CDK AWS v2 개발자 안내서입니다. 이전 CDK v1은 2022년 6월 1일에 유지 관리에 들어갔으며 2023년 6월 1일에 지원이 종료되었습니다. 기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다. # AWS 클라우드 개발 키트(AWS CDK) 보안 Amazon Web Services(AWS)에서 가장 우선순위가 높은 것이 클라우드 보안입니다. AWS 고객은 보안에 가장 민감한 조직의 요구 사항을 충족하도록 구축된 데이터 센터 및 네트워크 아키텍처의 이점을 누릴 수 있습니다. 보안은 AWS 와 사용자 간의 공동 책임입니다. [공동 책임 모델](https://aws.amazon.com/compliance/shared-responsibility-model/)은 이 사항을 클라우드 내 보안 및 클라우드의 보안으로 설명합니다. **클라우드 보안** - AWS 는 클라우드에서 제공되는 모든 서비스를 실행하는 인프라를 보호하고 안전하게 사용할 수 있는 서비스를 AWS 제공할 책임이 있습니다. 당사의 보안 책임은에서 최우선 순위이며 AWS, 타사 감사자는 [AWS 규정 준수 프로그램의](https://aws.amazon.com/compliance/programs/) 일환으로 보안의 효과를 정기적으로 테스트하고 검증합니다. **클라우드의 보안** - 사용자의 책임은 사용 중인 AWS 서비스와 데이터의 민감도, 조직의 요구 사항 및 관련 법률 및 규정을 비롯한 기타 요인에 따라 결정됩니다. AWS CDK는 지원하는 특정 Amazon Web Services(AWS) 서비스를 통해 [공동 책임 모델을](https://aws.amazon.com/compliance/shared-responsibility-model/) 따릅니다. AWS 서비스 보안 정보는 [AWS 서비스 보안 설명서 페이지](https://docs.aws.amazon.com/security/?id=docs_gateway#aws-security) 및 규정 [AWSAWS 준수 프로그램의 규정 준수 작업 범위에 속하는 서비스를 참조하세요](https://aws.amazon.com/compliance/services-in-scope/). # AWS 클라우드 개발 키트(AWS CDK)의 ID 및 액세스 관리 AWS Identity and Access Management(IAM)는 관리자가 AWS 리소스에 대한 액세스를 안전하게 제어할 수 있도록 지원하는 AWS 서비스입니다. IAM 관리자는 누가 AWS 리소스를 사용할 수 있는 *인증*(로그인) 및 *권한*(권한 있음)을 받을 수 있는지 제어합니다. IAM은 추가 비용 없이 사용할 수 있는 AWS 서비스입니다. ## 대상 AWS Identity and Access Management(IAM)를 사용하는 방법은 수행하는 작업에 따라 다릅니다 AWS. **서비스 사용자** - AWS 서비스를 사용하여 작업을 수행하는 경우 필요한 자격 증명과 권한을 관리자가 제공합니다. 더 많은 AWS 기능을 사용하여 작업을 수행하게 되면 추가 권한이 필요할 수 있습니다. 액세스 권한 관리 방법을 이해하면 관리자에게 올바른 권한을 요청하는 데 도움이 됩니다. **서비스 관리자** - 회사에서 AWS 리소스를 책임지고 있는 경우 AWS 리소스에 대한 전체 액세스 권한을 가지고 있을 것입니다. 서비스 관리자는 서비스 사용자가 액세스해야 하는 AWS 서비스와 리소스를 결정합니다. 그런 다음 IAM 관리자에게 요청을 제출하여 서비스 사용자의 권한을 변경해야 합니다. 이 페이지의 정보를 검토하여 IAM의 기본 개념을 이해하세요. **IAM 관리자** - IAM 관리자인 경우 AWS 서비스에 대한 액세스를 관리하는 정책을 작성하는 방법에 대한 세부 정보를 알고 싶을 수 있습니다. ## ID를 통한 인증 인증은 자격 증명 자격 증명을 AWS 사용하여에 로그인하는 방법입니다. AWS 계정 루트 사용자, IAM 사용자 또는 IAM 역할을 수임하여 *인증*(로그인 AWS)되어야 합니다. 자격 증명 소스를 통해 제공된 자격 증명을 사용하여 페더레이션 자격 증명 AWS 으로에 로그인할 수 있습니다. AWS IAM Identity Center(IAM Identity Center) 사용자, 회사의 Single Sign-On 인증 및 Google 또는 Facebook 자격 증명은 페더레이션 자격 증명의 예입니다. 