액세스 거부 오류 메시지 문제 해결
다음 정보는 AWS Identity and Access Management에서 액세스 거부 오류를 식별, 진단 및 해결하는 데 도움이 될 수 있습니다. 액세스 거부 오류는 AWS가 권한 부여 요청을 명시적 또는 암시적으로 거부할 때 나타납니다.
-
명시적 거부는 정책에 특정 AWS 작업에 대한
Deny
문이 포함되어 있을 때 발생합니다. -
적용 가능한
Deny
문이 없고 적용 가능한Allow
문도 없다면 암시적 거부가 발생합니다. IAM 정책은 기본적으로 IAM 보안 주체를 거부하므로 정책은 보안 주체가 작업을 수행하도록 명시적으로 허용해야 합니다. 그렇지 않으면 정책이 암시적으로 액세스를 거부합니다. 자세한 내용은 명시적 거부와 묵시적 거부 차이 단원을 참조하십시오.
서비스 또는 리소스에 요청하는 경우 요청에 여러 정책이 적용될 수 있습니다. 오류 메시지에 지정된 정책 외에 적용 가능한 모든 정책을 검토하세요.
-
동일한 정책 유형의 여러 정책에서 요청을 거부하는 경우 액세스 거부 오류 메시지에서 평가된 정책 수를 지정하지 않습니다.
-
여러 정책 유형이 권한 부여 요청을 거부하는 경우 AWS는 오류 메시지에 이러한 정책 유형 중 하나만 포함됩니다.
중요
AWS에 로그인하는 데 문제가 있나요? 사용자 유형에 맞는 올바른 AWS 로그인 페이지에 있는지 확인합니다. AWS 계정 루트 사용자(계정 소유자)인 경우 AWS 계정을 생성할 때 설정한 보안 인증을 사용하여 AWS에 로그인할 수 있습니다. IAM 사용자인 경우 계정 관리자가 AWS 로그인 자격 증명을 제공할 수 있습니다. 지원을 요청해야 하는 경우 이 페이지의 피드백 링크를 사용하지 않도록 하세요. 양식은 AWS Support이 아닌 AWS 설명서 팀에서 접수합니다. 대신 Contact Us
AWS 서비스에 요청하면 ‘액세스 거부됨’ 오류 메시지가 표시됨
-
오류 메시지에 액세스 거부의 원인이 되는 정책 유형이 포함되어 있는지 확인합니다. 예를 들어, 오류 메시지에 서비스 제어 정책(SCP)으로 인해 액세스가 거부되었다고 표시되면 SCP 문제를 해결하는 데 집중할 수 있습니다. 정책 유형을 식별한 후에는 해당 정책 유형에서 거부 문이나 누락된 허용 작업이 있는지 확인할 수 있습니다. 오류 메시지에 액세스 거부의 원인이 되는 정책 유형이 언급되지 않은 경우 이 섹션의 나머지 지침을 사용하여 추가 문제를 해결합니다.
-
요청한 작업 및 리소스를 호출할 자격 증명 기반 정책 권한이 있는지 확인합니다. 조건이 설정된 경우 요청을 보낼 때 그러한 조건 또한 충족해야 합니다. IAM 사용자, 그룹 또는 역할에 대한 정책을 보거나 수정하는 방법에 대한 자세한 내용은 IAM 정책 관리 섹션을 참조하세요.
-
AWS Management Console에서 작업을 수행할 권한이 없다는 메시지를 반환하는 경우 관리자에게 문의하여 도움을 받아야 합니다. 관리자가 로그인 자격 증명 또는 로그인 링크를 제공했습니다.
다음 예제 오류는
mateojackson
IAM 사용자가 콘솔을 사용하여 가상
리소스에 대한 세부 정보를 보려고 하지만 가상my-example-widget
widgets:
권한이 없을 때 발생합니다.GetWidget
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: widgets:
GetWidget
on resource:my-example-widget
이 경우 Mateo는
작업을 사용하여my-example-widget
widgets:
리소스에 액세스하도록 허용하는 정책을 업데이트하라고 관리자에게 요청합니다.GetWidget
-
리소스 기반 정책을 지원하는 서비스(예: Amazon S3, Amazon SNS 또는 Amazon SQS)에 액세스하려 하나요? 그러한 경우 정책에서 사용자를 보안 주체로 지정하고 액세스 권한을 부여하는지 확인하세요. 자신의 계정 내에서 서비스를 요청하는 경우 자격 증명 기반 정책이나 리소스 기반 정책에서 요청자에게 권한을 부여할 수 있습니다. 다른 계정에서 서비스를 요청하는 경우 자격 증명 기반 정책 및 리소스 기반 정책 모두에서 요청자에게 권한을 부여해야 합니다. 리소스 기반 정책을 지원하는 서비스를 보려면 AWS IAM으로 작업하는 서비스 섹션을 참조하세요.
