AWS CloudHSM에 대한 서비스 연결 역할

이전에 AWS CloudHSM에 대한 고객 관리형 정책으로 생성한 IAM 정책에는 iam:CreateServiceLinkedRole작업이 포함되어 있습니다. AWS CloudHSM는 AWSServiceRoleForCloudHSM이라는 서비스 연결 역할을 정의합니다. 이 역할은 AWS CloudHSM에서 미리 정의되고 사용자를 대신해 다른 AWS 서비스를 호출하기 위해 AWS CloudHSM에 필요한 권한을 포함합니다. 이 역할을 사용하면 수동으로 역할 정책 및 신뢰 정책 권한을 추가할 필요가 없으므로 서비스를 더 쉽게 설정할 수 있습니다.

역할 정책은 AWS CloudHSM이 사용자를 대신하여 Amazon CloudWatch Logs 로그 그룹 및 로그 스트림을 생성하고 로그 이벤트를 작성하도록 허용합니다. 아래 및 IAM 콘솔에서 볼 수 있습니다.

{
    "Version": "2018-06-12",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:PutLogEvents",
                "logs:DescribeLogStreams"
            ],
            "Resource": [
                "arn:aws:logs:*:*:*"
            ]
        }
    ]
}

AWSServiceRoleForCloudHSM 역할에 대한 신뢰 정책을 통해 AWS CloudHSM이 역할을 수임할 수 있습니다.

{
  "Version": "2018-06-12",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudhsm.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

서비스 연결 역할 생성(자동)

AWS CloudHSM은 AWS CloudHSM 관리자 그룹을 생성할 때 정의한 권한에 iam:CreateServiceLinkedRole 작업을 포함하면 클러스터 생성 시 AWSServiceRoleForCloudHSM 역할이 생성됩니다. AWS CloudHSM에 대한 고객 관리형 정책 단원을 참조하십시오.

이미 하나 이상의 클러스터가 있으며 AWSServiceRoleForCloudHSM 역할만 추가하려는 경우 콘솔 create-cluster 명령 또는 CreateCluster API 작업을 사용하여 클러스터를 생성할 수 있습니다. 그런 다음 콘솔, delete-cluster 명령 또는 DeleteCluster API 작업을 사용하여 삭제합니다. 새로운 클러스터를 만들면 서비스 연결 역할이 생성되며 계정의 모든 클러스터에 이 역할이 적용됩니다. 또는 수동으로 역할을 만들 수도 있습니다. 자세한 내용은 다음 단원을 참조하십시오.

서비스 연결 역할 생성(수동)

IAM 콘솔, AWS CLI 또는 API를 사용하여 AWSServiceRoleForCloudHSM 역할을 생성할 수 있습니다. 자세한 내용은 IAM 사용 설명서의 서비스 연결 역할 생성 단원을 참조하십시오.

서비스 연결 역할 편집

AWS CloudHSM은 AWSServiceRoleForCloudHSM 역할을 편집하도록 허용하지 않습니다. 예를 들어, 역할이 생성된 후에는 여러 엔터티에서 이 역할을 이름으로 참조할 수 있으므로 이름을 변경할 수 없습니다. 역할 정책도 변경할 수 없습니다. 그러나 IAM을 사용하여 역할 설명을 편집할 수 있습니다. 자세한 내용은 IAM 사용 설명서의 서비스 연결 역할 편집을 참조하십시오.

서비스 연결 역할 삭제

서비스 연결 역할이 적용되는 클러스터가 존재하는 동안에는 이 역할을 삭제할 수 없습니다. 이 역할을 삭제하려면 먼저 클러스터의 각 HSM을 삭제한 후 클러스터를 삭제해야 합니다. 계정의 모든 클러스터를 삭제해야 합니다. 그러면 IAM 콘솔, AWS CLI 또는 API를 사용하여 역할을 삭제할 수 있습니다. 클러스터 삭제에 대한 자세한 내용은 AWS CloudHSM 클러스터 삭제를 참조하십시오. 자세한 내용은 IAM 사용 설명서의 서비스 연결 역할 삭제 단원을 참조하십시오.