AWS 글로벌 조건 키 - AWS Key Management Service
IP 주소 조건 사용VPC 및 VPC 엔드포인트 조건 사용

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

AWS 글로벌 조건 키

AWS 액세스 제어에 IAM을 사용하는 모든 AWS 서비스에 대한 정책 조건 키 집합인 글로벌 조건 키를 정의합니다. AWS KMS 모든 글로벌 조건 키를 지원합니다. AWS KMS 키 정책 및 IAM 정책에서 사용할 수 있습니다.

예를 들어 aws: PrincipalArn 글로벌 조건 키를 사용하면 요청의 보안 주체가 조건 키 값에 Amazon 리소스 이름 AWS KMS key (ARN) 으로 표시되는 경우에만 (KMS 키) 에 대한 액세스를 허용할 수 있습니다. 에서 AWS KMS속성 기반 액세스 제어 (ABAC) 를 지원하려면 IAM 정책의 aws:ResourceTag/tag-key 글로벌 조건 키를 사용하여 특정 태그가 있는 KMS 키에 대한 액세스를 허용할 수 있습니다.

보안 주체가 AWS 서비스 주체인 정책에서 서비스가 혼동되는 대리자로 사용되는 것을 방지하려면 또는 글로벌 조건 AWS 키를 사용할 수 있습니다. aws:SourceArnaws:SourceAccount 자세한 내용은 aws:SourceArn 또는 aws:SourceAccount 조건 키 사용단원을 참조하세요.

사용 가능한 요청 유형을 비롯한 AWS 글로벌 조건 키에 대한 자세한 내용은 IAM 사용 설명서의AWS 글로벌 조건 컨텍스트 키를 참조하십시오. IAM 정책에서 전역 조건 키를 사용하는 예는 IAM 사용 설명서의 요청에 대한 액세스 제어 및 태그 키 제어를 참조하세요.

다음 주제에서는 IP 주소 및 VPC 엔드포인트를 기반으로 조건 키를 사용하기 위한 특별한 지침을 제공합니다.

AWS KMS 권한으로 정책에서 IP 주소 조건 사용

를 AWS KMS 사용하여 통합 AWS 서비스에서 데이터를 보호할 수 있습니다. 그러나 액세스를 허용하거나 거부하는 동일한 정책 설명에 IP 주소 aws:SourceIp 조건 연산자 또는 조건 키를 지정할 때는 주의해야 합니다. AWS KMS예를 들어, 소스 IP AWS 기반 액세스 거부 정책은 지정된 IP 범위의 요청에 대한 AWS 작업을 제한합니다.AWS

다음 시나리오를 고려하십시오.

  1. 소스 IP AWS 기반 액세스 거부와 같은 정책을 IAM ID에 연결합니다.AWSaws:SourceIp 조건 키의 값을 사용자 회사의 IP 주소 범위로 설정합니다. 이 IAM ID에게는 Amazon EBS, Amazon EC2 및 AWS KMS사용을 허용하는 다른 정책이 연결되어 있습니다.

  2. ID가 암호화된 EBS 볼륨을 EC2 인스턴스에 연결하려고 합니다. 사용자가 모든 관련 서비스를 이용할 권한을 가지고 있음에도 인증 오류로 인해 이 작업은 실패합니다.

볼륨의 암호화된 데이터 키를 AWS KMS 복호화하라는 요청이 Amazon EC2 인프라와 연결된 IP 주소에서 오기 때문에 2단계가 실패합니다. 요청이 성공하려면 원래 사용자의 IP 주소에서 이루어져야 합니다. 1단계의 정책은 지정된 IP 주소 이외에서 이루어진 모든 요청을 명시적으로 거부하기 때문에, EBS 볼륨의 암호화된 데이터 키를 해독할 수 있는 권한이 Amazon EC2에 부여되지 않습니다.

또한 요청이 Amazon VPC 엔드포인트에서 이루어지는 경우 aws:sourceIP 조건 키는 유효하지 않습니다. AWS KMS VPC 엔드포인트를 포함해 VPC 엔드포인트로 요청을 제한하려면 aws:sourceVpce 또는 aws:sourceVpc 조건 키를 사용합니다. 자세한 정보는 Amazon VPC 사용 설명서의 VPC 엔드포인트 - 엔드포인트 사용 제어를 참조하세요.

AWS KMS 권한으로 정책에서 VPC 엔드포인트 조건 사용

AWS KMS 에서 구동되는 Amazon VPC (가상 사설 클라우드) 엔드포인트를 지원합니다. AWS PrivateLink 요청이 VPC에서 오거나 VPC 엔드포인트를 사용하는 경우 키 정책 및 IAM 정책에서 다음 글로벌 조건 키를 사용하여 AWS KMS 리소스에 대한 액세스를 제어할 수 있습니다. 자세한 내용은 정책 설명에 VPC 엔드포인트 사용 섹션을 참조하세요.

  • aws:SourceVpc는 지정된 VPC의 요청으로 액세스를 제한합니다.

  • aws:SourceVpce는 지정된 VPC 엔드포인트의 요청으로 액세스를 제한합니다.

이러한 조건 키를 사용하여 KMS 키에 대한 액세스를 제어하면 자신을 대신하여 사용하는 서비스에 대한 액세스가 실수로 거부될 수 있습니다. AWS AWS KMS

IP 주소 조건 키 예제와 같은 상황을 피하도록 주의하십시오. KMS 키에 대한 요청을 VPC 또는 VPC 엔드포인트로 제한하면 Amazon S3 또는 Amazon EBS와 같은 통합 서비스에서의 AWS KMS 호출이 실패할 수 있습니다. 원본 요청이 궁극적으로 VPC 또는 VPC 엔드포인트에서 시작된 경우에도 이러한 상황이 발생할 수 있습니다.