AWS Identity and Access Management 및 Access Analyzer에 대한 AWS 관리형 정책

AWS 관리형 정책은 AWS에 의해 생성되고 관리되는 독립 실행형 정책입니다. AWS 관리형 정책은 사용자, 그룹 및 역할에 권한 할당을 시작할 수 있도록 많은 일반 사용 사례에 대한 권한을 제공하도록 설계되었습니다.

AWS 관리형 정책은 모든 AWS 고객이 사용할 수 있기 때문에 특정 사용 사례에 대해 최소 권한을 부여하지 않을 수 있습니다. 사용 사례에 고유한 고객 관리형 정책을 정의하여 권한을 줄이는 것이 좋습니다.

AWS 관리형 정책에서 정의한 권한은 변경할 수 없습니다. 만약 AWS이(가) AWS 관리형 정책에 정의된 권한을 업데이트할 경우 정책이 연결되어 있는 모든 보안 주체 엔티티(사용자, 그룹 및 역할)에도 업데이트가 적용됩니다. 새로운 AWS 서비스을(를) 시작하거나 새로운 API 작업을 기존 서비스에 이용하는 경우, AWS이(가) AWS 관리형 정책을 업데이트할 가능성이 높습니다.

자세한 내용은 IAM 사용 설명서의 AWS 관리형 정책을 참조하세요.

IAMReadOnlyAccess

IAM 리소스에 대한 읽기 전용 액세스를 허용하려면 IAMReadOnlyAccess 관리형 정책을 사용합니다. 이 정책은 모든 IAM 리소스를 가져오고 나열할 수 있는 권한을 부여합니다. 이를 통해 사용자, 그룹, 역할, 정책, 자격 증명 공급자 및 MFA 디바이스에 대한 세부 정보 및 활동 보고서를 볼 수 있습니다. 리소스를 생성 또는 삭제하거나 IAM Access Analyzer 리소스에 대한 액세스 권한은 포함되지 않습니다. 이 정책이 지원하는 서비스 및 작업의 전체 목록에 대한 정책을 봅니다.

IAMUserChangePassword

IAM 사용자가 자신의 암호를 변경하도록 허용하려면 이 IAMUserChangePassword 관리형 정책을 사용합니다.

IAM Account settings(계정 설정) 및 Password policy(암호 정책)을 구성하여 IAM 사용자가 IAM 계정 암호를 변경할 수 있도록 허용합니다. 이 작업을 허용하면 IAM은 각 사용자에게 다음 정책을 연결합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:ChangePassword"
            ],
            "Resource": [
                "arn:aws:iam::*:user/${aws:username}"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:GetAccountPasswordPolicy"
            ],
            "Resource": "*"
        }
    ]
}

IAMAccessAnalyzerFullAccess

IAMAccessAnalyzerFullAccess AWS관리형 정책을 사용하여 관리자가 IAM Access Analyzer에 액세스할 수 있도록 합니다.

권한 그룹화

이 정책은 제공된 권한에 따라 명령문으로 그룹화됩니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "access-analyzer:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:CreateServiceLinkedRole",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "iam:AWSServiceName": "access-analyzer.amazonaws.com"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "organizations:DescribeAccount",
        "organizations:DescribeOrganization",
        "organizations:DescribeOrganizationalUnit",
        "organizations:ListAccounts",
        "organizations:ListAccountsForParent",
        "organizations:ListAWSServiceAccessForOrganization",
        "organizations:ListChildren",
        "organizations:ListDelegatedAdministrators",
        "organizations:ListOrganizationalUnitsForParent",
        "organizations:ListParents",
        "organizations:ListRoots"
      ],
      "Resource": "*"
    }
  ]
}

IAMAccessAnalyzerReadOnlyAccess

IAM Access Analyzer에 대한 읽기 전용 액세스를 허용하려면 IAMAccessAnalyzerReadOnlyAccess AWS 관리형 정책을 사용합니다.

AWS Organizations의 IAM Access Analyzer에 대한 읽기 전용 액세스를 허용하려면 IAMAccessAnalyzerFullAccess AWS관리형 정책에서 설명 및 나열 작업을 허용하는 고객 관리형 정책을 생성합니다.

