-ID",
      "ACCOUNT-C-ID"
    ]},
    "Action": [
      "s3:PutObject",
      "s3:DeleteObject"
    ],
    "Resource": ["arn:aws:s3:::ACCOUNT-A-BUCKET-NAME/*"],
    "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
  }]
}

계정 C에서 관리자는 사용자 Nikhil이 AWS MFA 디바이스로 구성되어 있고 해당 디바이스의 ID를 알고 있는지 확인합니다. 디바이스 ID란 하드웨어 MFA 디바이스의 경우 일련 번호이며, 가상 MFA 디바이스의 경우 해당 디바이스의 ARN입니다.

계정 C에서 Nikhil(또는 그가 실행하는 애플리케이션)은 GetSessionToken을 호출합니다. 이 호출에는 MFA 디바이스의 ID 또는 ARN과 Nikhil이 자신의 디바이스에서 가져오는 현재 TOTP가 포함되어 있습니다.

Nikhil(또는 그가 사용하는 애플리케이션)은 GetSessionToken에서 반환하는 임시 자격 증명을 사용하여 Account-A-bucket으로 파일을 업로드하는 Amazon S3 PutObject 작업을 호출합니다.

GetSessionToken을 호출하는 프로그램의 예는 이 문서의 후반부에 있는 MFA 인증이 포함된 GetSessionToken 호출 섹션을 참조하세요.