인증 정책을 사용하여 VPC Lattice 서비스에 대한 액세스 제어

VPC Lattice 인증 정책은 서비스 네트워크 또는 서비스에 연결하여 지정된 보안 주체가 서비스 그룹 또는 특정 서비스에 액세스할 수 있는지 여부를 제어하는 IAM 정책 문서입니다. 액세스를 제어하려는 각 서비스 네트워크 또는 서비스에 하나의 인증 정책을 연결할 수 있습니다.

인증 정책은 IAM 자격 증명 기반 정책과 다릅니다. IAM 자격 증명 기반 정책은 IAM 엔터티(사용자, 그룹 또는 역할)에 연결되어 이들 엔터티가 어떤 리소스에 대해 어떤 조치를 취할 수 있는지 정의합니다. 인증 정책은 서비스 및 서비스 네트워크에 연결됩니다. 승인이 성공하려면 인증 정책과 ID 기반 정책 모두에 명시적 허용 문이 있어야 합니다. 자세한 내용은 권한 부여의 작동 방식 단원을 참조하십시오.

AWS CLI 및 콘솔을 사용하여 서비스 및 서비스 네트워크에 대한 인증 정책을 확인, 추가, 업데이트 또는 제거할 수 있습니다. 를 사용할 때는 명령이 프로필에 AWS 리전 구성된에서 실행된다는 점을 AWS CLI기억하세요. 다른 리전에서 명령을 실행하려는 경우 프로필의 기본 리전을 변경하거나 명령에 --region 파라미터를 사용합니다.

인증 정책을 시작하려면 절차에 따라 서비스 네트워크에 적용되는 인증 정책을 만드세요. 다른 서비스에 적용하지 않으려는 보다 제한적인 권한을 원하는 경우 개별 서비스에 인증 정책을 설정할 수 있습니다.

aws vpc-lattice update-service-network --service-network-identifier sn-0123456789abcdef0 --auth-type NONE

aws vpc-lattice delete-auth-policy --resource-identifier sn-0123456789abcdef0

aws vpc-lattice update-service-network --service-network-identifier sn-0123456789abcdef0 --auth-type NONE

aws vpc-lattice delete-auth-policy --resource-identifier sn-0123456789abcdef0

aws vpc-lattice update-service --service-identifier svc-0123456789abcdef0 --auth-type NONE

aws vpc-lattice delete-auth-policy --resource-identifier svc-0123456789abcdef0

aws vpc-lattice update-service --service-identifier svc-0123456789abcdef0 --auth-type NONE

aws vpc-lattice delete-auth-policy --resource-identifier svc-0123456789abcdef0

서비스에 대한 인증된 요청을 요구하는 인증 정책을 활성화하는 경우 해당 서비스에 대한 모든 요청에는 Signature Version 4(SigV4)를 사용하여 계산된 유효한 요청 서명이 포함되어야 합니다. 자세한 내용은 Amazon VPC Lattice에 대한 SIGv4 인증 요청 단원을 참조하십시오.

인증 정책의 공통 요소

IAM 정책과 동일한 구문을 사용하여 VPC Lattice 인증 정책이 지정됩니다. 자세한 내용은 IAM 사용 설명서의 자격 증명 기반 정책 및 리소스 기반 정책을 참조하세요.

인증 정책에는 다음 요소가 포함됩니다.

인증 정책을 생성하고 관리할 때 IAM 정책 생성기를 사용하려고 할 수 있습니다.

요구 사항

JSON의 정책에는 줄 바꿈이나 빈 줄이 포함되어서는 안 됩니다.

인증 정책의 리소스 형식

다음 예와 같이 <serviceARN>/<path> 패턴이 있는 매칭 스키마를 사용하고 Resource 요소를 코딩하는 인증 정책을 생성하여 특정 리소스에 대한 액세스를 제한할 수 있습니다.

