서비스 제어 정책(SCP)

서비스 제어 정책(SCP)은 조직의 권한을 관리하는 데 사용할 수 있는 조직 정책 유형입니다. SCP는 조직 내 모든 IAM 사용자 및 IAM 역할에 대해 사용 가능한 최대 권한을 중앙에서 제어합니다. SCP를 사용하면 조직의 액세스 제어 지침에 따라 계정을 유지할 수 있습니다. SCP는 활성화된 모든 기능을 가진 조직에서만 사용할 수 있습니다. 조직이 통합 결제 기능만 지원한다면 SCP를 이용할 수 없습니다. SCP 활성화에 대한 지침은 정책 유형 활성화 단원을 참조하세요.

SCP는 조직 내 IAM 사용자 및 IAM 역할에 권한을 부여하지 않습니다. SCP는 어떠한 권한도 부여하지 않습니다. SCP는 조직 내 IAM 사용자 및 IAM 역할이 수행할 수 있는 작업에 대한 권한 가드레일을 정의하거나 제한을 설정합니다. 권한을 부여하려면 관리자가 IAM 사용자 및 IAM 역할에 연결된 자격 증명 기반 정책, 계정의 리소스에 연결된 리소스 기반 정책 등 액세스를 제어하는 정책을 연결해야 합니다. 유효 권한은 SCP가 허용하는 권한과 ID 및 리소스 기반 정책이 허용하는 권한 간의 논리적 교집합입니다.

SCP의 효과 테스트

AWS는 정책이 계정에 미치는 영향을 철저히 검증하지 않았다면 SCP를 조직의 루트에 연결하지 않는 것을 적극 권장합니다. 대신 한 번에 하나씩, 또는 소량 단위로 계정을 옮길 수 있는 OU를 만들어 사용자가 주요 서비스를 이용하지 못하는 일이 없게 하세요. 서비스가 계정에 사용되는지 확인하는 한 가지 방법은 IAM에서 마지막으로 데이터를 액세스한 서비스를 살펴보는 것입니다. 또 다른 방법은 AWS CloudTrail을 사용하여 API 수준의 서비스 사용량을 기록하는 것입니다.

SCP의 최대 크기

SCP 내 모든 문자는 최대 크기를 기준으로 계수됩니다. 이 설명서의 예제는 가독성을 높이기 위한 추가 공백으로 포맷된 SCP를 보여 줍니다. 하지만 정책 크기가 최대 크기에 근접한 경우 공백을 저장하려면 인용 부호 바깥에 있는 공백 문자(예: 공백 및 줄 바꿈)를 모두 삭제할 수 있습니다.

조직 내 여러 수준에 SCP 연결하기

SCP가 작동하는 방식에 대한 자세한 설명은 SCP 평가을(를) 참조하세요.

권한에 대한 SCP 효과

SCP는 AWS Identity and Access Management(IAM) 권한 정책과 유사하며 거의 같은 구문을 사용합니다. 그러나 SCP는 권한을 부여하지는 않습니다. 대신 SCP는 조직 내 IAM 사용자 및 IAM 역할에 대한 최대 권한을 지정하는 JSON 정책입니다. 자세한 내용은 IAM 사용 설명서의 정책 평가 로직을 참조하세요.

액세스 데이터를 사용하여 SCP 개선

관리 계정 자격 증명으로 로그인하면 IAM 콘솔의 AWS Organizations 섹션에서 AWS Organizations 엔터티 또는 정책과 관련해 서비스가 마지막으로 액세스한 데이터를 볼 수 있습니다. IAM에서 AWS Command Line Interface(AWS CLI) 또는 AWS API를 사용하여 서비스가 마지막으로 액세스한 데이터를 검색할 수도 있습니다. 이 데이터에는 AWS Organizations 계정의 IAM 사용자 및 역할이 마지막으로 액세스를 시도한 허용된 서비스와 그 시기에 대한 정보가 있습니다. 이 정보를 사용하여 사용되지 않는 권한을 확인할 수 있으므로 SCP를 구체화함으로써 최소 권한의 원칙을 보다 잘 준수할 수 있습니다.

예를 들어 세 가지 AWS 서비스에 대한 액세스를 금지하는 거부 목록 SCP가 있다고 합시다. SCP의 Deny 문에 없는 모든 서비스는 허용됩니다. IAM에서 서비스가 마지막으로 액세스한 데이터를 보면 SCP에서 허용하지만 사용된 적 없는 AWS 서비스를 알 수 있습니다. 이 정보로 SCP를 업데이트하여 필요 없는 서비스에 대한 액세스를 거부할 수 있습니다.

자세한 내용은 IAM 사용 설명서에서 다음 주제를 참조하세요.

작업 및 엔터티는 SCP로 제한할 수 없습니다.

다음 작업은 SCP를 사용해 제한할 수 없습니다.