# IAM 사용자 그룹
IAM [*사용자 그룹*](#id_groups)은 IAM 사용자의 집합입니다. 사용자 그룹을 활용하면 다수의 사용자들에 대한 권한을 지정함으로써 해당 사용자들에 대한 권한을 더 쉽게 관리할 수 있습니다. 예를 들어, *Admins*라는 사용자 그룹이 있고 해당 사용자 그룹에 일반 관리자 권한을 부여할 수 있습니다. 해당 사용자 그룹의 모든 사용자는 자동으로 *Admins* 그룹 권한을 갖습니다. 관리자 권한을 필요로 하는 새로운 사용자가 조직에 들어올 경우 해당 사용자를 *Admins* 사용자 그룹에 추가하여 적절한 권한을 할당할 수 있습니다. 조직에서 직원의 업무가 바뀌면 해당 사용자의 권한을 편집하는 대신 이전 IAM 그룹에서 해당 사용자를 제거한 후 적절한 새 IAM 그룹에 추가하면 됩니다.
사용자 그룹의 모든 사용자가 정책의 권한을 받도록 아이덴티티 기반 정책을 사용자 그룹에 연결할 수 있습니다. 그룹은 인증이 아니라 권한과 관련이 있고 보안 주체는 인증된 IAM 엔터티이기 때문에 정책(예: 리소스 기반 정책)에서 사용자 그룹을 `Principal`로 식별할 수 없습니다. 정책 유형에 대한 자세한 정보는 [자격 증명 기반 정책 및 리소스 기반 정책](access_policies_identity-vs-resource.md) 섹션을 참조하세요.
다음은 IAM 그룹이 갖는 몇 가지 중요한 특징입니다.
+ 한 사용자 그룹에 여러 사용자가 포함될 수 있으며 한 사용자가 다중 사용자 그룹에 속할 수 있습니다.
+ 사용자 그룹은 중첩될 수 없습니다. 즉, IAM 그룹은 사용자만 포함할 수 있으며 다른 그룹은 포함할 수 없습니다.
+ AWS 계정의 모든 사용자를 자동으로 포함하는 기본 사용자 그룹은 없습니다. 이러한 사용자 그룹이 필요한 경우 하나 만들어 새로운 사용자를 각각 해당 그룹에 할당해야 합니다.
+ 그룹 수, 사용자가 멤버가 될 수 있는 그룹 수와 같이 AWS 계정에 있는 IAM 리소스의 수와 크기는 제한되어 있습니다. 자세한 내용은 [IAM 및 AWS STS 할당량](reference_iam-quotas.md) 단원을 참조하십시오.
다음 다이어그램에서는 어느 작은 회사의 간단한 예제를 보여줍니다. 회사 소유주는 `Admins` 사용자 그룹을 생성해 회사가 성장함에 따라 사용자들이 다른 사용자들을 생성하고 관리하도록 합니다. `Admins` 사용자 그룹은 `Developers` 사용자 그룹 및 `Test` 사용자 그룹을 생성합니다. 이러한 IAM 그룹은 각각 AWS와 상호 작용하는 사용자(사람 및 애플리케이션: Jim, Brad, DevApp1 등)들로 구성됩니다. 사용자마다 개별적인 보안 자격 증명 세트가 있습니다. 이 예제에서는 각 사용자가 단일 사용자 그룹에 속합니다. 하지만 사용자는 여러 IAM 그룹에 속할 수 있습니다.
![\[AWS 계정, 사용자 및 IAM 그룹 간 관계의 예\]](http://docs.aws.amazon.com/ko_kr/IAM/latest/UserGuide/images/Relationship_Between_Entities_Example.diagram.png)
# IAM 그룹 생성
**참고**
[가장 좋은 방법](best-practices.md)은 인간 사용자가 ID 제공업체와의 페더레이션을 사용하여 임시 보안 인증으로 AWS에 액세스하도록 하는 것입니다. 이 방법을 따르는 경우 사용자가 IAM 사용자 및 그룹을 관리하지 않습니다. 대신 사용자와 그룹은 AWS 외부에서 관리되며 *페더레이션형 ID*로 AWS 리소스에 액세스할 수 있습니다. AWS 페더레이션형 ID는 엔터프라이즈 사용자 디렉터리, 웹 ID 제공업체, Directory Service, Identity Center 디렉터리의 사용자 또는 ID 소스를 통해 제공된 보안 인증을 사용하여 AWS 서비스에 액세스하는 모든 사용자입니다. 페더레이션형 ID는 ID 제공업체에서 정의한 그룹을 사용합니다. AWS IAM Identity Center를 사용하는 경우 IAM Identity Center에서 사용자 및 그룹 생성에 대한 자세한 내용은 *AWS IAM Identity Center User Guide*(SSO 사용 설명서)의 [Manage identities in IAM Identity Center](https://docs.aws.amazon.com/singlesignon/latest/userguide/manage-your-identity-source-sso.html)(IAM Identity Center에서 ID 관리)를 참조하세요.