서비스 수준 권한

이 정책은 IAM Access Analyzer에 대한 읽기 전용 액세스를 제공합니다. 이 정책에 다른 서비스 권한은 포함되지 않습니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "IAMAccessAnalyzerReadOnlyAccess",
      "Effect": "Allow",
      "Action": [
        "access-analyzer:CheckAccessNotGranted",
        "access-analyzer:CheckNoNewAccess",
        "access-analyzer:Get*",
        "access-analyzer:List*",
        "access-analyzer:ValidatePolicy"
      ],
      "Resource": "*"
    }
  ]
}

AccessAnalyzerServiceRolePolicy

IAM 엔터티에 AccessAnalyzerServiceRolePolicy를 연결할 수 없습니다. 이 정책은 IAM 액세스 분석기에서 사용자를 대신하여 작업을 수행할 수 있도록 서비스 연결 역할에 연결됩니다. 자세한 내용은 AWS Identity and Access Management 및 Access Analyzer에 서비스 연결 역할 사용을 참조하세요.

권한 그룹화

이 정책을 통해 IAM Access Analyzer에 액세스하여 여러 AWS 서비스에서 리소스 메타데이터를 분석합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccessAnalyzerServiceRolePolicy",
      "Effect": "Allow",
      "Action": [
        "dynamodb:GetResourcePolicy",
        "dynamodb:ListStreams",
        "dynamodb:ListTables",
        "ec2:DescribeAddresses",
        "ec2:DescribeByoipCidrs",
        "ec2:DescribeSnapshotAttribute",
        "ec2:DescribeSnapshots",
        "ec2:DescribeVpcEndpoints",
        "ec2:DescribeVpcs",
        "ec2:GetSnapshotBlockPublicAccessState",
        "ecr:DescribeRepositories",
        "ecr:GetRepositoryPolicy",
        "elasticfilesystem:DescribeFileSystemPolicy",
        "elasticfilesystem:DescribeFileSystems",
        "iam:GetRole",
        "iam:ListEntitiesForPolicy",
        "iam:ListRoles",
        "iam:ListUsers",
        "iam:ListRoleTags",
        "iam:ListUserTags",
        "iam:GetUser",
        "iam:GetGroup",
        "iam:GenerateServiceLastAccessedDetails",
        "iam:GetServiceLastAccessedDetails",
        "iam:ListAccessKeys",
        "iam:GetLoginProfile",
        "iam:GetAccessKeyLastUsed",
        "iam:ListRolePolicies",
        "iam:GetRolePolicy",
        "iam:ListAttachedRolePolicies",
        "iam:ListUserPolicies",
        "iam:GetUserPolicy",
        "iam:ListAttachedUserPolicies",
        "iam:GetPolicy",
        "iam:GetPolicyVersion",
        "iam:ListGroupsForUser",
        "kms:DescribeKey",
        "kms:GetKeyPolicy",
        "kms:ListGrants",
        "kms:ListKeyPolicies",
        "kms:ListKeys",
        "lambda:GetFunctionUrlConfig",
        "lambda:GetLayerVersionPolicy",
        "lambda:GetPolicy",
        "lambda:ListAliases",
        "lambda:ListFunctions",
        "lambda:ListLayers",
        "lambda:ListLayerVersions",
        "lambda:ListVersionsByFunction",
        "organizations:DescribeAccount",
        "organizations:DescribeOrganization",
        "organizations:DescribeOrganizationalUnit",
        "organizations:ListAccounts",
        "organizations:ListAccountsForParent",
        "organizations:ListAWSServiceAccessForOrganization",
        "organizations:ListChildren",
        "organizations:ListDelegatedAdministrators",
        "organizations:ListOrganizationalUnitsForParent",
        "organizations:ListParents",
        "organizations:ListRoots",
        "rds:DescribeDBClusterSnapshotAttributes",
        "rds:DescribeDBClusterSnapshots",
        "rds:DescribeDBSnapshotAttributes",
        "rds:DescribeDBSnapshots",
        "s3:DescribeMultiRegionAccessPointOperation",
        "s3:GetAccessPoint",
        "s3:GetAccessPointPolicy",
        "s3:GetAccessPointPolicyStatus",
        "s3:GetAccountPublicAccessBlock",
        "s3:GetBucketAcl",
        "s3:GetBucketLocation",
        "s3:GetBucketPolicyStatus",
        "s3:GetBucketPolicy",
        "s3:GetBucketPublicAccessBlock",
        "s3:GetMultiRegionAccessPoint",
        "s3:GetMultiRegionAccessPointPolicy",
        "s3:GetMultiRegionAccessPointPolicyStatus",
        "s3:ListAccessPoints",
        "s3:ListAllMyBuckets",
        "s3:ListMultiRegionAccessPoints",
        "s3express:GetBucketPolicy",
        "s3express:ListAllMyDirectoryBuckets",
        "sns:GetTopicAttributes",
        "sns:ListTopics",
        "secretsmanager:DescribeSecret",
        "secretsmanager:GetResourcePolicy",
        "secretsmanager:ListSecrets",
        "sqs:GetQueueAttributes",
        "sqs:ListQueues"
      ],
      "Resource": "*"
    }
  ]
}

