기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
AWS 는 액세스 제어에 IAM을 사용하는 모든 AWS 서비스에 대한 정책 조건 키 세트인 전역 조건 키를 정의합니다.는 모든 전역 조건 키를 AWS KMS 지원합니다. AWS KMS 키 정책 및 IAM 정책에서 사용할 수 있습니다.
예를 들어 요청의 보안 주체가 조건 키 값에 Amazon 리소스 이름(ARN)으로 표시되는 경우에만 aws:PrincipalArn 전역 조건 키를 사용하여 AWS KMS key (KMS 키)에 대한 액세스를 허용할 수 있습니다. 에서 속성 기반 액세스 제어(ABAC)를 지원하려면 IAM 정책에서 aws:ResourceTag/tag-key 전역 조건 키를 사용하여 특정 태그가 있는 KMS 키에 대한 액세스를 허용할 AWS KMS수 있습니다.
보안 주체가 AWS 서비스 AWS 보안 주체인 정책에서 서비스가 혼동된 대리자로 사용되지 않도록 또는 aws:SourceArn aws:SourceAccount 전역 조건 키를 사용할 수 있습니다. 세부 정보는 aws:SourceArn 또는 aws:SourceAccount 조건 키 사용을 참조하세요.
사용 가능한 요청 유형을 포함한 AWS 전역 조건 키에 대한 자세한 내용은 IAM 사용 설명서의 AWS 전역 조건 컨텍스트 키를 참조하세요. IAM 정책에서 전역 조건 키를 사용하는 예는 IAM 사용 설명서의 요청에 대한 액세스 제어 및 태그 키 제어를 참조하세요.
다음 주제에서는 IP 주소 및 VPC 엔드포인트를 기반으로 조건 키를 사용하기 위한 특별한 지침을 제공합니다.
AWS KMS 권한으로 정책에서 IP 주소 조건 사용
AWS KMS 를 사용하여 통합 AWS 서비스에서 데이터를 보호할 수 있습니다. 그러나 액세스를 허용하거나 거부하는 동일한 정책 설명에서 IP 주소 조건 연산자 또는 aws:SourceIp 조건 키를 지정할 때는 주의해야 합니다 AWS KMS. 예를 들어 AWS의 정책은 소스 IP를 AWS 기반으로에 대한 액세스 거부 AWS 작업을 지정된 IP 범위의 요청으로 제한합니다.
다음 시나리오를 고려하십시오.
-
:에서 AWS소스 IP AWS 기반에 대한 액세스 거부에 표시된 것과 같은 정책을 IAM 자격 증명에 연결합니다.
aws:SourceIp조건 키의 값을 사용자 회사의 IP 주소 범위로 설정합니다. 이 IAM ID에게는 Amazon EBS, Amazon EC2 및 AWS KMS사용을 허용하는 다른 정책이 연결되어 있습니다. -
ID가 암호화된 EBS 볼륨을 EC2 인스턴스에 연결하려고 합니다. 사용자가 모든 관련 서비스를 이용할 권한을 가지고 있음에도 인증 오류로 인해 이 작업은 실패합니다.
볼륨의 암호화된 데이터 키를 복호화 AWS KMS 하기 위한 요청이 Amazon EC2 인프라와 연결된 IP 주소에서 오기 때문에 2단계는 실패합니다. 요청이 성공하려면 원래 사용자의 IP 주소에서 이루어져야 합니다. 1단계의 정책은 지정된 IP 주소 이외에서 이루어진 모든 요청을 명시적으로 거부하기 때문에, EBS 볼륨의 암호화된 데이터 키를 해독할 수 있는 권한이 Amazon EC2에 부여되지 않습니다.
또한 요청이 Amazon VPC 엔드포인트에서 이루어지는 경우 aws:sourceIP 조건 키는 유효하지 않습니다. AWS KMS VPC 엔드포인트를 포함해 VPC 엔드포인트로 요청을 제한하려면 aws:sourceVpce 또는 aws:sourceVpc 조건 키를 사용합니다. 자세한 정보는 Amazon VPC 사용 설명서의 VPC 엔드포인트 - 엔드포인트 사용 제어를 참조하세요.
AWS KMS
권한으로 정책에서 VPC 엔드포인트 조건 사용
는 AWS PrivateLink로 구동되는AWS KMS Amazon Virtual Private Cloud(VPC) 엔드포인트를 지원합니다. 요청이 VPC에서 오거나 VPC 엔드포인트를 사용할 때 키 정책 및 IAM 정책에서 다음 전역 조건 키를 사용하여 AWS KMS 리소스에 대한 액세스를 제어할 수 있습니다. 세부 정보는 VPC 엔드포인트를 사용하여 AWS KMS 리소스에 대한 액세스 제어을 참조하세요.
-
aws:SourceVpc는 지정된 VPC의 요청으로 액세스를 제한합니다. -
aws:SourceVpce는 지정된 VPC 엔드포인트의 요청으로 액세스를 제한합니다.
이러한 조건 키를 사용하여 KMS 키에 대한 액세스를 제어하는 경우가 사용자를 대신하여 사용하는 AWS 서비스에 AWS KMS 대한 액세스를 실수로 거부할 수 있습니다.
IP 주소 조건 키 예제와 같은 상황을 피하도록 주의하십시오. KMS 키에 대한 요청을 VPC 또는 VPC 엔드포인트로 제한하면 Amazon S3 또는 Amazon EBS와 같은 통합 서비스 AWS KMS 에서에 대한 호출이 실패할 수 있습니다. 원본 요청이 궁극적으로 VPC 또는 VPC 엔드포인트에서 시작된 경우에도 이러한 상황이 발생할 수 있습니다.