IAM 그룹을 생성하여 유사한 역할 또는 책임을 가진 여러 사용자의 액세스 권한을 관리합니다. 이러한 그룹에 정책을 연결하여 전체 사용자 집합에 대한 권한을 부여하거나 취소할 수 있습니다. 이렇게 하면 그룹의 권한에 대한 변경 사항이 해당 그룹의 모든 멤버에게 자동으로 적용되므로 보안 정책의 유지 관리가 간소화되어 일관된 액세스 제어가 보장됩니다. 그룹을 생성한 후 그룹의 IAM 사용자가 할 수 있는 작업 유형에 따라 그룹에 권한을 부여한 다음 그룹에 IAM 사용자를 추가합니다.
IAM 그룹을 생성하는 데 필요한 권한에 대한 자세한 내용은 [IAM 리소스에 액세스하는 데 필요한 권한](access_permissions-required.md) 섹션을 참조하세요.
## IAM 그룹 생성 및 정책 연결
------
#### [ Console ]
1. AWS Management Console에 로그인하여 [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) 에서 IAM 콘솔을 엽니다.
1. 탐색 창에서 **사용자 그룹(User groups)**을 선택한 다음, **그룹 생성(Create group)**을 선택합니다.
1. **사용자 그룹 이름(User group name)**에 그룹의 이름을 입력합니다.
**참고**
AWS 계정의 IAM 리소스 수와 크기는 제한되어 있습니다. 자세한 내용은 [IAM 및 AWS STS 할당량](reference_iam-quotas.md) 섹션을 참조하세요. 그룹 이름에는 최대 128개의 문자, 숫자 및 더하기(\$1), 등호(=), 쉼표(,), 마침표(.), 앳(@), 밑줄(\$1) 및 하이픈(-) 조합을 사용할 수 있습니다. 이름은 계정 내에서 고유해야 합니다. 대소문자를 구분하지 않습니다. 예를 들어 이름이 **ADMINS** 및 **admins**, 두 가지로 지정된 그룹을 만들 수는 없습니다.
1. 사용자 목록에서 그룹에 추가하고자 하는 각 사용자의 확인란을 선택합니다.
1. 정책 목록에서 그룹 멤버 전체에 적용하고자 하는 정책 이름마다 확인란을 선택합니다.
1. **그룹 생성**을 선택합니다.
------
#### [ AWS CLI ]
다음 명령 실행:
+ [aws iam create-group](https://docs.aws.amazon.com/cli/latest/reference/iam/create-group.html)
------
#### [ API ]
다음 작업을 직접 호출:
+ [CreateGroup](https://docs.aws.amazon.com/IAM/latest/APIReference/API_CreateGroup.html)
------
# IAM 그룹 보기
계정의 모든 IAM 그룹, 특정 사용자 그룹에 속한 사용자 및 특정 사용자가 속한 IAM 그룹을 나열할 수 있습니다. CLI 또는 API를 사용하는 경우 특정 경로 접두사를 사용해 전체 IAM 그룹을 나열할 수 있습니다.
------
#### [ Console ]
계정에 속한 모든 IAM 그룹 나열
+ 탐색 창에서 **사용자 그룹**을 선택합니다.
특정 IAM 그룹에 속한 IAM 사용자 나열
+ 탐색 창에서 **사용자 그룹**을 선택합니다. 그런 다음 그룹의 이름을 선택하여 그룹 세부 정보 페이지를 엽니다. **사용자** 탭을 검토하여 그룹 멤버십을 확인합니다.
사용자가 속한 모든 IAM 그룹 나열
+ 탐색 창에서 **사용자**를 선택합니다. 그런 다음 사용자 이름을 선택하여 사용자 세부 정보 페이지를 엽니다. **그룹** 탭을 선택하여 사용자가 속한 그룹 목록을 확인합니다.