IAMAuditRootUserCredentials

멤버 계정의 루트 사용자 자격 증명 상태를 감사하기 위해 AWS Organizations 멤버 계정에서 권한 있는 태스크를 수행할 때 권한 범위를 축소하려면 IAMAuditRootUserCredentials AWS 관리형 정책을 사용합니다. 개별 루트 사용자 자격 증명 정보(루트 사용자 암호, 액세스 키, 서명 인증서 및 MFA)를 나열하거나 가져오고 getAccountSummary API에서 통합 루트 사용자 자격 증명 상태를 가져올 수도 있습니다.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "NotAction": [
            "iam:ListAccessKeys",
            "iam:ListSigningCertificates",
            "iam:GetLoginProfile",
            "iam:ListMFADevices",
            "iam:GetAccountSummary",
            "iam:GetUser",
            "iam:GetAccessKeyLastUsed"  
         ],
         "Effect": "Deny",
         "Resource": "*"
      },
      {
         "Sid": "DenyAuditingCredentialsOnNonRootUserResource",
         "Action": [
            "iam:ListAccessKeys",
            "iam:ListSigningCertificates",
            "iam:GetLoginProfile",
            "iam:ListMFADevices" ,
            "iam:GetUser",
            "iam:GetAccessKeyLastUsed"     
         ],
         "Effect": "Deny",
         "NotResource": "arn:aws:iam::*:root"
      } 
   ]
}

권한 그룹화

이 정책은 제공된 권한에 따라 명령문으로 그룹화됩니다.

IAMCreateRootUserPassword

루트 사용자 자격 증명이 없는 멤버 계정의 암호를 복구할 수 있게 AWS Organizations 멤버 계정에서 권한 있는 태스크를 수행할 때 권한 범위를 축소하려면 IAMCreateRootUserPassword AWS 관리형 정책을 사용합니다.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "NotAction": [
            "iam:CreateLoginProfile",
            "iam:GetLoginProfile"
         ],
         "Effect": "Deny",
         "Resource": "*"
      },
      {
         "Sid": "DenyCreatingPasswordOnNonRootUserResource",
         "Action": [
            "iam:CreateLoginProfile",
            "iam:GetLoginProfile"   
         ],
         "Effect": "Deny",
         "NotResource": "arn:aws:iam::*:root"
      }
   ]
}

권한 그룹화

이 정책은 제공된 권한에 따라 명령문으로 그룹화됩니다.

IAMDeleteRootUserCredentials

암호, 액세스 키, 서명 인증서, MFA 비활성화를 비롯한 루트 사용자 자격 증명을 제거하기 위해 AWS Organizations 멤버 계정에서 권한 있는 태스크를 수행할 때 권한 범위를 축소하려면 IAMDeleteRootUserCredentials AWS 관리형 정책을 사용합니다. 이 권한 있는 작업에는 추가 권한이 필요하므로 마지막으로 사용된 자격 증명 정보를 보고, 멤버 계정 루트 사용자의 마지막으로 사용한 정보를 확인하고, 삭제할 모든 루트 사용자 자격 증명에 대한 권한을 나열할 수 있습니다.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "NotAction": [
            "iam:DeleteAccessKey",
            "iam:DeleteSigningCertificate",
            "iam:DeleteLoginProfile",
            "iam:DeactivateMFADevice",
            "iam:DeleteVirtualMFADevice",
            "iam:ListAccessKeys",
            "iam:ListSigningCertificates",
            "iam:GetLoginProfile",
            "iam:ListMFADevices",
            "iam:GetUser",
            "iam:GetAccessKeyLastUsed"  
         ],
         "Effect": "Deny",
         "Resource": "*"
      },
      {
         "Sid": "DenyDeletingRootUserCredentialsOnNonRootUserResource",
         "Action": [
            "iam:DeleteAccessKey",
            "iam:DeleteSigningCertificate",
            "iam:DeleteLoginProfile",
            "iam:DeactivateMFADevice",
            "iam:DeleteVirtualMFADevice",
            "iam:ListAccessKeys",
            "iam:ListSigningCertificates",
            "iam:GetLoginProfile",
            "iam:ListMFADevices",
            "iam:GetUser",
            "iam:GetAccessKeyLastUsed"  
         ],
         "Effect": "Deny",
         "NotResource": "arn:aws:iam::*:root"
      }
   ]
}

