기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
AWS를 사용하여 AWS IAM ID 센터 권한 세트를 코드로 관리합니다. CodePipeline
작성자: Andre Cavalcante(AWS), Claison Amorim(AWS)
환경: 프로덕션 | 기술: 보안, ID, 규정 준수 DevOps | |
AWS 서비스: AWS, AWS CodeBuild, AWS CodeCommit CodePipeline, AWS IAM 아이덴티티 센터 |
요약
AWS IAM Identity Center(AWS Single Sign-On 후속)를 사용하면 모든 AWS 계정과 애플리케이션에 대한 AWS Single Sign-On(SSO) 액세스를 중앙에서 관리할 수 있습니다. IAM Identity Center에서 사용자 자격 증명을 생성하고 관리하거나 Microsoft Active Directory 도메인 또는 외부 ID 제공업체(idP)와 같은 기존 자격 증명 소스를 연결할 수 있습니다. IAM Identity Center는 권한 세트를 사용하여 AWS 환경에 대한 세분화된 액세스를 정의, 사용자 지정 및 할당할 수 있는 통합 관리 환경을 제공합니다. 권한 세트는 AWS IAM Identity Center ID 스토어 또는 외부 IdP의 페더레이션 사용자 및 그룹에 적용됩니다.
이 패턴은 AWS Organizations에서 조직으로 관리되는 다중 계정 환경에서 IAM Identity Center 권한 세트를 코드로 관리하는 데 도움이 됩니다. 이 패턴을 사용하면 다음을 달성할 수 있습니다.
권한 집합을 만들고, 삭제하고, 업데이트
대상 AWS 계정, 조직 단위(OU) 또는 조직 루트에 대한 권한 집합 할당을 생성, 업데이트 또는 삭제합니다.
IAM ID 센터 권한 및 할당을 코드로 관리하기 위해 이 솔루션은 AWS, CodeCommit AWS 및 AWS를 사용하는 지속적 통합 및 지속적 전송 (CI/CD) 파이프라인을 배포합니다. CodeBuild CodePipeline 리포지토리에 저장하는 JSON 템플릿에서 권한 세트와 할당을 관리합니다. CodeCommit Amazon EventBridge 규칙이 리포지토리 변경을 감지하거나 대상 OU의 계정 수정을 감지하면 AWS Lambda 함수를 시작합니다. Lambda 함수는 IAM Identity Center의 권한 집합과 할당을 업데이트하는 CI/CD 파이프라인을 시작합니다.
사전 조건 및 제한 사항
사전 조건
AWS Organizations에서 하나의 조직으로 관리되는 다중 계정 환경. 자세한 내용은 조직 생성을 참조하세요.
자격 증명 소스로 활성화 및 구성된 IAM Identity Center. 자세한 내용은 IAM Identity Center 설명서의 시작하기를 참조하세요.
IAM Identity Center의 위임 관리자로 등록된 멤버 계정. 지침은 IAM Identity Center 설명서의 멤버 계정 등록을 참조하세요.
IAM Identity Center 위임 관리자 계정 및 조직의 관리 계정에 AWS CloudFormation 스택을 배포할 수 있는 권한. 자세한 내용은 설명서의 액세스 제어를 참조하십시오. CloudFormation
Identity Center의 Amazon Simple Storage Service(S3) 버킷은 관리자에게 아티팩트 코드를 업로드하도록 위임했습니다. 지침은 버킷 생성을 참조하세요.
조직의 관리 계정의 계정 ID. 지침은 AWS 계정 ID 찾기를 참조하세요.
제한 사항
아키텍처
기술 스택
AWS CodeBuild
AWS CodeCommit
AWS CodePipeline
아마존 EventBridge
AWS Identity Center
Lambda
Organizations
대상 아키텍처
![CI/CD 파이프라인 및 AWS CodeCommit 리포지토리를 사용하여 AWS IAM ID 센터에서 권한 세트를 관리합니다.](images/pattern-img/419aaa80-1b97-402d-9c74-c1b8c1ddd1cb/images/3d671cf3-329b-4292-aa2d-1027886074f4.png)
이 다이어그램은 다음 워크플로를 보여줍니다.