-
정책에 키 값 페어가 있는 조건이 포함된 경우 이를 주의하여 검토하세요. aws:RequestTag/tag-key 전역 조건 키, AWS KMS
kms:EncryptionContext:
및 여러 서비스에서 지원하는encryption_context_key
ResourceTag/
조건 키가 그 예입니다. 키 이름이 여러 개의 결과와 일치하지 않도록 하세요. 조건 키 이름이 대/소문자를 구분하지 않으므로 이름이tag-key
foo
인 키를 검사하는 조건은foo
,Foo
또는FOO
와 일치합니다. 대/소문자로만 구분되는 키 이름을 가진 여러 키 값 페어가 요청에 포함된 경우 액세스가 예기치 않게 거부될 수 있습니다. 자세한 내용은 IAM JSON 정책 요소: Condition 단원을 참조하십시오. -
권한 경계가 있다면, 권한 경계에 사용된 정책이 요청을 허용하는지 확인합니다. 자격 증명 기반 정책에서는 요청이 허용되지만 권한 경계에서는 허용되지 않는 경우 요청이 거부됩니다. 이 권한 경계는 IAM 보안 주체(사용자나 역할)에 부여할 수 있는 최대 권한을 제어합니다. 리소스 기반 정책은 권한 경계에 제한을 받지 않습니다. 권한 경계는 일반적이지 않습니다. AWS가 정책을 평가하는 방식에 대한 자세한 정보는 정책 평가 로직 섹션을 참조하세요.
-
(AWS SDK
를 사용하지 않고) 요청에 수동으로 서명할 경우, 요청에 올바르게 서명했는지 확인합니다.
임시 보안 자격 증명으로 요청하면 "액세스 거부"가 발생합니다
-
우선, 임시 자격 증명과 무관한 이유로 액세스가 거부되지는 않았는지 확인합니다. 자세한 내용은 AWS 서비스에 요청하면 ‘액세스 거부됨’ 오류 메시지가 표시됨 단원을 참조하십시오.
-
AWS IAM으로 작업하는 서비스 단원을 참조하여 서비스에서 임시 보안 자격 증명을 허용하는지 확인합니다.
-
요청에 올바르게 서명했고 요청이 잘 구성되었는지 확인합니다. 자세한 정보는 도구 키트
문서 또는 AWS 리소스에서 임시 자격 증명 사용 섹션을 참조하세요. -
임시 보안 자격 증명이 만료되지 않았는지 확인합니다. 자세한 내용은 IAM의 임시 보안 자격 증명 단원을 참조하십시오.
-
IAM 사용자 또는 역할 권한이 올바른지 확인합니다. 임시 보안 자격 증명에 대한 권한은 IAM 사용자 또는 역할에서 파생됩니다. 결과적으로 위임한 역할(임시 자격 증명이 제공됨)에 부여된 권한으로 제한됩니다. 임시 보안 자격 증명의 권한이 결정되는 방법에 대한 자세한 정보는 사용자 임시 보안 자격 증명에 대한 권한 제어 섹션을 참조하세요.
-
역할을 수임한 경우 역할 세션이 세션 정책에 의해 제한되었을 수 있습니다. AWS STS 사용을 통해 프로그래밍 방식으로 임시 보안 자격 증명을 요청한 경우 인라인 또는 관리형 세션 정책을 전달할 수 있습니다. 세션 정책은 역할 대해 임시 세션을 프로그래밍 방식으로 생성할 때 파라미터로 전달하는 고급 정책입니다.
Policy
파라미터를 사용하여 단일 JSON 인라인 세션 정책 문서를 전달할 수 있습니다.PolicyArns
파라미터를 사용하여 최대 10개까지 관리형 세션 정책을 지정할 수 있습니다. 결과적으로 얻는 세션의 권한은 사용자 또는 역할의 자격 증명 기반 정책의 교집합과 세션 정책입니다. 또는 관리자 또는 사용자 프로그램에서 임시 자격 증명을 제공한 경우 세션 정책에 포함되어 액세스를 제한했을 수 있습니다. -
페더레이션 사용자인 경우 세션이 세션 정책에 의해 제한되었을 수 있습니다. IAM 사용자로 AWS에 로그인하여 페더레이션 사용자가 된 후 연동 토큰을 요청합니다. 페더레이션 사용자에 대한 자세한 내용은 GetFederationToken - 사용자 지정 아이덴티티 브로커를 통한 페더레이션 섹션을 참조하세요. 사용자 또는 사용자의 자격 증명 브로커가 연동 토큰을 요청하는 동안 세션 정책을 전달한 경우 세션이 이러한 정책에 의해 제한됩니다. 결과적으로 얻는 세션의 권한은 IAM 사용자 자격 증명 기반 정책의 교집합과 세션 정책입니다. 세션 정책에 대한 자세한 정보는 세션 정책 섹션을 참조하세요.