------
#### [ AWS CLI ]
계정에 속한 모든 IAM 그룹 나열
+ [aws iam list-groups](https://docs.aws.amazon.com/cli/latest/reference/iam/list-groups.html)
특정 IAM 그룹에 속한 사용자 나열
+ [aws iam get-group](https://docs.aws.amazon.com/cli/latest/reference/iam/get-group.html)
사용자가 속한 모든 IAM 그룹 나열
+ [aws iam list-groups-for-user](https://docs.aws.amazon.com/cli/latest/reference/iam/list-groups-for-user.html)
------
#### [ API ]
계정에 속한 모든 IAM 그룹 나열
+ [ListGroups](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListGroups.html)
특정 IAM 그룹에 속한 사용자 나열
+ [GetGroup](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetGroup.html)
사용자가 속한 모든 IAM 그룹 나열
+ [ListGroupsForUser](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListGroupsForUser.html)
------
# IAM 그룹의 사용자 편집
IAM 그룹을 사용하여 한 번에 여러 사용자에게 동일한 권한 정책을 적용합니다. 그런 다음 IAM 그룹에서 사용자를 추가하거나 제거할 수 있습니다. 이 기능은 사람들이 조직에 들어오거나 조직을 떠날 때 유용합니다.
## 정책 액세스 검토
그룹을 제거하기 전에 그룹 세부 정보 페이지를 사용하여 그룹의 멤버(IAM 사용자)와 **권한** 탭에서 그룹에 연결된 정책을 검토하고 **마지막 액세스** 탭을 사용하여 최근 서비스 수준 활동을 검토합니다. 이렇게 하면 이를 사용하는 위탁자(개인 또는 애플리케이션)의 액세스 권한이 의도치 않게 제거되는 것을 방지하는 데 도움이 됩니다. 마지막으로 액세스한 정보 보기에 대한 자세한 내용은 [마지막으로 액세스한 정보를 사용하여 AWS에서 권한 재정의](access_policies_last-accessed.md) 섹션을 참조하세요.
## IAM 그룹에 IAM 사용자 추가
------
#### [ Console ]
1. AWS Management Console에 로그인하여 [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) 에서 IAM 콘솔을 엽니다.
1. 탐색 창에서 **사용자 그룹(User groups)**을 선택한 다음 그룹 이름을 선택합니다.
1. **사용자(Users)** 탭을 선택한 후 **사용자 추가(Add Users)**를 선택합니다. 추가할 사용자 옆에 있는 확인란을 선택합니다.
1. **사용자 추가(Add users)**를 선택합니다.
------
#### [ AWS CLI ]
다음 명령 실행:
+ `[aws iam add-user-to-group](https://docs.aws.amazon.com/cli/latest/reference/iam/add-user-to-group.html)`
------
#### [ API ]
다음 작업을 직접 호출:
+ `[AddUserToGroup](https://docs.aws.amazon.com/IAM/latest/APIReference/API_AddUserToGroup.html)`
------
## IAM 그룹에서 IAM 사용자 제거
------
#### [ Console ]
1. AWS Management Console에 로그인하여 [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) 에서 IAM 콘솔을 엽니다.
1. 탐색 창에서 **사용자 그룹(User groups)**을 선택한 다음 그룹 이름을 선택합니다.
1. **사용자** 탭을 선택합니다. 제거할 사용자 옆에 있는 확인란을 선택한 다음 **사용자 제거(Remove users)**를 선택합니다.
------
#### [ AWS CLI ]
다음 명령 실행:
+ `[aws iam remove-user-from-group](https://docs.aws.amazon.com/cli/latest/reference/iam/remove-user-from-group.html)`
------
#### [ API ]
다음 작업을 직접 호출:
+ `[RemoveUserFromGroup](https://docs.aws.amazon.com/IAM/latest/APIReference/API_RemoveUserFromGroup.html)`
------
# IAM 사용자 그룹에 정책 연결
다음 단계에 설명된 대로 사용자 그룹에 [AWS 관리형 정책](access_policies_managed-vs-inline.md#aws-managed-policies), 즉 AWS가 제공하는 미리 작성된 정책을 연결할 수 있습니다. 고객 관리형 정책, 즉 사용자가 생성한 사용자 지정 권한이 있는 정책을 연결하려면 먼저 정책을 생성해야 합니다. 고객 관리형 정책 만들기에 대한 자세한 내용은 [고객 관리형 정책으로 사용자 지정 IAM 권한 정의](access_policies_create.md) 섹션을 참조하세요.
권한 및 정책에 대한 자세한 내용은 [AWS리소스에 대한 액세스 관리](access.md)을 참조하세요.
## IAM 그룹에 정책 연결
------
#### [ Console ]
1. AWS Management Console에 로그인하여 [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) 에서 IAM 콘솔을 엽니다.
1. 탐색 창에서 **사용자 그룹(User groups)**을 선택한 다음 그룹 이름을 선택합니다.
1. **권한** 탭을 선택합니다.
