기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

AWS 리소스 탐색기 자격 증명 기반 정책 예제

기본적으로 역할, 그룹, 사용자와 같은 AWS Identity and Access Management(IAM) 보안 주체는 Resource Explorer 리소스를 생성하거나 수정할 수 있는 권한이 없습니다. 또한 AWS Management Console, AWS Command Line Interface(AWS CLI) 또는 AWS API를 사용해 태스크를 수행할 수 없습니다. IAM 관리자는 지정된 리소스에서 특정 API 작업을 수행할 수 있는 권한을 보안 주체에 부여하는 IAM 정책을 생성해야 합니다. 그런 다음 관리자는 해당 권한이 필요한 IAM 보안 주체에 이러한 정책을 할당해야 합니다.

액세스 권한을 제공하려면 사용자, 그룹 또는 역할에 권한을 추가합니다.

이러한 예제 JSON 정책 문서를 사용하여 IAM 자격 증명 기반 정책을 생성하는 방법을 알아보려면 IAM 사용 설명서의 JSON 탭에서 정책 생성을 참조하세요.

정책 모범 사례

자격 증명 기반 정책에 따라 계정에서 사용자가 Resource Explorer 리소스를 생성, 액세스 또는 삭제할 수 있는지 여부가 결정됩니다. 이 작업으로 인해 AWS 계정에 비용이 발생할 수 있습니다. 자격 증명 기반 정책을 생성하거나 편집할 때는 다음 지침과 권장 사항을 따르세요.

IAM의 모범 사례에 대한 자세한 내용은 IAM 사용 설명서의 IAM의 보안 모범 사례를 참조하세요.

Resource Explorer 콘솔 사용

보안 주체가 AWS 리소스 탐색기 콘솔에서 검색하려면 최소 권한 세트가 있어야 합니다. 최소 필수 권한으로 보안 인증 정보 기반 정책을 만들지 않으면 Resource Explorer 콘솔이 계정의 보안 주체에 대해 의도한 대로 작동하지 않습니다.

AWSResourceExplorerReadOnlyAccess라는 이름이 지정된 AWS 관리형 정책을 사용하면 Resource Explorer 콘솔을 사용해 계정의 모든 뷰를 사용하여 검색할 수 있는 권한을 부여할 수 있습니다. 단일 뷰만 사용하여 검색할 수 있는 권한을 부여하려면 검색을 위해 Resource Explorer 뷰에 대한 액세스 권한 부여 및 다음 두 섹션의 및 예를 참조하세요.

AWS CLI 또는 AWS API만 호출하는 보안 주체에는 최소 콘솔 권한을 허용할 필요가 없습니다. 대신 보안 주체가 수행해야 하는 API 작업과 일치하는 작업에만 액세스 권한을 부여하도록 선택할 수 있습니다.

태그를 기반으로 뷰에 액세스 권한 부여

이 예제에서는 계정의 보안 주체에게 AWS 계정의 Resource Explorer 뷰에 대한 액세스 권한을 부여하려고 합니다. 이렇게 하려면 Resource Explorer에서 검색할 수 있도록 하려는 보안 주체에 IAM 자격 증명 기반 정책을 할당하세요. 다음 예제 IAM 정책은 호출 보안 주체에 연결된 Search-Group 태그가 요청에 사용된 뷰에 연결된 동일한 태그의 값과 정확히 일치하는 모든 요청에 대한 액세스 권한을 부여합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "resource-explorer-2:GetView",
                "resource-explorer-2:Search"
            ],
            "Resource": "arn:aws:resource-explorer-2:*:*:view/*",
            "Condition": {
                "StringEquals": {"aws:ResourceTag/Search-Group": "${aws:PrincipalTag/Search-Group}"}
            }
        }
    ]
}

이 정책을 계정의 IAM 보안 주체에 할당할 수 있습니다. Search-Group=A 태그가 있는 보안 주체가 Resource Explorer 뷰를 사용하여 검색을 시도하는 경우 뷰에도 태그가 Search-Group=A로 지정되어야 합니다. 그렇지 않으면 보안 주체의 액세스가 거부됩니다. 조건 키 이름은 대소문자를 구분하지 않기 때문에 태그 키 Search-Group는 Search-group 및 search-group 모두와 일치합니다. 자세한 정보는 IAM 사용 설명서의 IAM JSON 정책 요소: 조건을 참조하세요.

태그를 기반으로 뷰를 생성할 수 있는 액세스 권한 부여

이 예제에서는 인덱스와 동일한 태그가 지정된 보안 주체만 인덱스가 포함된 AWS 리전에서 뷰를 생성할 수 있도록 허용하려고 합니다. 이렇게 하려면 보안 주체가 뷰를 통해 검색할 수 있도록 자격 증명 기반 권한을 생성하세요.

이제 뷰를 생성할 수 있는 권한을 부여할 준비가 되었습니다. 이 예제의 정책 문을 적절한 보안 주체에게 Search 권한을 부여하는 데 사용하는 것과 동일한 권한 정책에 추가할 수 있습니다. 작업은 뷰와 연결할 작업 및 인덱스를 호출하는 보안 주체에 연결된 태그에 따라 허용되거나 거부됩니다. 다음 예제 IAM 정책은 호출자의 보안 주체에 연결된 Allow-Create-View 태그의 값이 뷰가 생성된 리전에 있는 인덱스에 연결된 동일한 태그의 값과 정확히 일치하지 않는 경우 뷰 생성 요청을 거부합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "resource-explorer-2:CreateView",
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {"aws:ResourceTag/Allow-Create-View": "${aws:PrincipalTag/Allow-Create-View}"}
            }
        }
    ]
}

보안 주체가 자신이 권한을 볼 수 있도록 허용

이 예제는 IAM 사용자가 자신의 사용자 자격 증명에 연결된 인라인 및 관리형 정책을 볼 수 있도록 허용하는 정책을 생성하는 방법을 보여줍니다. 이 정책에는 콘솔에서 또는 AWS CLI나 AWS API를 사용하여 프로그래밍 방식으로 이 태스크를 완료할 수 있는 권한이 포함됩니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}