에 대한 액세스 관리 AWS DataSync - AWS DataSync
DataSync 리소스 및 작업리소스 소유권 이해 리소스 액세스 관리정책 요소 지정: 작업, 효과, 리소스, 보안 주체정책에서 조건 지정

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

에 대한 액세스 관리 AWS DataSync

모든 AWS 리소스는에서 소유합니다 AWS 계정. 리소스를 생성하고 액세스할 수 있는 권한은 권한 정책에서 관리합니다. 계정 관리자는 AWS Identity and Access Management (IAM) 자격 증명에 권한 정책을 연결할 수 있습니다. 일부 서비스(예: AWS Lambda)는 리소스에 권한 정책 연결을 지원합니다.

참고

계정 관리자는 AWS 계정에 대한 관리자 권한을 가진 사용자입니다. 자세한 내용은 IAM 사용 설명서의 IAM 모범 사례를 참조하십시오.

DataSync 리소스 및 작업

DataSync에서 기본 리소스는 에이전트, 위치, 작업 및 작업 실행입니다.

다음 표에서처럼 이러한 리소스에는 고유한 Amazon 리소스 이름(ARN)이 연계됩니다.

리소스 유형 ARN 형식

에이전트 ARN

arn:aws:datasync:region:account-id:agent/agent-id
위치 ARN

arn:aws:datasync:region:account-id:location/location-id
작업 ARN

arn:aws:datasync:region:account-id:task/task-id

작업 실행 ARN

arn:aws:datasync:region:account-id:task/task-id/execution/exec-id

작업 생성과 같은 특정 API 작업에 대한 권한을 부여하기 위해 DataSync는 권한 정책에서 지정할 수 있는 일련의 작업을 정의합니다. API 작업에는 둘 이상의 작업에 대한 권한이 필요할 수 있습니다. 모든 DataSync API 작업과 해당 작업이 적용되는 리소스를 나열하는 표는 DataSync API 권한: 작업 및 리소스단원을 참조하십시오.

리소스 소유권 이해

리소스 소유자는 리소스를 AWS 계정 생성한 입니다. 즉, 리소스 소유자는 리소스를 생성하는 요청을 인증하는 보안 주체 엔터티(예: IAM 역할) AWS 계정 의 입니다. 다음 예에서는 이 행동의 작용 방식을 설명합니다.

  • 의 루트 계정 자격 증명을 사용하여 작업을 AWS 계정 생성하는 경우 AWS 계정 는 리소스의 소유자입니다(DataSync에서 리소스는 작업임).

  • 에서 IAM 역할을 생성하고 해당 사용자에게 CreateTask 작업에 대한 권한을 AWS 계정 부여하는 경우 사용자는 작업을 생성할 수 있습니다. 하지만 해당 사용자가 속한 자신의 AWS 계정이 작업 리소스를 소유합니다.

  • 작업을 생성할 수 있는 권한이 AWS 계정 있는에서 IAM 역할을 생성하는 경우 역할을 수임할 수 있는 사람은 누구나 작업을 생성할 수 있습니다. 역할 AWS 계정이 속한이 작업 리소스를 소유합니다.

리소스 액세스 관리

권한 정책은 누가 무엇에 액세스 할 수 있는지를 나타냅니다. 다음 섹션에서는 권한 정책을 만드는 데 사용 가능한 옵션에 대해 설명합니다.

참고

이 섹션에서는 DataSync의 맥락에서의 IAM을 사용을 논의합니다. IAM 서비스에 대한 자세한 정보는 다루지 않습니다. IAM 설명서 전체 내용은 IAM 사용 설명서의 IAM이란 무엇입니까? 단원을 참조하십시오. IAM 정책 구문과 설명에 대한 자세한 내용은 IAM 사용 설명서의 AWS Identity and Access Management 정책 참조 섹션을 참조하십시오.

IAM 보안 인증에 연결된 정책을 보안 인증 기반 정책(IAM 정책)이라 하고, 리소스에 연결된 정책을 리소스 기반 정책이라고 합니다. DataSync는 보안 인증 기반 정책(IAM 정책)만 지원합니다.

보안 인증 기반 정책

IAM 정책을 사용하여 DataSync 리소스 액세스를 관리할 수 있습니다. 이러한 정책은 AWS 계정 관리자가 DataSync를 사용하여 다음을 수행하는 데 도움이 될 수 있습니다.

  • DataSync 리소스를 생성하고 관리할 수 있는 권한 부여 -의 IAM 역할이 에이전트, 위치 및 작업과 같은 DataSync 리소스를 생성하고 관리할 AWS 계정 수 있도록 허용하는 IAM 정책을 생성합니다.

  • 다른 AWS 계정 또는의 역할에 권한 부여 AWS 서비스 - 다른 AWS 계정 또는의 IAM 역할에 권한을 부여하는 IAM 정책을 생성합니다 AWS 서비스. 예시:

    1. 계정 A 관리자는 IAM 역할을 생성하고 계정 A의 리소스에 대한 권한을 부여하는 역할에 권한 정책을 연결합니다.

    2. 계정 A 관리자는 계정 B를 역할을 수임할 보안 주체로 식별하는 역할에 신뢰 정책을 연결합니다.