페더레이션 ID로 로그인할 때 관리자가 이전에 IAM 역할을 사용하여 ID 페더레이션을 설정했습니다. 페더레이션을 사용하여 AWS 에 액세스하면 간접적으로 역할을 수임하게 됩니다. 사용자 유형에 따라 AWS Management Console 또는 AWS 액세스 포털에 로그인할 수 있습니다. 로그인에 대한 자세한 내용은 * AWS 로그인 사용 설명서*의 계정에 로그인하는 방법을 AWS참조하세요. [AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) AWS 프로그래밍 방식으로에 액세스하려면는 자격 증명을 사용하여 요청에 암호화 방식으로 서명할 수 있는 AWS CDK, 소프트웨어 개발 키트(SDKs) 및 명령줄 인터페이스(CLI)를 AWS 제공합니다. AWS 도구를 사용하지 않는 경우 직접 요청에 서명해야 합니다. 권장 방법을 사용하여 직접 요청에 서명하는 방법에 대한 자세한 내용은 * AWS 일반* 참조의 [서명 버전 4 서명 프로세스를](https://docs.aws.amazon.com/general/latest/gr/signature-version-4.html) 참조하세요. 사용하는 인증 방법에 상관 없이 추가 보안 정보를 제공해야 할 수도 있습니다. 예를 들어는 멀티 팩터 인증(MFA)을 사용하여 계정의 보안을 강화할 것을 AWS 권장합니다. 자세한 내용은 * AWS IAM Identity Center 사용 설명서*의 [멀티 팩터 인증](https://docs.aws.amazon.com/singlesignon/latest/userguide/enable-mfa.html) 및 *IAM* 사용 설명서의 [의 멀티 팩터 인증(MFA) 사용을 AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa.html) 참조하세요. ### AWS 계정 루트 사용자 AWS 계정을 생성할 때 계정의 모든 AWS 서비스 및 리소스에 대한 완전한 액세스 권한이 있는 하나의 로그인 자격 증명으로 시작합니다. 이 자격 증명을 AWS 계정 *루트 사용자*라고 하며 계정을 생성하는 데 사용한 이메일 주소와 암호로 로그인하여 액세스합니다. 일상적인 작업에 루트 사용자를 사용하지 않을 것을 강력히 권장합니다. 루트 사용자 자격 증명을 보호하고 루트 사용자만 수행할 수 있는 작업을 수행하는 데 사용합니다. 루트 사용자로 로그인해야 하는 전체 작업 목록은 *IAM 사용 설명서*의 [루트 사용자 보안 인증이 필요한 작업](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)을 참조하세요. ### 페더레이션 자격 증명 가장 좋은 방법은 관리자 액세스가 필요한 사용자를 포함한 인간 사용자에게 자격 증명 공급자와의 페더레이션을 사용하여 임시 자격 증명을 사용하여 AWS 서비스에 액세스하도록 요구하는 것입니다. *페더레이션 자격 증명*은 엔터프라이즈 사용자 디렉터리, 웹 자격 증명 공급자, AWS 디렉터리 서비스, Identity Center 디렉터리 또는 자격 증명 소스를 통해 제공된 자격 증명을 사용하여 AWS 서비스에 액세스하는 모든 사용자의 사용자입니다. 페더레이션 자격 증명이 AWS 계정에 액세스할 때 역할을 수임하고 역할은 임시 자격 증명을 제공합니다. 중앙 집중식 액세스 관리의 경우 AWS IAM Identity Center를 사용하는 것이 좋습니다. IAM Identity Center에서 사용자 및 그룹을 생성하거나 모든 AWS 계정 및 애플리케이션에서 사용할 수 있도록 자체 ID 소스의 사용자 및 그룹 집합에 연결하고 동기화할 수 있습니다. IAM Identity Center에 대한 자세한 내용은 [IAM Identity Center 사용 설명서의 IAM Identity Center란 무엇입니까?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)를 참조하세요. * AWS * ### IAM 사용자 및 그룹 * [IAM 사용자는](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html) * 단일 사용자 또는 애플리케이션에 대한 특정 권한이 있는 AWS 계정 내 자격 증명입니다. 