사용자는 다음 중 하나를 변경합니다.
리포지토리에 하나 이상의 변경 사항을 커밋합니다. CodeCommit
AWS Organizations의 조직 단위(OU)에서 계정을 수정
사용자가 CodeCommit 리포지토리에 변경 사항을 커밋하면
CodeChange
EventBridge 규칙이 변경을 감지하고 IAM Identity Center의 위임 관리자 계정에서 Lambda 함수를 시작합니다. 규칙은 스토어에 있는 특정 파일(예:README.md
파일)의 변경에는 반응하지 않습니다.사용자가 조직 단위의 계정을 수정한 경우
MoveAccount
EventBridge 규칙은 변경을 감지하고 조직의 관리 계정에서 Lambda 함수를 시작합니다.시작된 Lambda 함수는 CI/CD 파이프라인을 시작합니다. CodePipeline
CodePipeline
CodebuildTemplateValidation
CodeBuild 프로젝트를 시작합니다.CodebuildTemplateValidation
CodeBuild 프로젝트는 CodeCommit 저장소의 Python 스크립트를 사용하여 권한 집합 템플릿의 유효성을 검사합니다. CodeBuild 다음을 검증합니다.권한 집합 이름은 고유합니다.
할당문 ID(
Sid
)는 고유합니다.CustomPolicy
파라미터의 정책 정의가 유효합니다. (이 확인에는 AWS Identity and Access Management Access Analyzer를 사용합니다)관리형 정책의 Amazon 리소스 이름(ARN)이 유효합니다.
이
CodebuildPermissionSet
CodeBuild 프로젝트는 Python용 AWS SDK (Boto3) 를 사용하여 IAM ID 센터의 권한 세트를 삭제, 생성 또는 업데이트합니다.SSOPipeline:true
태그가 있는 권한 집합만 영향을 받습니다. 이 파이프라인을 통해 관리되는 모든 권한 집합에는 이 태그가 있습니다.CodebuildAssignments
CodeBuild 프로젝트는 Terraform을 사용하여 IAM ID 센터에서 할당을 삭제, 생성 또는 업데이트합니다. Terraform 백엔드 상태 파일은 동일한 계정의 S3 버킷에 저장됩니다.CodeBuild 조직의 관리 계정에서
lookup
IAM 역할을 맡습니다. 권한을 부여하거나 취소하는 데 필요한 리소스를 나열하기 위해 조직 및 identitystoreAPI를 직접적으로 호출합니다. CodeBuild IAM ID 센터의 권한 집합 및 할당을 업데이트합니다.
자동화 및 규모 조정
다중 계정 환경의 모든 새 계정은 AWS Organizations의 특정 조직 단위로 이동되므로 이 솔루션이 자동으로 실행되어 할당 템플릿에서 지정한 모든 계정에 필요한 권한 집합을 부여합니다. 추가 자동화 또는 규모 조정 작업이 필요하지 않습니다.
대규모 환경에서는 IAM Identity Center에 대한 API 요청 수가 많기 때문에 이 솔루션이 더 느리게 실행될 수 있습니다. Terraform과 Boto3는 자동으로 제한을 관리하여 성능 저하를 최소화합니다.
도구
서비스
AWS는 AWS CloudFormation 리소스를 설정하고, 빠르고 일관되게 프로비저닝하고, AWS 계정 및 지역 전반의 수명 주기 전반에 걸쳐 리소스를 관리할 수 있도록 지원합니다.
CodeBuildAWS는 소스 코드를 컴파일하고, 단위 테스트를 실행하고, 배포할 준비가 된 아티팩트를 생성하는 데 도움이 되는 완전관리형 빌드 서비스입니다.
CodeCommitAWS는 자체 소스 제어 시스템을 관리할 필요 없이 Git 리포지토리를 비공개로 저장하고 관리할 수 있는 버전 제어 서비스입니다.
