DynamoDB에서 ABAC 활성화

대부분의 AWS 계정에서는 ABAC가 기본적으로 활성화됩니다. DynamoDB 콘솔을 사용하여 계정에 ABAC가 활성화되어 있는지 확인할 수 있습니다. 이렇게 하려면 dynamodb:GetAbacStatus 권한이 있는 역할로 DynamoDB 콘솔을 열어야 합니다. 그런 다음 DynamoDB 콘솔의 설정 페이지를 엽니다.

속성 기반 액세스 제어 카드가 표시되지 않거나 카드에 켜짐 상태가 표시되면 계정에 ABAC가 활성화되었음을 의미합니다. 그러나 다음 이미지와 같이 꺼짐 상태의 속성 기반 액세스 제어 카드가 표시되면 계정에 ABAC가 활성화되지 않은 것입니다.

ID 기반 정책 또는 기타 정책에 지정된 태그 기반 조건을 여전히 감사해야 하는 AWS 계정에는 ABAC가 활성화되지 않습니다. 계정에 ABAC가 활성화되지 않은 경우 DynamoDB 테이블 또는 인덱스에 적용되도록 의도된 정책의 태그 기반 조건은 리소스 또는 API 요청에 태그가 없는 것처럼 평가됩니다. 계정에 ABAC가 활성화되면 테이블 또는 API 요청에 연결된 태그를 고려하여 계정 정책의 태그 기반 조건이 평가됩니다.

계정에 ABAC를 활성화하려면 먼저 감사 정책 섹션에 설명된 대로 정책을 감사하는 것이 좋습니다. 그런 다음 IAM 정책에 ABAC에 필요한 권한을 포함합니다. 마지막으로 콘솔에서 ABAC 활성화에 설명된 단계를 수행하여 현재 리전의 계정에 ABAC를 활성화합니다. ABAC를 활성화하여 옵트인한 후 7일 이내에 옵트아웃할 수 있습니다.

ABAC를 활성화하기 전에 정책 감사

계정에 ABAC를 활성화하기 전에 정책을 감사하여 계정 내 정책에 존재할 수 있는 태그 기반 조건이 의도한 대로 설정되었는지 확인합니다. 정책을 감사하면 ABAC를 활성화한 후 DynamoDB 워크플로의 권한 부여 변경으로 인한 예상치 못한 상황을 방지할 수 있습니다. 태그와 함께 속성 기반 조건을 사용하는 예제와 ABAC 구현 전후의 동작을 보려면 DynamoDB 테이블 및 인덱스와 함께 ABAC를 사용하는 예제 섹션을 참조하세요.

ABAC를 활성화하는 데 필요한 IAM 권한

현재 리전의 계정에 ABAC를 활성화하려면 dynamodb:UpdateAbacStatus 권한이 필요합니다. 계정에 ABAC가 활성화되어 있는지 확인하려면 dynamodb:GetAbacStatus 권한도 있어야 합니다. 이 권한을 사용하면 모든 리전의 계정에 대한 ABAC 상태를 볼 수 있습니다. 이러한 권한은 DynamoDB 콘솔에 액세스하는 데 필요한 권한에 더해 필요합니다.

다음 IAM 정책은 ABAC를 활성화하고 현재 리전의 계정에 대한 상태를 볼 수 있는 권한을 부여합니다.

{
"version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "dynamodb:UpdateAbacStatus",
                "dynamodb:GetAbacStatus"
             ],
            "Resource": "*"
        }
    ]
}

콘솔에서 ABAC 활성화