기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
AWSControl Tower 리소스에 대한 액세스 권한 관리 개요
모든 AWS 리소스는 다음 사용자가 소유합니다. AWS 계정그리고 리소스를 만들거나 리소스에 액세스할 수 있는 권한은 권한 정책에 의해 관리됩니다. 계정 관리자는 권한 정책을 IAM ID (즉, 사용자, 그룹, 역할) 에 연결할 수 있습니다. 일부 서비스 (예: AWS Lambda또한 리소스에 권한 정책을 연결하는 것도 지원합니다.
참고
계정 관리자 또는 관리자는 관리자 권한이 있는 사용자입니다. 자세한 내용은 IAM사용 설명서의 IAM 모범 사례를 참조하십시오.
사용자 또는 역할에 권한을 부여할 책임이 있는 경우 권한이 필요한 사용자 및 역할, 각 사용자 및 역할에 권한이 필요한 리소스, 해당 리소스를 운영하기 위해 허용되어야 하는 특정 작업을 파악하고 추적해야 합니다.
AWSControl Tower 리소스 및 운영
AWSControl Tower에서 주 자원은 착륙 지대입니다. AWSControl Tower는 가드레일이라고도 하는 추가 리소스 유형인 컨트롤도 지원합니다. 하지만 AWS Control Tower의 경우 기존 착륙 지대의 상황에서만 제어를 관리할 수 있습니다. 컨트롤을 하위 리소스라고 할 수 있습니다.
의 리소스 및 하위 리소스 AWS 다음 예와 같이 고유한 Amazon 리소스 이름 (ARNs) 이 연결되어 있어야 합니다.
| 리소스 유형 | ARN형식 |
|---|---|
| 파일 시스템 | arn:aws:elasticfilesystem: |
AWSControl Tower는 AWS Control Tower 리소스를 사용하기 위한 일련의 API 작업을 제공합니다. 사용 가능한 작업 목록은 Control Tower, AWS Control Tower API 레퍼런스를 참조하십시오. AWS
에 대한 자세한 내용은 AWS CloudFormation AWSControl Tower의 리소스는 다음을 참조하십시오. AWS CloudFormation 사용자 가이드.
리소스 소유권 정보
더 AWS 누가 리소스를 만들었든 상관없이 계정에서 생성된 리소스는 계정이 소유합니다. 구체적으로 말하자면, 리소스 소유자는 AWS 주 엔티티의 계정 (즉, AWS 계정 리소스 생성 요청을 인증하는 루트 사용자, IAM Identity Center IAM 사용자, 사용자 또는 IAM 역할) 다음 예에서는 이러한 작동 방식을 설명합니다.
-
를 사용하는 경우 AWS 귀하의 계정 루트 사용자 자격 증명 AWS 착륙 지대를 설정하는 계정, 귀하의 AWS 계정은 리소스의 소유자입니다.
-
IAM사용자 계정을 생성한 경우 AWS 계정을 만들고 해당 사용자에게 랜딩 존 설정 권한을 부여하면 사용자는 계정이 사전 요구 사항을 충족하는 한 랜딩 존을 설정할 수 있습니다. 하지만, AWS 사용자가 속한 계정은 landing zone 리소스를 소유합니다.
-
에서 IAM 역할을 생성하는 경우 AWS 랜딩 존을 설정할 수 있는 권한이 있는 계정으로, 역할을 맡을 수 있는 사람은 누구나 랜딩 존을 설정할 수 있습니다. 귀하의 AWS 역할이 속한 계정은 landing zone 리소스를 소유합니다.
정책 요소 (조치, 효과, 원칙) 를 명시하십시오.
AWSControl Tower 콘솔 또는 랜딩 존을 통해 랜딩 존을 설정하고 관리할 수 APIs 있습니다. Landning Zone을 설정하려면 IAM 정책에 정의된 관리자 권한을 가진 IAM 사용자여야 합니다.
정책에서 식별할 수 있는 가장 기본적인 요소는 다음과 같습니다.
-
리소스 — 정책에서는 Amazon 리소스 이름 (ARN) 을 사용하여 정책이 적용되는 리소스를 식별합니다. 자세한 내용은 AWSControl Tower 리소스 및 운영 단원을 참조하십시오.
-
조치 – 조치 키워드를 사용하여 허용 또는 거부할 리소스 작업을 식별합니다. 수행할 수 있는 작업 유형에 대한 자세한 내용은 AWSControl Tower에서 정의한 작업을 참조하십시오.
-
결과 – 사용자가 특정 작업을 요청하는 경우의 결과를 지정합니다. 이는 허용 또는 거부 중에 하나가 될 수 있습니다. 명시적으로 리소스에 대한 액세스 권한을 부여(허용)하지 않는 경우, 액세스는 묵시적으로 거부됩니다. 다른 정책에서 액세스 권한을 부여하는 경우라도 사용자가 해당 리소스에 액세스할 수 없도록 하기 위해 리소스에 대한 권한을 명시적으로 거부할 수도 있습니다.
-
보안 주체 — ID 기반 정책 (IAM정책) 에서는 정책이 연결된 사용자가 암시적 보안 주체입니다. 리소스 기반 정책의 경우, 사용자, 계정, 서비스 또는 권한의 수신자인 기타 개체를 지정합니다(리소스 기반 정책에만 해당). AWSControl Tower는 리소스 기반 정책을 지원하지 않습니다.
IAM정책 구문 및 설명에 대한 자세한 내용은 을 참조하십시오. AWS IAMIAM사용 설명서의 정책 참조.
정책에서 조건 지정
권한을 부여할 때 IAM 정책 언어를 사용하여 정책이 적용되는 조건을 지정할 수 있습니다. 예를 들어, 특정 날짜 이후에만 정책을 적용할 수 있습니다. 정책 언어로 조건을 지정하는 방법에 대한 자세한 내용은 IAM사용 설명서의 조건을 참조하십시오.
조건을 표현하기 위해 사전 정의된 조건 키를 사용할 수 있습니다. AWSControl Tower에만 적용되는 조건 키는 없습니다. 하지만 다음과 같은 것들이 있습니다. AWS-전체 조건 키를 적절하게 사용할 수 있습니다. 전체 목록은 다음과 같습니다. AWS-wide 키는 사용 설명서의 IAM 조건에 따라 사용 가능한 키를 참조하십시오.
