Elastic Beanstalk 사용자 정책 관리

AWS Elastic Beanstalk 는 Elastic Beanstalk가 관리하는 모든 리소스에 전체 액세스 또는 읽기 전용 액세스를 할당할 수 있는 두 가지 관리형 정책을 제공합니다. 정책을 AWS Identity and Access Management (IAM) 사용자 또는 그룹 또는 사용자가 수임한 역할에 연결할 수 있습니다.

사용되지 않는 관리형 정책

이전에는 Elastic Beanstalk가 다른 두 관리형 사용자 정책인 AWSElasticBeanstalkFullAccess 및를 지원했습니다AWSElasticBeanstalkReadOnlyAccess. 이러한 이전 정책은 사용 중지될 것입니다. IAM 콘솔에서 계속 보고 사용할 수 있습니다. 새 관리형 사용자 정책으로 전환하여 사용하고 사용자 지정 리소스에 권한을 부여하는 사용자 지정 정책을 추가하는 것이 좋습니다(있는 경우).

다른 서비스와의 통합 정책

또한 원하는 경우 다른 서비스와 환경을 통합할 수 있도록 보다 세분화된 정책을 제공합니다.

특정 관리형 정책의 JSON 소스를 보려면 AWS 관리형 정책 참조 가이드를 참조하세요.

관리형 정책을 통한 액세스 제어

관리형 정책을 통해 Elastic Beanstalk에 모든 액세스 또는 읽기 전용 액세스를 부여할 수 있습니다. 새 기능으로 액세스하는 데 추가 권한이 필요한 경우 Elastic Beanstalk는 이러한 정책을 자동으로 업데이트합니다.

맞춤형 사용자 지정 정책 생성

특정 Elastic Beanstalk 리소스에 대한 특정 Elastic Beanstalk API 작업을 허용하거나 거부하고 Elastic Beanstalk에서 관리하지 않는 사용자 지정 리소스에 대한 액세스를 제어하도록 자체 IAM 정책을 생성할 수 있습니다. 사용자 또는 그룹에 정책을 연결하는 방법에 대한 자세한 내용은 IAM 사용 설명서의 정책 작업을 참조하세요. 사용자 지정 정책 생성에 대한 자세한 내용은 IAM 사용 설명서의 IAM 정책 생성을 참조하세요.

IAM 정책에는 부여할 권한을 설명하는 정책 설명이 포함되어 있습니다. Elastic Beanstalk의 정책 설명을 생성하고자 하는 경우 정책 설명의 다음 네 가지 부분의 사용법을 이해해야 합니다:

다음 섹션에서는 사용자 지정 사용자 정책을 사용하기 위해 고려해야 할 몇 가지 경우를 설명합니다.

제한된 Elastic Beanstalk 환경 생성 활성화

다음 예제의 정책을 통해 사용자는 지정된 애플리케이션 및 애플리케이션 버전을 사용하여 CreateEnvironment 작업을 호출함으로써 이름이 Test로 시작하는 환경을 생성할 수 있습니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid":"CreateEnvironmentPerm",
      "Action": [
        "elasticbeanstalk:CreateEnvironment"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:elasticbeanstalk:us-east-2:123456789012:environment/My First Elastic Beanstalk Application/Test*"
      ],
      "Condition": {
        "StringEquals": {
          "elasticbeanstalk:InApplication": ["arn:aws:elasticbeanstalk:us-east-2:123456789012:application/My First Elastic Beanstalk Application"],
          "elasticbeanstalk:FromApplicationVersion": ["arn:aws:elasticbeanstalk:us-east-2:123456789012:applicationversion/My First Elastic Beanstalk Application/First Release"]
        }
      }
    },
    {
      "Sid":"AllNonResourceCalls",
      "Action":[
        "elasticbeanstalk:CheckDNSAvailability",
        "elasticbeanstalk:CreateStorageLocation"
      ],
      "Effect":"Allow",
      "Resource":[
        "*"
      ]
    }
  ]
}

위 정책은 Elastic Beanstalk 작업에 제한된 액세스를 부여하는 방법을 보여줍니다. 실제로 환경을 시작하려면 사용자에게 환경을 지원하는 AWS 리소스를 생성할 수 있는 권한이 있어야 합니다. 예를 들어 다음 정책은 웹 서버 환경의 기본 리소스 세트로의 액세스를 부여합니다:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:*",
        "ecs:*",
        "elasticloadbalancing:*",
        "autoscaling:*",
        "cloudwatch:*",
        "s3:*",
        "sns:*",
        "cloudformation:*",
        "sqs:*"
        ],
      "Resource": "*"
    }
  ]
}

Amazon S3에 저장된 Elastic Beanstalk 로그로의 액세스 활성화

다음 예제의 정책을 통해 사용자는 Elastic Beanstalk 로그를 가져오고, Amazon S3에서 스테이징하며, 검색할 수 있습니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "s3:DeleteObject",
        "s3:GetObjectAcl",
        "s3:PutObjectAcl"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::elasticbeanstalk-*"
    }
  ]
}

"arn:aws:s3:::elasticbeanstalk-us-east-2-123456789012/resources/environments/logs/*"

특정 Elastic Beanstalk 애플리케이션 관리 활성화

다음 예제의 정책을 통해 사용자는 하나의 특정 Elastic Beanstalk 애플리케이션에서 환경 및 기타 리소스를 관리할 수 있습니다. 이 정책은 다른 애플리케이션 리소스에 대한 Elastic Beanstalk 작업을 허용하지 않으며, Elastic Beanstalk 애플리케이션의 생성 및 삭제 또한 허용하지 않습니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "elasticbeanstalk:CreateApplication",
        "elasticbeanstalk:DeleteApplication"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Effect": "Deny",
      "Action": [
        "elasticbeanstalk:CreateApplicationVersion",
        "elasticbeanstalk:CreateConfigurationTemplate",
        "elasticbeanstalk:CreateEnvironment",
        "elasticbeanstalk:DeleteApplicationVersion",
        "elasticbeanstalk:DeleteConfigurationTemplate",
        "elasticbeanstalk:DeleteEnvironmentConfiguration",
        "elasticbeanstalk:DescribeApplicationVersions",
        "elasticbeanstalk:DescribeConfigurationOptions",
        "elasticbeanstalk:DescribeConfigurationSettings",
        "elasticbeanstalk:DescribeEnvironmentResources",
        "elasticbeanstalk:DescribeEnvironments",
        "elasticbeanstalk:DescribeEvents",
        "elasticbeanstalk:DeleteEnvironmentConfiguration",
        "elasticbeanstalk:RebuildEnvironment",
        "elasticbeanstalk:RequestEnvironmentInfo",
        "elasticbeanstalk:RestartAppServer",
        "elasticbeanstalk:RetrieveEnvironmentInfo",
        "elasticbeanstalk:SwapEnvironmentCNAMEs",
        "elasticbeanstalk:TerminateEnvironment",
        "elasticbeanstalk:UpdateApplicationVersion",
        "elasticbeanstalk:UpdateConfigurationTemplate",
        "elasticbeanstalk:UpdateEnvironment",
        "elasticbeanstalk:RetrieveEnvironmentInfo",
        "elasticbeanstalk:ValidateConfigurationSettings"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringNotEquals": {
          "elasticbeanstalk:InApplication": [
            "arn:aws:elasticbeanstalk:us-east-2:123456789012:application/myapplication"
          ]
        }
      }
    }
  ]
}