-
역할을 사용하여 리소스 기반 정책이 있는 리소스에 액세스할 경우, 해당 정책에서 역할에 권한을 부여하는지 확인합니다. 예를 들어, 다음과 같은 정책에서는 계정
MyRole
의111122223333
이MyBucket
에 액세스하도록 허용합니다.{ "Version": "2012-10-17", "Statement": [{ "Sid": "S3BucketPolicy", "Effect": "Allow", "Principal": {"AWS": ["arn:aws:iam::111122223333:role/MyRole"]}, "Action": ["s3:PutObject"], "Resource": ["arn:aws:s3:::MyBucket/*"] }] }
액세스 거부 오류 메시지 예제
대부분의 액세스 거부 오류 메시지는 User
형식으로 나타납니다. 이 예제에서 user
is not authorized to perform
action
on resource
because
context
user
는 액세스를 수신하지 않는 Amazon 리소스 이름(ARN)이고, action
은 정책이 거부하는 서비스 작업이고, resource
는 정책이 작용하는 리소스의 ARN입니다. context
필드는 정책이 액세스를 거부한 이유를 설명하는 정책 유형에 대한 추가 컨텍스트를 나타냅니다.
정책에 Deny
문이 포함되어 있어 정책이 액세스를 명시적으로 거부하는 경우 AWS는 액세스 거부 오류 메시지에 with an explicit deny in a
라는 구절을 포함합니다. 정책이 암시적으로 액세스를 거부하는 경우 AWS는 액세스 거부 오류 메시지에 type
policybecause no
이라는 구절을 포함합니다.type
policy allows the
action
action
참고
일부 AWS 서비스는 이 액세스 거부 오류 메시지 형식을 지원하지 않습니다. 액세스 거부 오류 메시지의 내용은 권한 부여를 요청하는 서비스에 따라 달라질 수 있습니다.
다음 예제는 다양한 유형의 액세스 거부 오류 메시지의 형식을 보여줍니다.
서비스 제어 정책으로 인한 액세스 거부 - 암묵적 거부
-
서비스 제어 정책(SCP)에서 작업에 대한 누락된
Allow
문이 있는지 확인합니다. 다음 예제에서 작업은codecommit:ListRepositories
입니다. -
Allow
문을 추가하여 SCP를 업데이트합니다. 자세한 내용은 AWS Organizations 사용 설명서의 SCP 업데이트를 참조하세요.
User: arn:aws:iam::777788889999:user/JohnDoe is not authorized to perform: codecommit:ListRepositories because no service control policy allows the codecommit:ListRespositories action
서비스 제어 정책으로 인한 액세스 거부 - 명시적 거부
-
서비스 제어 정책(SCP)에서 작업에 대한
Deny
문이 있는지 확인합니다. 다음 예제에서 작업은codecommit:ListRepositories
입니다. -
Deny
문을 제거하여 SCP를 업데이트합니다. 자세한 내용은 AWS Organizations 사용 설명서의 SCP 업데이트를 참조하세요.
User: arn:aws:iam::777788889999:user/JohnDoe is not authorized to perform: codecommit:ListRepositories with an explicit deny in a service control policy
VPC 엔드포인트 정책으로 인한 액세스 거부 - 암시적 거부
-
Virtual Private Cloud(VPC) 엔드포인트 정책에서 작업에 대한 누락된
Allow
문을 확인합니다. 다음 예제에서 작업은codecommit:ListRepositories
입니다. -
Allow
문을 추가하여 VPC 엔드포인트 정책을 업데이트합니다. 자세한 정보는 AWS PrivateLink 안내서의 VPC 엔드포인트 정책 업데이트를 참조하세요.
User: arn:aws:iam::123456789012:user/JohnDoe is not authorized to perform: codecommit:ListRepositories because no VPC endpoint policy allows the codecommit:ListRepositories action
VPC 엔드포인트 정책으로 인한 액세스 거부 - 명시적 거부
-
Virtual Private Cloud(VPC) 엔드포인트 정책에서 작업에 대한 명시적
Deny
문을 확인합니다. 다음 예제에서 작업은codedeploy:ListDeployments
입니다. -
Deny
문을 제거하여 VPC 엔드포인트 정책을 업데이트합니다. 자세한 정보는 AWS PrivateLink 안내서의 VPC 엔드포인트 정책 업데이트를 참조하세요.
User: arn:aws:iam::123456789012:user/JohnDoe is not authorized to perform: codedeploy:ListDeployments on resource: arn:aws:codedeploy:us-east-1:123456789012:deploymentgroup:* with an explicit deny in a VPC endpoint policy
권한 경계로 인한 액세스 거부 - 암시적 거부
-
권한 경계에서 작업에 대한 누락된
Allow
문을 확인합니다. 다음 예제에서 작업은codedeploy:ListDeployments
입니다. -
IAM 정책에
Allow
문을 추가하여 권한 경계를 업데이트합니다. 자세한 내용은 IAM 엔터티의 권한 범위 및 IAM 정책 편집 단원을 참조하세요.
