IAM 튜토리얼: 태그를 기반으로 AWS 리소스에 액세스할 수 있는 권한 정의

1. 다음과 같이 access-assume-role이라는 고객 관리형 정책을 생성합니다. JSON 정책 생성에 대한 자세한 내용은 IAM 정책 생성 단원을 참조하십시오.

   ABAC 정책: 사용자 및 역할 태그가 일치하는 경우에만 모든 ABAC 역할 수임

   다음 정책은 사용자가 access- 이름 접두사가 있는 계정의 모든 역할을 맡을 수 있도록 허용합니다. 역할에는 사용자와 동일한 프로젝트, 팀 및 비용 센터 태그가 지정되어 있어야 합니다.

   이 정책을 사용하려면 기울임꼴 자리 표시자 텍스트를 계정 정보로 바꿉니다.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "TutorialAssumeRole",
               "Effect": "Allow",
               "Action": "sts:AssumeRole",
               "Resource": "arn:aws:iam::account-ID-without-hyphens:role/access-*",
               "Condition": {
                   "StringEquals": {
                       "iam:ResourceTag/access-project": "${aws:PrincipalTag/access-project}",
                       "iam:ResourceTag/access-team": "${aws:PrincipalTag/access-team}",
                       "iam:ResourceTag/cost-center": "${aws:PrincipalTag/cost-center}"
                   }
               }
           }
       ]
   }

   이 자습서를 많은 사용자로 확장하기 위해 정책을 그룹에 연결하고 각 사용자를 그룹에 추가할 수 있습니다. 자세한 내용은 IAM 사용자 그룹 생성 및 IAM 사용자 그룹의 사용자 편집 단원을 참조하세요.

2. 다음 IAM 사용자를 생성하고, access-assume-role 권한 정책을 연결합니다. AWS Management Console에 대한 사용자 액세스 제공을 선택하고 다음 태그를 추가해야 합니다.

   사용자 이름	사용자 태그 키	사용자 태그 값
   access-Arnav-peg-eng	access-project access-team cost-center	peg eng 987654
   access-Mary-peg-qas	access-project access-team cost-center	peg qas 987654
   access-Saanvi-uni-eng	access-project access-team cost-center	uni eng 123456
   access-Carlos-uni-qas	access-project access-team cost-center	uni qas 123456

필수 태그를 사용하거나 사용하지 않고 비밀 생성을 테스트하려면

1. 기본 브라우저 창에서 관리자 사용자로 로그인한 상태로 유지되므로 IAM에서 사용자, 역할 및 정책을 검토할 수 있습니다. 테스트를 위해 브라우저 익명 창 또는 별도의 브라우저를 사용하십시오. 이제 access-Arnav-peg-eng IAM 사용자로 로그인하고 https://console.aws.amazon.com/secretsmanager/에서 Secrets Manager 콘솔을 엽니다.

2. access-uni-engineering 역할로의 전환을 시도합니다.

   access-Arnav-peg-eng 사용자와 access-uni-engineering 역할의 access-project 및 cost-center 태그 값이 일치하지 않기 때문에 이 작업은 실패합니다.

   AWS Management Console에서의 역할 전환에 대한 자세한 내용은 사용자에서 IAM 역할로 전환(콘솔)의 내용을 참조하세요.

3. access-peg-engineering 역할로 전환합니다.

4. 다음 정보를 사용하여 새 비밀을 저장합니다. 비밀을 저장하는 방법에 대한 자세한 내용을 알아보려면 AWS Secrets Manager 사용 설명서의 Creating a Basic Secret(기본 보안 암호 생성)을 참조하세요.

   중요

   Secrets Manager에 Secrets Manager에 사용되는 추가 AWS 서비스에 대한 권한이 없다는 알림이 표시됩니다. 예를 들어, Amazon RDS 데이터베이스에 대한 자격 증명을 생성하려면 RDS 인스턴스, RDS 클러스터 및 Amazon Redshift 클러스터를 설명할 수 있는 권한이 있어야 합니다. 이 자습서에서 이러한 특정 AWS 서비스를 사용하지 않으므로 이러한 알림은 무시해도 좋습니다.

   1. 비밀 유형 선택 섹션에서 다른 유형의 비밀을 선택합니다. 두 텍스트 상자에 test-access-key 및 test-access-secret를 입력합니다.

   2. 비밀 이름 필드에 test-access-peg-eng를 입력합니다.

   3. 다음 표에서 다양한 태그 조합을 추가하고 예상되는 동작을 확인합니다.

   4. Store(저장)를 선택하여 비밀을 생성합니다. 스토리지에 장애가 발생하면 이전 Secrets Manager 콘솔 페이지로 돌아가서 아래 표에 있는 다음 태그 세트를 사용합니다. 마지막 태그 세트가 허용되고 비밀이 성공적으로 생성됩니다.