가능하면 암호 및 액세스 키와 같은 장기 자격 증명이 있는 IAM 사용자를 생성하는 대신 임시 자격 증명을 사용하는 것이 좋습니다. 하지만 IAM 사용자의 장기 자격 증명이 필요한 특정 사용 사례가 있는 경우, 액세스 키를 교체하는 것이 좋습니다. 자세한 내용은 *IAM 사용 설명서*의 [장기 보안 인증이 필요한 사용 사례의 경우, 정기적으로 액세스 키 교체](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#rotate-credentials)를 참조하세요. [IAM 그룹](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)은 IAM 사용자 컬렉션을 지정하는 자격 증명입니다. 사용자는 그룹으로 로그인할 수 없습니다. 그룹을 사용하여 여러 사용자의 권한을 한 번에 지정할 수 있습니다. 그룹을 사용하면 대규모 사용자 집합의 권한을 더 쉽게 관리할 수 있습니다. 예를 들어, IAMAdmins**라는 그룹이 있고 이 그룹에 IAM 리소스를 관리할 권한을 부여할 수 있습니다. 사용자는 역할과 다릅니다. 사용자는 한 사람 또는 애플리케이션과 고유하게 연결되지만, 역할은 해당 역할이 필요한 사람이라면 누구나 수임할 수 있습니다. 사용자는 영구적인 장기 자격 증명을 가지고 있지만, 역할은 임시 보안 인증만 제공합니다. 자세한 내용은 *IAM 사용 설명서*에서 [IAM 사용자 사용 사례](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)를 참조하세요. ### IAM 역할 * [IAM 역할은](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) * 특정 권한이 있는 AWS 계정 내 자격 증명입니다. 이 역할은 IAM 사용자와 유사하지만 특정 개인과 연결되지 않습니다. 역할을 [전환](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)하여 AWS 관리 콘솔에서 IAM 역할을 일시적으로 수임할 수 있습니다. AWS CLI 또는 AWS API 작업을 호출하거나 사용자 지정 URL을 사용하여 역할을 수임할 수 있습니다. 역할 사용 방법에 대한 자세한 정보는 *IAM 사용 설명서*의 [IAM 역할 사용](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use.html)을 참조하세요. 임시 보안 인증이 있는 IAM 역할은 다음과 같은 상황에서 유용합니다. + **페더레이션 사용자 액세스** - 페더레이션 ID에 권한을 부여하려면 역할을 생성하고 해당 역할의 권한을 정의합니다. 페더레이션 ID가 인증되면 역할이 연결되고 역할에 정의된 권한이 부여됩니다. 페더레이션 관련 역할에 대한 자세한 내용은 *IAM 사용 설명서*의 [Create a role for a third-party identity provider (federation)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-idp.html)를 참조하세요. IAM Identity Center를 사용하는 경우, 권한 집합을 구성합니다. 인증 후 ID가 액세스할 수 있는 항목을 제어하기 위해 IAM Identity Center는 권한 집합을 IAM의 역할과 연관짓습니다. 권한 세트에 대한 자세한 내용은 * AWS IAM Identity Center 사용 설명서*의 [권한 세트를](https://docs.aws.amazon.com/singlesignon/latest/userguide/permissionsetsconcept.html) 참조하세요. + **임시 IAM 사용자 권한** - IAM 사용자 또는 역할은 IAM 역할을 수임하여 특정 작업에 대한 다양한 권한을 임시로 받을 수 있습니다. + **교차 계정 액세스** - IAM 역할을 사용하여 다른 계정의 사용자(신뢰할 수 있는 보안 주체)가 내 계정의 리소스에 액세스하도록 허용할 수 있습니다. 역할은 교차 계정 액세스를 부여하는 기본적인 방법입니다. 그러나 일부 AWS 서비스에서는 정책을 리소스에 직접 연결할 수 있습니다(역할을 프록시로 사용하는 대신). 