      역할을 수임할 수 있는 AWS 서비스 권한을 부여하기 위해 계정 A 관리자는 신뢰 정책의 보안 주체 AWS 서비스 로를 지정할 수 있습니다.

    3. 그런 다음 계정 B 관리자는 계정 B의 모든 사용자에게 역할을 맡을 수 있는 권한을 위임할 수 있습니다. 이렇게 하면 계정 B에서 역할을 사용하는 모든 사용자가 계정 A에서 리소스를 만들거나 액세스할 수 있습니다.

    IAM을 사용하여 권한을 위임하는 방법에 대한 자세한 내용은 IAM 사용 설명서의 액세스 관리 단원을 참조하십시오.

다음은 모든 리소스의 모든 List*작업에 대한 권한을 부여하는 정책의 예시입니다. 이 작업은 읽기 전용 작업이며 리소스 수정이 허용되지 않습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAllListActionsOnAllResources",
            "Effect": "Allow",
            "Action": [
                "datasync:List*"
            ],
            "Resource": "*"
        }
    ]
}

DataSync에서 보안 인증 기반 정책을 사용하는 방법에 대한 자세한 내용은 관리형 정책 및 고객 AWS 관리형 정책을 참조하세요. IAM에 대한 일반적인 내용은 IAM 사용 설명서를 참조하십시오.

리소스 기반 정책

Amazon S3과 같은 다른 서비스는 리소스 기반 권한 정책을 지원합니다. 예를 들어 Amazon S3 버킷에 정책을 연결하여 해당 버킷에 대한 액세스 권한을 관리할 수 있습니다. 그러나 DataSync는 리소스 기반 정책을 지원하지 않습니다.

정책 요소 지정: 작업, 효과, 리소스, 보안 주체

각 리소스(DataSync API 권한: 작업 및 리소스 참조)에 대해 서비스는 API 작업 세트를 정의합니다(작업 참조). 이러한 API 작업에 대한 권한을 부여하기 위해 DataSync는 귀하가 정책에서 지정할 수 있는 작업을 정의합니다. 예를 들어 CreateTask DataSync 리소스에 대해   DeleteTask 및  DescribeTask작업을 정의합니다. API 작업을 실시하려면 둘 이상의 작업에 대한 권한이 필요할 수 있습니다.

다음은 가장 기본적인 정책 요소입니다.

  • 리소스 – 정책에서 Amazon 리소스 이름(ARN)을 사용하여 정책을 적용할 리소스를 식별합니다. DataSync 리소스의 경우에는(*) IAM 정책에 와일드카드 문자를 사용할 수 있습니다. 자세한 설명은 DataSync 리소스 및 작업섹션을 참조하세요.

  • 조치 – 조치 키워드를 사용하여 허용 또는 거부할 리소스 작업을 식별합니다. 예를 들면, 지정된 Effect요소에 따라 datasync:CreateTask권한은 DataSync CreateTask작업을 수행할 수 있는 사용자 권한을 허용하거나 거부합니다.

  • 결과 – 사용자가 특정 작업을 요청하는 경우의 결과를 귀하가 지정합니다. 이는 Allow또는 Deny중에 하나가 될 수 있습니다. 리소스에 대한 액세스 (Allow) 권한을 명시적으로 부여하지 않으면 액세스가 묵시적으로 거부됩니다. 다른 정책에서 액세스 권한을 부여하는 경우라도 귀하는 사용자가 해당 리소스에 액세스할 수 없도록 하기 위해 리소스에 대한 사용자 액세스 권한을 명시적으로 거부할 수도 있습니다. 자세한 내용은 IAM 사용 설명서의 권한 부여를 참조하십시오.

  • 보안 주체 – 보안 인증 기반 정책(IAM 정책)에서 정책이 연결되는 사용자는 암시적인 보안 주체입니다. 리소스 기반 정책의 경우, 사용자, 계정, 서비스 또는 권한의 수신자인 기타 개체를 지정합니다(리소스 기반 정책에만 해당). DataSync는 리소스 기반 정책을 지원하지 않습니다.

IAM 정책 구문과 설명에 대한 자세한 내용은 IAM 사용 설명서의 AWS Identity and Access Management 정책 참조를 참조하십시오.

모든 DataSync API 작업을 보여 주는 표는 DataSync API 권한: 작업 및 리소스섹션을 참조하십시오.

정책에서 조건 지정

권한을 부여할 때 IAM 정책 언어를 사용하여 정책이 적용되는 조건을 지정할 수 있습니다. 예를 들어, 특정 날짜 이후에만 정책을 적용할 수 있습니다. 정책 언어에서의 조건 지정에 관한 자세한 내용은 IAM 사용 설명서의 조건을 참조하십시오.

조건을 표시하려면 미리 정의된 조건 키를 사용합니다. DataSync에만 해당되는 특정한 조건 키는 없습니다. 그러나 필요에 따라 사용할 수 있는 AWS 광범위한 조건 키가 있습니다. 전체 AWS 와이드 키 목록은 IAM 사용 설명서의 사용 가능한 키를 참조하세요.