AWS는 소프트웨어 릴리스의 여러 단계를 신속하게 모델링 및 구성하고 소프트웨어 변경 사항을 지속적으로 릴리스하는 CodePipeline 데 필요한 단계를 자동화하도록 지원합니다.
EventBridgeAmazon은 다양한 소스의 실시간 데이터와 애플리케이션을 연결하는 데 도움이 되는 서버리스 이벤트 버스 서비스입니다. AWS Lambda 함수, API 대상을 사용하는 HTTP 간접 호출 엔드포인트 또는 다른 AWS 계정의 이벤트 버스를 예로 들 수 있습니다.
AWS IAM Identity Center를 사용하면 모든 AWS 계정과 클라우드 애플리케이션에 대한 AWS Single Sign-On(SSO) 액세스를 중앙에서 관리할 수 있습니다.
AWS Organizations는 사용자가 생성하고 중앙에서 관리하는 조직으로 여러 AWS 계정을 통합할 수 있는 계정 관리 서비스입니다.
AWS SDK for Python(Boto3)
는 Python 애플리케이션, 라이브러리 또는 스크립트를 AWS 서비스와 통합하는 데 도움이 되는 소프트웨어 개발 키트입니다. Amazon Simple Storage Service(S3)는 원하는 양의 데이터를 저장, 보호 및 검색하는 데 도움이 되는 클라우드 기반 객체 스토리지 서비스입니다.
코드 리포지토리
이 패턴의 코드는 aws-iam-identity-center-pipeline
모범 사례
권한 집합과 할당 템플릿을 수정하기 전에 조직의 권한 세트를 계획하는 것이 좋습니다. 어떤 권한이 있어야 하는지, 권한 집합을 어떤 계정 또는 OU에 적용해야 하는지, 권한 집합의 영향을 받아야 하는 IAM Identity Center 보안 주체(사용자 또는 그룹)를 고려하세요. 권한 집합 이름, 연결 ID, IAM Identity Center 보안 주체 유형 및 ID는 배포 후 수정할 수 없습니다.
최소 권한 원칙을 준수하고 작업을 수행하는 데 필요한 최소 권한을 부여하세요. 자세한 내용은 IAM 설명서의 최소 권한 부여 및 보안 모범 사례를 참조하세요.
에픽
작업 | 설명 | 필요한 기술 |
---|---|---|
리포지토리를 복제합니다. | bash 쉘에서 다음 명령을 입력합니다. 이렇게 하면 -pipeline aws-iam-identity-center 리포지토리가 복제됩니다.
| DevOps 엔지니어 |
권한 세트를 정의합니다. |
| DevOps 엔지니어 |
할당을 정의하세요. |
| DevOps 엔지니어 |
작업 | 설명 | 필요한 기술 |
---|---|---|
파일을 S3 버킷에 업로드합니다. |
| DevOps 엔지니어 |
IAM Identity Center 위임 관리자 계정에 리소스를 배포하세요. |
| DevOps 엔지니어 |
AWS Organizations 관리 계정에 리소스를 배포합니다. |
| DevOps 엔지니어 |
작업 | 설명 | 필요한 기술 |
---|---|---|
권한 집합 및 할당을 업데이트하세요. |
배포된 권한 집합과 할당을 수정하려면 JSON 파일을 업데이트한 다음 IAM Identity Center 위임 관리자 계정의 CodeCommit 리포지토리에 커밋하십시오. 지침은 설명서의 커밋 생성을 참조하십시오. CodeCommit CI/CD 파이프라인을 사용하여 이전에 배포한 권한 집합과 연결을 관리할 때는 다음 사항에 유의하세요.
| DevOps 엔지니어 |
문제 해결
문제 | Solution |
---|---|
액세스 거부 오류 | CloudFormation 템플릿과 템플릿 내에 정의된 리소스를 배포하는 데 필요한 권한이 있는지 확인하십시오. 자세한 내용은 CloudFormation 설명서의 액세스 제어를 참조하십시오. |
검증 단계의 파이프라인 오류 | 이 오류는 권한 집합이나 할당 템플릿에 오류가 있는 경우 나타납니다.
|
관련 리소스
권한 세트(IAM Identity Center 설명서)