   다음 표에는 test-access-peg-eng 역할의 ABAC 태그 조합이 나와 있습니다.

   access-project 태그 값	access-team 태그 값	cost-center 태그 값	추가 태그	예상되는 동작
   (none)	(none)	(none)	(none)	태그 값이 역할의 access-project 값과 일치하지 않아 거부됩니다.peg
   uni	eng	987654	(none)	태그 값이 역할의 access-project 값과 일치하지 않아 거부됩니다.peg
   peg	qas	987654	(none)	태그 값이 역할의 access-team 값과 일치하지 않아 거부됩니다.eng
   peg	eng	123456	(none)	태그 값이 역할의 cost-center 값과 일치하지 않아 거부됩니다.987654
   peg	eng	987654	Owner = Jane	세 개의 필수 태그가 모두 있고 해당 값이 역할 값과 일치하지만 추가 태그 owner가 정책에서 허용되지 않아 거부됩니다.
   peg	eng	987654	Name = Jane	세 개의 필수 태그가 모두 있고 해당 값이 역할 값과 일치하기 때문에 허용됩니다. 선택적으로 Name 태그를 포함할 수도 있습니다.

5. 로그아웃하고 다음 역할 및 태그 값 각각에 대해 이 절차의 처음 세 단계를 반복합니다. 이 절차의 네 번째 단계에서는 선택한 누락된 태그, 선택적 태그, 허용되지 않는 태그 및 잘못된 태그 값 세트를 테스트합니다. 그런 다음 필수 태그를 사용하여 다음 태그와 이름으로 비밀을 생성합니다.

   사용자 이름	역할 이름	비밀 이름	비밀 태그
   access-Mary-peg-qas	access-peg-quality-assurance	test-access-peg-qas	access-project = peg access-team = qas cost-center = 987654
   access-Saanvi-uni-eng	access-uni-engineering	test-access-uni-eng	access-project = uni access-team = eng cost-center = 123456
   access-Carlos-uni-qas	access-uni-quality-assurance	test-access-uni-qas	access-project = uni access-team = qas cost-center = 123456

필수 태그를 사용하거나 사용하지 않고 비밀 보기를 테스트하려면

1. 다음 IAM 사용자 중 한 명으로 로그인합니다.

   • access-Arnav-peg-eng

   • access-Mary-peg-qas

   • access-Saanvi-uni-eng

   • access-Carlos-uni-qas

2. 일치하는 역할로 전환합니다.

   • access-peg-engineering

   • access-peg-quality-assurance

   • access-uni-engineering

   • access-uni-quality-assurance

   AWS Management Console에서의 역할 전환에 대한 자세한 내용은 사용자에서 IAM 역할로 전환(콘솔) 단원을 참조하십시오.

3. 왼쪽의 탐색 창에서 메뉴 아이콘을 선택하여 메뉴를 확장한 다음 비밀을 선택합니다.

4. 현재 역할과 관계없이 표에 네 가지 비밀이 모두 표시됩니다. 이는 access-same-project-team이라는 정책이 모든 리소스에 대해 secretsmanager:ListSecrets 작업을 허용하기 때문입니다.

5. 비밀 중 하나의 이름을 선택합니다.

6. 비밀에 대한 세부 정보 페이지에서 역할의 태그에 따라 페이지 콘텐츠를 볼 수 있는지 여부가 결정됩니다. 역할의 이름을 비밀의 이름과 비교합니다. 동일한 팀 이름을 공유하는 경우 access-team 태그가 일치합니다. 일치하지 않으면 액세스가 거부됩니다.

   다음 표는 각 역할의 ABAC 비밀 보기 동작을 보여줍니다.

   역할 이름	비밀 이름	예상되는 동작
   access-peg-engineering	test-access-peg-eng	허용됨
   	test-access-peg-qas	거부됨
   	test-access-uni-eng	허용됨
   	test-access-uni-qas	거부됨
   access-peg-quality-assurance	test-access-peg-eng	거부됨
   	test-access-peg-qas	허용됨
   	test-access-uni-eng	거부됨
   	test-access-uni-qas	허용됨
   access-uni-engineering	test-access-peg-eng	허용됨
   	test-access-peg-qas	거부됨
   	test-access-uni-eng	허용됨
   	test-access-uni-qas	거부됨
   access-uni-quality-assurance	test-access-peg-eng	거부됨
   	test-access-peg-qas	허용됨
   	test-access-uni-eng	거부됨
   	test-access-uni-qas	허용됨

7. 페이지 상단의 이동 경로에서 비밀을 선택하여 비밀 목록으로 돌아갑니다. 다른 역할을 사용하여 이 절차의 단계를 반복하여 각 암호를 볼 수 있는지 여부를 테스트합니다.