User: arn:aws:iam::123456789012:user/JohnDoe is not authorized to perform: codedeploy:ListDeployments on resource: arn:aws:codedeploy:us-east-1:123456789012:deploymentgroup:* because no permissions boundary allows the codedeploy:ListDeployments action
권한 경계로 인한 액세스 거부 - 명시적 거부
-
권한 경계에서 작업에 대한 명시적
Deny
문을 확인합니다. 다음 예제에서 작업은sagemaker:ListModels
입니다. -
IAM 정책에서
Deny
문을 제거하여 권한 경계를 업데이트합니다. 자세한 내용은 IAM 엔터티의 권한 범위 및 IAM 정책 편집 단원을 참조하세요.
User: arn:aws:iam::777788889999:user/JohnDoe is not authorized to perform: sagemaker:ListModels with an explicit deny in a permissions boundary
세션 정책으로 인한 액세스 거부 - 암시적 거부
User: arn:aws:iam::123456789012:user/JohnDoe is not authorized to perform: codecommit:ListRepositories because no session policy allows the codecommit:ListRepositories action
세션 정책으로 인한 액세스 거부 - 명시적 거부
User: arn:aws:iam::123456789012:user/JohnDoe is not authorized to perform: codedeploy:ListDeployments on resource: arn:aws:codedeploy:us-east-1:123456789012:deploymentgroup:* with an explicit deny in a sessions policy
리소스 기반 정책으로 인한 액세스 거부 - 암시적 거부
User: arn:aws:iam::123456789012:user/JohnDoe is not authorized to perform: secretsmanager:GetSecretValue because no resource-based policy allows the secretsmanager:GetSecretValue action
리소스 기반 정책으로 인한 액세스 거부 - 명시적 거부
User: arn:aws:iam::123456789012:user/JohnDoe is not authorized to perform: secretsmanager:GetSecretValue on resource: arn:aws:secretsmanager:us-east-1:123456789012:secret:* with an explicit deny in a resource-based policy
역할 신뢰 정책으로 인한 액세스 거부 - 암시적 거부
User: arn:aws:iam::123456789012:user/JohnDoe is not authorized to perform: sts:AssumeRole because no role trust policy allows the sts:AssumeRole action
역할 신뢰 정책으로 인한 액세스 거부 - 명시적 거부
User: arn:aws:iam::777788889999:user/JohnDoe is not authorized to perform: sts:AssumeRole with an explicit deny in the role trust policy
자격 증명 기반 정책으로 인한 액세스 거부 - 암시적 거부
-
자격 증명에 연결된 자격 증명 기반 정책에서 작업에 대한 누락된
Allow
문을 확인합니다. 다음 예제에서 작업은 역할HR
에 연결된codecommit:ListRepositories
입니다. -
Allow
문을 추가하여 정책을 업데이트합니다. 자세한 내용은 자격 증명 기반 정책 및 IAM 정책 편집의 내용을 참조하세요.
User: arn:aws:iam::123456789012:role/HR is not authorized to perform: codecommit:ListRepositories because no identity-based policy allows the codecommit:ListRepositories action
ID 기반 정책으로 인한 액세스 거부 - 명시적 거부
-
자격 증명에 연결된 자격 증명 기반 정책에서 작업에 대한 명시적
Deny
문을 확인합니다. 다음 예제에서 작업은 역할HR
에 연결된codedeploy:ListDeployments
입니다. -
Deny
문을 제거하여 정책을 업데이트합니다. 자세한 내용은 자격 증명 기반 정책 및 IAM 정책 편집의 내용을 참조하세요.
User: arn:aws:iam::123456789012:role/HR is not authorized to perform: codedeploy:ListDeployments on resource: arn:aws:codedeploy:us-east-1:123456789012:deploymentgroup:* with an explicit deny in an identity-based policy
다른 정책으로 인한 VPC 요청 실패 시 액세스 거부
-
서비스 제어 정책(SCP)에서 작업에 대한 명시적
Deny
문을 확인합니다. 다음 예제에서 작업은SNS:Publish
입니다. -
Deny
문을 제거하여 SCP를 업데이트합니다. 자세한 내용은 AWS IAM Identity Center 사용 설명서의 SCP 업데이트를 참조하세요.
User: arn:aws:sts::111122223333:assumed-role/
role-name
/role-session-name
is not authorized to perform: SNS:Publish on resource: arn:aws:sns:us-east-1:444455556666:role-name-2
with an explicit deny in a VPC endpoint policy transitively through a service control policy