1. **권한 추가**를 선택한 다음, **정책 연결**을 선택합니다.
1. 사용자 그룹에 연결된 현재 정책이 **현재 권한 정책(Current permissions policies)** 목록에 표시됩니다. **기타 권한 정책(Other permissions policies)**의 목록에서 연결할 정책 이름 옆의 확인란을 선택합니다. 검색 상자를 사용하여 정책 목록을 유형 및 정책 이름별로 필터링할 수 있습니다.
1. IAM 그룹에 연결하려는 정책을 선택하고 **정책 연결**을 선택합니다.
------
#### [ AWS CLI ]
다음 명령 실행:
+ `[aws iam attach-group-policy](https://docs.aws.amazon.com/cli/latest/reference/iam/attach-group-policy.html)`
------
#### [ API ]
다음 작업을 직접 호출:
+ `[AttachGroupPolicy](https://docs.aws.amazon.com/IAM/latest/APIReference/API_AttachGroupPolicy.html)`
------
# IAM 사용자 그룹 이름 변경
사용자 그룹의 이름 또는 경로를 변경하면 다음과 같이 진행됩니다.
+ 사용자 그룹에 연결된 정책은 새 이름의 그룹에 그대로 유지됩니다.
+ 사용자 그룹의 모든 사용자도 새로운 이름의 그룹에 그대로 유지됩니다.
+ 사용자 그룹의 고유 ID는 변동 없이 유지됩니다. 고유 ID에 대한 자세한 내용은 [고유 식별자](reference_identifiers.md#identifiers-unique-ids) 섹션을 참조하세요.
해당 사용자 그룹을 리소스로 참조하는 정책은 새 이름을 사용하도록 IAM에서 자동으로 업데이트하지 않습니다. 따라서 사용자 그룹 이름을 변경할 때는 주의해야 합니다. 사용자 그룹의 이름을 바꾸기 전에 모든 정책을 수동으로 확인해 해당 사용자 그룹이 이름으로 언급된 모든 정책을 찾아야 합니다. Bob이라는 직원이 회사의 테스트 부서 관리자인 경우를 예로 들어 보겠습니다. Bob의 IAM 사용자 엔터티에는 정책이 연결되어 있고 이 정책에 따라 Bob은 테스트 사용자 그룹의 사용자를 추가하거나 제거할 수 있습니다. 관리자가 사용자 그룹의 이름이나 그룹 경로를 변경하는 경우, 관리자는 Bob에게 연결된 정책도 업데이트하여 새 이름이나 경로를 사용하도록 해야 합니다. 그러지 않으면 Bob은 사용자 그룹에 사용자를 추가할 수도 그룹에서 사용자를 제거할 수도 없습니다.
**IAM 그룹을 리소스로 참조하는 정책 찾기**
1. IAM 콘솔의 탐색 창에서 **정책(Policies)**을 선택합니다.
1. **유형(Type)** 열을 기준으로 정렬하여 **고객 관리형(Customer managed)** 사용자 지정 정책을 찾습니다.
1. 편집할 정책의 정책 이름을 선택합니다.
1. **권한** 탭을 선택한 후 **요약**을 선택합니다.
1. 서비스 목록에서 **IAM**이 있으면 선택합니다.
1. **리소스(Resource)** 열에서 사용자 그룹의 이름을 찾습니다.
1. **편집**을 선택하여 정책에서 사용자 그룹 이름을 변경합니다.
## IAM 사용자 그룹의 이름을 변경하려면
------
#### [ Console ]
1. 탐색 창에서 **사용자 그룹**을 선택하고 그룹 이름을 선택합니다.
1. **편집**을 선택합니다. 새 사용자 그룹 이름을 입력한 다음 **변경 사항 저장(Save changes)**을 선택합니다.
------
#### [ AWS CLI ]
다음 명령 실행:
+ [aws iam update-group](https://docs.aws.amazon.com/cli/latest/reference/iam/update-group.html)
------
#### [ API ]
다음 작업을 직접 호출:
+ [UpdateGroup](https://docs.aws.amazon.com/IAM/latest/APIReference/API_UpdateGroup.html)
------
# IAM 그룹 삭제
콘솔에서 IAM 그룹을 삭제하면 콘솔은 모든 그룹 구성원을 자동으로 제거하고 연결된 모든 관리형 정책을 분리하며, 모든 인라인 정책들을 삭제합니다. 그러나 IAM은 IAM 그룹을 리소스로 참조하는 정책을 자동으로 삭제하지 않기 때문에 IAM 그룹을 삭제할 때 주의해야 합니다. IAM 그룹을 삭제하기 전에 정책을 수동으로 검토하여 해당 그룹이 이름으로 언급된 모든 정책을 찾습니다. 예를 들어, 테스트 팀 관리자인 John은 IAM 사용자 엔터티에 연결된 정책을 갖고 있어 테스트 사용자 그룹에서 사용자를 추가하고 제거할 수 있습니다. 관리자는 그룹을 삭제할 경우 John에게 연결된 정책도 삭제해야 합니다. 그렇지 않고 관리자가 삭제된 그룹을 다시 생성하고 동일한 이름을 지정하면 John이 테스트 팀을 떠나더라도 존의 권한은 그대로 유지됩니다.
