Amazon에서 ID 기반 정책 사용 SNS

이 예시에서는 IAM 정책과 Amazon SNS 정책이 모두 Bob에게 적용됩니다. 이 IAM 정책은 그에게 모든 Subscribe 주제에 대한 권한을 부여하는 반면, Amazon SNS 정책에서는 특정 주제 (topic_xyz) Publish 에 대한 사용 권한을 부여합니다. AWS 계정다음 다이어그램에서 관련 개념을 설명합니다.

Bob이 AWS 계정 내 특정 주제에 대한 구독 요청을 보내면 IAM 정책에서 해당 작업을 허용하게 됩니다. Bob이 topic_xyz에 메시지를 게시해 달라는 요청을 보내면 Amazon SNS 정책에 따라 해당 작업이 허용됩니다.

여기서는 예 1(Bob에게 2가지 정책이 적용됨)을 토대로 합니다. Bob이 opic_xyz에 메시지를 게시하는데, 사실 그에게는 권한이 없습니다. 따라서 그가 주제에 게시하는 것을 아예 금지하려 합니다. 가장 쉬운 방법은 모든 주제에 대한 작업 액세스를 거부하는 IAM 정책을 추가하는 것입니다. Publish 이 세 번째 정책은 원래 topic_xyz에 게시할 수 있는 권한을 부여했던 Amazon SNS 정책을 무시합니다. 명시적인 거부가 항상 허용보다 우선하기 때문입니다 (정책 평가 로직에 대한 자세한 내용은 참조). 평가 로직 다음 다이어그램에서 관련 개념을 설명합니다.

다음은 ARN 123456789012에 속하는 us-east-2 MyTopic 지역에서 이름이 지정된 주제에 대한 것입니다. AWS 계정

arn:aws:sns:us-east-2:123456789012:MyTopic

Amazon이 SNS 지원하는 각 MyTopic 지역에 이름이 지정된 주제가 있는 경우 다음과 같이 주제를 지정할 수 ARN 있습니다.

arn:aws:sns:*:123456789012:MyTopic

여기서는 CreateTopic, ListTopics, SetTopicAttributes, DeleteTopic에 대한 액세스 권한을 부여하는 정책을 만듭니다.

{
  "Statement": [{
    "Effect": "Allow",
    "Action": ["sns:CreateTopic", "sns:ListTopics", "sns:SetTopicAttributes", "sns:DeleteTopic"],
    "Resource": "*"
  }]
}

여기서는 IT를 위한 그룹을 만들고 관심 있는 특정 주제에 대해 Publish에 액세스할 수 있는 권한을 부여하는 정책을 할당합니다.

{
  "Statement": [{
    "Effect": "Allow",
    "Action": "sns:Publish",
    "Resource": "arn:aws:sns:*:123456789012:MyTopic"
  }]
}

여기서는 Subscribe 작업에 대한 액세스 권한을 부여하는 정책을 만듭니다. 이를 위해 sns:Protocol 및 sns:Endpoint 정책 키에 대한 문자열 일치 조건을 사용합니다.

{
  "Statement": [{
    "Effect": "Allow",
    "Action": ["sns:Subscribe"],
    "Resource": "*",
    "Condition": {
      "StringLike": {
        "SNS:Endpoint": "*@example.com"
      },
      "StringEquals": {
        "sns:Protocol": "email"
      }
    }
  }]
}

Amazon SNS 정책 또는 정책을 사용하여 파트너가 특정 주제에 대해 게시하도록 허용할 수 있습니다. IAM 파트너가 정책을 가지고 있다면 Amazon SNS 정책을 사용하는 것이 더 쉬울 수 있습니다. AWS 계정하지만 AWS 보안 자격 증명을 보유한 파트너 회사 직원이라면 누구나 해당 주제에 대한 메시지를 게시할 수 있습니다. 여기서는 특정 인물(또는 애플리케이션)에게만 액세스 권한을 부여한다고 가정합니다. 이를 위해서는 파트너를 회사 내 사용자처럼 취급하고 Amazon IAM SNS 정책 대신 정책을 사용해야 합니다.

이 예시에서는 파트너 회사를 대표하는 그룹을 만들고, 액세스 권한이 필요한 파트너 회사의 특정 사용자 (또는 애플리케이션) 를 위한 사용자를 만든 다음, 사용자를 그룹에 추가합니다. WidgetCo

그런 다음 이름이 지정된 특정 주제에 대한 Publish 액세스 권한을 그룹에 부여하는 정책을 WidgetPartnerTopic첨부합니다.

또한 WidgetCo 그룹이 주제와 관련된 다른 활동을 하지 못하도록 하기 위해 다른 주제를 제외한 다른 주제를 제외한 모든 Amazon SNS 활동에 Publish 대해 권한을 거부하는 설명을 추가합니다. WidgetPartnerTopic 이는 시스템의 다른 곳에 사용자에게 SNS Amazon에 대한 광범위한 액세스 권한을 부여하는 광범위한 정책이 있는 경우에만 필요합니다.

{
  "Statement": [{
      "Effect": "Allow",
      "Action": "sns:Publish",
      "Resource": "arn:aws:sns:*:123456789012:WidgetPartnerTopic"
    },
    {
      "Effect": "Deny",
      "NotAction": "sns:Publish",
      "NotResource": "arn:aws:sns:*:123456789012:WidgetPartnerTopic"
    }
  ]
}