크로스 계정 액세스를 위한 역할과 리소스 기반 정책의 차이점을 알아보려면 *IAM 사용 설명서*의 [IAM 역할과 리소스 기반 정책의 차이](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_compare-resource-policies.html)를 참조하십시오. + **교차 서비스 액세스 -** 일부 AWS 서비스는 다른 AWS 서비스의 기능을 사용합니다. 예를 들어, 서비스에서 직접 호출하면 일반적으로 해당 서비스는 Amazon EC2에서 애플리케이션을 실행하거나 Amazon S3에 객체를 저장합니다. 서비스는 직접 호출하는 보안 주체의 권한을 사용하거나, 서비스 역할을 사용하거나, 또는 서비스 연결 역할을 사용하여 이 작업을 수행할 수 있습니다. + **서비스 역할** - 서비스 역할은 서비스가 사용자를 대신하여 작업을 수행하기 위해 맡는 [IAM 역할](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)입니다. IAM 관리자는 IAM 내에서 서비스 역할을 생성, 수정 및 삭제할 수 있습니다. 자세한 내용은 *IAM 사용 설명서*의 [AWS 서비스에 권한을 위임할 역할 생성을 참조하세요](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html). + **서비스 연결 역할** - 서비스 연결 역할은 서비스에 연결된 AWS 서비스 역할의 한 유형입니다. 서비스는 사용자를 대신하여 작업을 수행하기 위해 역할을 수임할 수 있습니다. 서비스 연결 역할은 AWS 계정에 표시되며 서비스가 소유합니다. IAM 관리자는 서비스 연결 역할의 권한을 볼 수 있지만 편집은 할 수 없습니다. + **Amazon EC2에서 실행되는 애플리케이션** - IAM 역할을 사용하여 EC2 인스턴스에서 실행되고 AWS CLI 또는 AWS API 요청을 수행하는 애플리케이션의 임시 자격 증명을 관리할 수 있습니다. 이것은 EC2 인스턴스 내에 액세스 키를 저장하는 경우에 바람직한 방법입니다. EC2 인스턴스에 AWS 역할을 할당하고 모든 애플리케이션에서 사용할 수 있도록 하려면 인스턴스에 연결된 인스턴스 프로파일을 생성합니다. 인스턴스 프로필에는 역할이 포함되어 있으며 EC2 인스턴스에서 실행되는 프로그램이 임시 보안 인증을 얻을 수 있습니다. 자세한 정보는 *IAM 사용 설명서*의 [IAM 역할을 사용하여 Amazon EC2 인스턴스에서 실행되는 애플리케이션에 권한 부여](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-ec2.html)를 참조하세요. IAM 역할을 사용할지 또는 IAM 사용자를 사용할지를 알아보려면 [IAM 사용 설명서](https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html#id_which-to-choose_role)의 *IAM 역할(사용자 대신)을 생성하는 경우*를 참조하세요. # AWS 클라우드 개발 키트(AWS CDK)에 대한 규정 준수 검증 AWS CDK는 지원하는 특정 Amazon Web Services(AWS) 서비스를 통해 [공동 책임 모델을](https://aws.amazon.com/compliance/shared-responsibility-model/) 따릅니다. AWS 서비스 보안 정보는 [AWS 서비스 보안 설명서 페이지](https://docs.aws.amazon.com/security/?id=docs_gateway#aws-security) 및 규정 [AWSAWS 준수 프로그램의 규정 준수 작업 범위에 속하는 서비스를 참조하세요](https://aws.amazon.com/compliance/services-in-scope/). AWS 서비스의 보안 및 규정 준수는 여러 AWS 규정 준수 프로그램의 일환으로 타사 감사자가 평가합니다. 여기에는 SOC, PCI, FedRAMP, HIPAA 등이 포함됩니다.는 규정 준수 프로그램 제공 범위 내 AWS [AWS 서비스에서 특정 규정 준수 프로그램의 범위 내에서 자주 업데이트되는 서비스](https://aws.amazon.com/compliance/services-in-scope/) 목록을 AWS 제공합니다. 타사 감사 보고서는 AWS 아티팩트를 사용하여 다운로드할 수 있습니다. 