AWS JSON 정책 요소: NotPrincipal

NotPrincipal 요소는 "Effect":"Deny"를 사용하여 NotPrincipal 요소에 지정된 위탁자를 제외한 모든 위탁자의 액세스를 거부합니다. 위탁자는 IAM 사용자, 페더레이션 사용자, IAM 역할, 가정된 역할 세션, AWS 계정, AWS 서비스 또는 기타 위탁자의 유형일 수 있습니다. 위탁자에 대한 자세한 내용은 AWS JSON 정책 요소: Principal 섹션을 참조하세요.

NotPrincipal은 "Effect":"Deny"와 함께 사용해야 합니다. "Effect":"Allow"와 함께 사용은 지원되지 않습니다.

중요 사항

NotPrincipal 요소의 대안

AWS에서 액세스 제어를 관리할 때 지정한 하나 이상의 위탁자를 제외한 리소스에 대한 모든 위탁자 액세스를 명시적으로 거부해야 하는 시나리오가 있을 수 있습니다. AWS는 보다 정확한 제어와 쉬운 문제 해결을 위해 글로벌 조건 컨텍스트 키와 함께 거부 문을 사용할 것을 권장합니다. 다음 예제에서는 StringNotEquals 또는 ArnNotEquals와 같은 조건 연산자를 사용하여 조건 요소에 지정된 위탁자를 제외한 모든 위탁자에 대한 액세스를 거부하는 대체 접근 방식을 보여줍니다.

IAM 역할을 사용하는 예제 시나리오

거부 문과 함께 리소스 기반 정책을 사용하여 조건 요소에 지정된 역할을 제외한 모든 IAM 역할이 리소스에 액세스하거나 조작하지 못하도록 할 수 있습니다. 이러한 접근 방식은 명시적 거부가 항상 모든 허용 문보다 우선한다는 AWS 보안 원칙을 따르며 AWS 인프라 전반에서 최소 권한 원칙을 유지하는 데 도움이 됩니다.

NotPrincipal을 사용하는 대신 ArnNotEquals와 같은 조건 연산자와 전역 조건 컨텍스트 키와 함께 거부 문을 사용하여 IAM 역할이 리소스에 액세스할 수 있도록 명시적으로 허용하는 것이 좋습니다. 다음 예제에서는 aws:PrincipalArn을 사용하여 read-only-role 역할이 Bucket_Account_Audit 폴더의 Amazon S3 버킷에 액세스할 수 있도록 명시적으로 허용합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyCrossAuditAccess",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::Bucket_Account_Audit",
        "arn:aws:s3:::Bucket_Account_Audit/*"
      ],
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": "arn:aws:sts::444455556666:role/read-only-role"
        }
      }
    }
  ]
}

서비스 위탁자를 사용하는 예제 시나리오

거부 문을 사용하여 Condition 요소에 지정된 위탁자를 제외한 모든 서비스 위탁자가 리소스에 액세스하거나 리소스를 조작하지 못하도록 할 수 있습니다. 이 접근 방식은 세분화된 액세스 제어를 구현하거나 AWS 환경의 다양한 서비스와 애플리케이션 간에 보안 경계를 설정해야 하는 경우에 특히 유용합니다.

NotPrincipal을 사용하는 대신 전역 조건 컨텍스트 키가 있는 거부 문과 StringNotEquals와 같은 조건 연산자를 사용하여 리소스에 대한 서비스 위탁자 액세스를 명시적으로 허용하는 것이 좋습니다. 다음 예제에서는 aws:PrincipalServiceName을 사용하여 AWS CodeBuild 서비스 위탁자가 BUCKETNAME 폴더의 Amazon S3 버킷에 액세스할 수 있도록 명시적으로 허용합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNotCodeBuildAccess",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::BUCKETNAME",
        "arn:aws:s3:::BUCKETNAME/*"
      ],
      "Condition": {
        "StringNotEqualsIfExists": {
          "aws:PrincipalServiceName": "codebuild.amazonaws.com"
        }
      }
    }
  ]
}