새 프로젝트를 AWS에 추가하려면

1. IAM 관리자로 로그인하여 https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

2. 왼쪽 탐색 창에서 역할(Roles)을 선택한 후 access-cen-engineering이라는 IAM 역할을 추가합니다. 역할에 access-same-project-team 권한 정책을 연결하고 다음 역할 태그 추가:

   • access-project = cen

   • access-team = eng

   • cost-center = 101010

3. 왼쪽에 있는 탐색 창에서 Users(사용자)를 선택합니다.

4. access-Nikhil-cen-eng라는 새 사용자를 추가하고, access-assume-role이라는 정책을 연결하고, 다음 사용자 태그를 추가합니다.

   • access-project = cen

   • access-team = eng

   • cost-center = 101010

5. 4단계: 비밀 생성 테스트 및 5단계: 비밀 보기 테스트의 절차를 사용합니다. 다른 브라우저 창에서 Nikhil이 Centaur 엔지니어링 비밀만 만들 수 있는지와 모든 엔지니어링 비밀을 볼 수 있는지를 테스트합니다.

6. 관리자로 로그인한 기본 브라우저 창에서 사용자 access-Saanvi-uni-eng를 선택합니다.

7. 권한 탭에서 access-assume-role 권한 정책을 제거합니다.

8. access-assume-specific-roles라는 다음 인라인 정책을 추가합니다. 인라인 정책을 사용자에게 추가하는 방법에 대한 자세한 내용은 사용자 또는 역할의 인라인 정책을 포함하려면(콘솔) 단원을 참조하십시오.

   ABAC 정책: 특정 역할만 수임

   이 정책을 통해 Saanvi는 Pegasus 또는 Centaur 프로젝트의 엔지니어링 역할을 맡을 수 있습니다. IAM에서는 다중 값 태그를 지원하지 않으므로 이 사용자 지정 정책을 생성해야 합니다. Saanvi의 사용자에게 access-project = peg 및 access-project = cen 태그를 지정할 수 없습니다. 또한 AWS 권한 부여 모델은 두 값과 모두 일치할 수 없습니다. 자세한 내용은 IAM 및 AWS STS의 태그 지정 규칙 단원을 참조하십시오. 대신 Saanvi가 맡을 수 있는 두 역할을 수동으로 지정해야 합니다.

   이 정책을 사용하려면 기울임꼴 자리 표시자 텍스트를 계정 정보로 바꿉니다.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "TutorialAssumeSpecificRoles",
               "Effect": "Allow",
               "Action": "sts:AssumeRole",
               "Resource": [
                   "arn:aws:iam::account-ID-without-hyphens:role/access-peg-engineering",
                   "arn:aws:iam::account-ID-without-hyphens:role/access-cen-engineering"
               ]
           }
       ]
   }

9. 4단계: 비밀 생성 테스트 및 5단계: 비밀 보기 테스트의 절차를 사용합니다. 다른 브라우저 창에서 Saanvi가 두 역할을 모두 맡을 수 있는지 확인합니다. 역할의 태그에 따라 프로젝트, 팀 및 비용 센터에 대해서만 비밀을 생성할 수 있는지 확인합니다. 또한 Saanvi가 방금 생성한 비밀을 포함하여 엔지니어링 팀이 소유한 비밀에 대한 세부 정보를 볼 수 있는지 확인합니다.

필수 태그를 사용하거나 사용하지 않고 비밀 업데이트 및 삭제를 테스트하려면

1. 다음 IAM 사용자 중 한 명으로 로그인합니다.

   • access-Arnav-peg-eng

   • access-Mary-peg-qas

   • access-Saanvi-uni-eng

   • access-Carlos-uni-qas

   • access-Nikhil-cen-eng

2. 일치하는 역할로 전환합니다.

   • access-peg-engineering

   • access-peg-quality-assurance

   • access-uni-engineering

   • access-peg-quality-assurance

   • access-cen-engineering

   AWS Management Console에서의 역할 전환에 대한 자세한 내용은 사용자에서 IAM 역할로 전환(콘솔) 단원을 참조하십시오.

3. 각 역할에 대해 비밀 설명을 업데이트하고 다음 비밀을 삭제해봅니다. 자세한 내용은 AWS Secrets Manager 사용 설명서의 보안 암호 수정과 Deleting and Restoring a Secret(보안 암호 삭제 및 복원)을 참조하세요.

   다음 표는 각 역할의 ABAC 비밀 업데이트 및 삭제 동작을 보여줍니다.

   역할 이름	비밀 이름	예상되는 동작
   access-peg-engineering	test-access-peg-eng	허용됨
   	test-access-uni-eng	거부됨
   	test-access-uni-qas	거부됨
   access-peg-quality-assurance	test-access-peg-qas	허용됨
   	test-access-uni-eng	거부됨
   access-uni-engineering	test-access-uni-eng	허용됨
   	test-access-uni-qas	거부됨
   access-peg-quality-assurance	test-access-uni-qas	허용됨