자세한 내용은 [AWS 아티팩트에서 보고서 다운로드를 참조하세요](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html). AWS 규정 준수 프로그램에 대한 자세한 내용은 규정 [AWS 준수 프로그램을](https://aws.amazon.com/compliance/programs/) 참조하세요. AWS CDK를 사용하여 AWS 서비스에 액세스할 때 규정 준수 책임은 데이터의 민감도, 조직의 규정 준수 목표, 관련 법률 및 규정에 따라 결정됩니다. AWS 서비스 사용 시 HIPAA, PCI 또는 FedRAMP와 같은 표준을 준수해야 하는 경우는 도움이 되는 리소스를 AWS 제공합니다. + [보안 및 규정 준수 빠른 시작 가이드](https://aws.amazon.com/quickstart/?quickstart-all.sort-by=item.additionalFields.updateDate&quickstart-all.sort-order=desc&awsf.quickstart-homepage-filter=categories%23security-identity-compliance) - 아키텍처 고려 사항을 설명하고 보안 및 규정 준수에 중점을 둔 기준 환경을 배포하기 위한 단계를 제공하는 배포 가이드입니다 AWS. + [AWS 규정 준수 리소스](https://aws.amazon.com/compliance/resources/) - 업계 및 위치에 적용될 수 있는 워크북 및 가이드 모음입니다. + [AWS 구성](https://aws.amazon.com/config/) - 리소스 구성이 내부 관행, 업계 지침 및 규정을 얼마나 잘 준수하는지 평가하는 서비스입니다. + [AWS Security Hub](https://aws.amazon.com/security-hub/) - 보안 업계 표준 및 모범 사례 준수 여부를 확인하는 데 도움이 AWS 되는 내 보안 상태에 대한 포괄적인 보기입니다. # AWS 클라우드 개발 키트(AWS CDK)의 복원력 Amazon Web Services(AWS) 글로벌 인프라는 AWS 리전 및 가용 영역을 중심으로 구축됩니다. AWS 리전은 물리적으로 분리되고 격리된 여러 가용 영역을 제공하며,이 가용 영역은 지연 시간이 짧고 처리량이 높으며 중복성이 높은 네트워킹과 연결됩니다. 가용 영역을 사용하면 중단 없이 가용 영역 간에 자동으로 장애 조치가 이루어지는 애플리케이션 및 데이터베이스를 설계하고 운영할 수 있습니다. 가용 영역은 기존의 단일 또는 복수 데이터 센터 인프라보다 가용성, 내결함성, 확장성이 뛰어납니다. AWS 리전 및 가용 영역에 대한 자세한 내용은 [AWS 글로벌 인프라를](https://aws.amazon.com/about-aws/global-infrastructure/) 참조하세요. AWS CDK는 지원하는 특정 Amazon Web Services(AWS) 서비스를 통해 [공동 책임 모델을](https://aws.amazon.com/compliance/shared-responsibility-model/) 따릅니다. AWS 서비스 보안 정보는 [AWS 서비스 보안 설명서 페이지](https://docs.aws.amazon.com/security/?id=docs_gateway#aws-security) 및 규정 [AWSAWS 준수 프로그램의 규정 준수 작업 범위에 속하는 서비스를 참조하세요](https://aws.amazon.com/compliance/services-in-scope/). # AWS 클라우드 개발 키트(AWS CDK)의 인프라 보안 AWS CDK는 지원하는 특정 Amazon Web Services(AWS) 서비스를 통해 [공동 책임 모델을](https://aws.amazon.com/compliance/shared-responsibility-model/) 따릅니다. AWS 서비스 보안 정보는 [AWS 서비스 보안 설명서 페이지](https://docs.aws.amazon.com/security/?id=docs_gateway#aws-security) 및 규정 [AWSAWS 준수 프로그램의 규정 준수 작업 범위에 속하는 서비스를 참조하세요](https://aws.amazon.com/compliance/services-in-scope/).