반면에 CLI, SDK 또는 API를 사용하여 그룹을 삭제할 경우에는 먼저 그룹의 사용자를 제거합니다. 그런 다음 IAM 그룹에 포함된 인라인 정책을 삭제합니다. 그런 다음 그룹에 연결된 관리형 정책을 모두 분리합니다. 그런 다음 IAM 그룹 자체를 삭제할 수 있습니다.
------
#### [ Console ]
1. AWS Management Console에 로그인하여 [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) 에서 IAM 콘솔을 엽니다.
1. 탐색 창에서 **사용자 그룹(User groups)**을 선택합니다.
1. IAM 그룹 목록에서 삭제할 IAM 그룹 이름 옆의 확인란을 선택합니다. 검색 상자를 사용하여 IAM 그룹 목록을 유형, 권한 및 그룹 이름별로 필터링할 수 있습니다.
1. **삭제**를 선택합니다.
1. 확인 상자에서 단일 그룹을 삭제하려면 그룹 이름을 입력하고 **삭제**를 선택합니다. 여러 그룹을 삭제하려면 삭제할 IAM 그룹 수와 **user groups**를 차례로 입력하고 **삭제**를 선택합니다. 예를 들어 3개의 그룹을 삭제하려는 경우 **3 **user groups****를 입력합니다.
------
#### [ AWS CLI ]
1. IAM 그룹에서 모든 사용자를 제거합니다.
+ [aws iam get-group](https://docs.aws.amazon.com/cli/latest/reference/iam/get-group.html)(IAM 그룹의 사용자 목록을 가져오는 방법), [aws iam remove-user-from-group](https://docs.aws.amazon.com/cli/latest/reference/iam/remove-user-from-group.html)(IAM 그룹에서 사용자를 제거하는 방법)
1. IAM 그룹에 삽입된 인라인 정책을 모두 삭제합니다.
+ [aws iam list-group-policies](https://docs.aws.amazon.com/cli/latest/reference/iam/list-group-policies.html)(IAM 그룹의 인라인 정책 목록을 가져오는 방법), [aws iam delete-group-policy](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-group-policy.html)(IAM 그룹의 인라인 정책을 삭제하는 방법)
1. IAM 그룹에 추가된 관리형 정책을 모두 분리합니다.
+ [aws iam list-attached-group-policies](https://docs.aws.amazon.com/cli/latest/reference/iam/list-attached-group-policies.html)(IAM 그룹에 추가된 관리형 정책 목록을 가져오는 방법), [aws iam detach-group-policy](https://docs.aws.amazon.com/cli/latest/reference/iam/detach-group-policy.html)(IAM 그룹에서 관리형 정책을 분리하는 방법)
1. IAM 그룹을 삭제합니다.
+ [aws iam delete-group](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-group.html)
------
#### [ API ]
1. IAM 그룹에서 모든 사용자를 제거합니다.
+ [GetGroup](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetGroup.html)(IAM 그룹의 사용자 목록 확인) 및 [RemoveUserFromGroup](https://docs.aws.amazon.com/IAM/latest/APIReference/API_RemoveUserFromGroup.html)(IAM 그룹에서 사용자 제거)
1. IAM 그룹에 포함된 인라인 정책을 모두 삭제합니다.
+ [ListGroupPolicies](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListGroupPolicies.html)(IAM 그룹의 인라인 정책 목록 확인) 및 [DeleteGroupPolicy](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteGroupPolicy.html)(IAM 그룹의 인라인 정책 삭제)
1. IAM 그룹에 추가된 관리형 정책을 모두 분리합니다.
+ [ListAttachedGroupPolicies](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListAttachedGroupPolicies.html)(IAM 그룹에 연결된 관리형 정책의 목록 확인) 및 [DetachGroupPolicy](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DetachGroupPolicy.html)(IAM 그룹에서 관리형 정책 연결 분리)
1. IAM 그룹을 삭제합니다.
+ [DeleteGroup](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteGroup.html)
------