권한 그룹화

이 정책은 제공된 권한에 따라 명령문으로 그룹화됩니다.

S3UnlockBucketPolicy

모든 위탁자의 Amazon S3 버킷 액세스를 거부하는 잘못 구성된 버킷 정책을 제거하기 위해 AWS Organizations 멤버 계정에서 권한 있는 태스크를 수행할 때 권한 범위를 축소하려면 S3UnlockBucketPolicy AWS 관리형 정책을 사용합니다.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "NotAction": [
            "s3:DeleteBucketPolicy",
            "s3:PutBucketPolicy",
            "s3:GetBucketPolicy",
            "s3:ListAllMyBuckets"
         ],
         "Effect": "Deny",
         "Resource": "*"
      },
      {
         "Sid": "DenyManagingBucketPolicyForNonRootCallers",
         "Action": [
            "s3:DeleteBucketPolicy",
            "s3:PutBucketPolicy",
            "s3:GetBucketPolicy",
            "s3:ListAllMyBuckets"
         ],
         "Effect": "Deny",
         "Resource": "*",
         "Condition" : {
            "StringNotLike" : {
               "aws:PrincipalArn" : "arn:aws:iam::*:root"
            }
         }
      }
   ]
}

권한 그룹화

이 정책은 제공된 권한에 따라 명령문으로 그룹화됩니다.

SQSUnlockQueuePolicy

모든 위탁자의 Amazon SQS 대기열 액세스를 거부하는 Amazon Simple Queue Service 리소스 기반 정책을 삭제하기 위해 AWS Organizations 멤버 계정에서 권한 있는 태스크를 수행할 때 권한 범위를 축소하려면 SQSUnlockQueuePolicy AWS 관리형 정책을 사용합니다.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "Effect": "Deny",
         "NotAction": [
            "sqs:SetQueueAttributes",
            "sqs:GetQueueAttributes",
            "sqs:ListQueues",
            "sqs:GetQueueUrl"
         ],
         "Resource": "*"
      },
      {
         "Sid": "DenyGettingQueueAttributesOnNonOwnQueue",
         "Effect": "Deny",
         "Action": [
            "sqs:GetQueueAttributes"
         ],
         "Resource": "arn:aws:sqs:*:*:*",
         "Condition": {
            "StringNotEqualsIfExists": {
               "aws:ResourceAccount": [
               "${aws:PrincipalAccount}"
            ]
         }
      }
   },
   {
      "Sid": "DenyActionsForNonRootUser",
      "Effect": "Deny",
      "Action": [
        "sqs:SetQueueAttributes",
        "sqs:GetQueueAttributes",
        "sqs:ListQueues",
        "sqs:GetQueueUrl"
      ],
      "Resource": "*",
      "Condition" : {
         "StringNotLike" : {
            "aws:PrincipalArn" : "arn:aws:iam::*:root"
            }
         }
      }
   ]
}

권한 그룹화

이 정책은 제공된 권한에 따라 명령문으로 그룹화됩니다.

AWS 관리형 정책에 대한 IAM 및 IAM Access Analyzer 업데이트

서비스가 이러한 변경 내용을 추적하기 시작한 이후부터 IAM 및 AWS 관리형 정책 업데이트에 대한 세부 정보를 확인합니다. 이 페이지의 변경 사항에 대한 자동 알림을 받아보려면 IAM 및 IAM Access Analyzer 문서 기록 페이지에서 RSS 피드를 구독하세요.