<serviceARN>에는 다음의 Amazon 리소스 이름(ARN) 리소스 형식을 사용합니다.

arn:aws:vpc-lattice:region:account-id:service/service-id

예시:

"Resource": "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-0123456789abcdef0"

인증 정책에 사용할 수 있는 조건 키

인증 정책의 조건 요소에 있는 조건 키를 통해 액세스를 추가로 제어할 수 있습니다. 이러한 조건 키는 프로토콜과 요청이 Signature Version 4(SigV4)로 서명되었는지 아니면 익명으로 서명되었는지에 따라 평가용으로 제공됩니다. 조건 키는 대소문자를 구분합니다.

AWS 는 aws:PrincipalOrgID 및와 같이 액세스를 제어하는 데 사용할 수 있는 전역 조건 키를 제공합니다aws:SourceIp. AWS 전역 조건 키 목록을 보려면 IAM 사용 설명서의 AWS 전역 조건 컨텍스트 키를 참조하세요.

다음 이야기에서는 VPC Lattice 조건 키를 나열합니다. 자세한 내용은 서비스 권한 부여 참조의 Amazon VPC Lattice 서비스의 조건 키를 참조하세요.

익명의(인증되지 않은) 보안 주체

익명 보안 주체는 서명 버전 4(SigV4)로 AWS 요청에 서명하지 않고 서비스 네트워크에 연결된 VPC 내에 있는 호출자입니다. 인증 정책에서 허용하는 경우 익명의 보안 주체는 서비스 네트워크의 서비스에 인증되지 않은 요청을 할 수 있습니다.

인증 정책 예시

다음은 인증된 보안 주체가 요청을 해야 하는 인증 정책의 예시입니다.

모든 예시는 us-west-2 리전을 사용하며 가상의 계정 ID를 포함합니다.

예제 1: 특정 AWS 조직의 서비스에 대한 액세스 제한

다음 인증 정책 예시는 정책이 적용되는 서비스 네트워크의 모든 서비스에 액세스할 수 있는 권한을 인증된 모든 요청에 부여합니다. 그러나 요청은 조건에 지정된 AWS 조직에 속한 보안 주체에서 시작되어야 합니다.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": "*",
         "Action": "vpc-lattice-svcs:Invoke",
         "Resource": "*",
         "Condition": {
            "StringEquals": {
               "aws:PrincipalOrgID": [ 
                  "o-123456example"
               ]
            }
         }
      }
   ]
}

예 2: 특정 IAM 역할에 의한 서비스 액세스 제한

다음 인증 정책 예시는 Resource 요소에 지정된 서비스에 대해 HTTP GET 요청을 보내기 위해 IAM 역할 rates-client를 사용하는 모든 인증된 요청에 권한을 부여합니다. Resource 요소의 리소스는 정책이 연결된 서비스와 동일합니다.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect": "Allow",
         "Principal": {
            "AWS": [
               "arn:aws:iam::123456789012:role/rates-client"
            ]
         },
         "Action": "vpc-lattice-svcs:Invoke",
         "Resource": [
            "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-0123456789abcdef0/*"
         ],
         "Condition": {
            "StringEquals": {
               "vpc-lattice-svcs:RequestMethod": "GET"
            }
         }
      }
   ]
}

예 3: 특정 VPC의 인증된 보안 주체에 의한 서비스 액세스 제한

다음 인증 정책 예시는 VPC ID가 vpc-1a2b3c4d인 VPC의 보안 주체가 인증된 요청을 하는 경우만 허용합니다.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": "*",
         "Action": "vpc-lattice-svcs:Invoke",
         "Resource": "*",
         "Condition": {
            "StringNotEquals": {
               "aws:PrincipalType": "Anonymous"
            },
            "StringEquals": {
               "vpc-lattice-svcs:SourceVpc": "vpc-1a2b3c4d"
            }
         }
      }
   ]
}

권한 부여의 작동 방식

VPC Lattice 서비스가 요청을 수신하면 AWS 적용 코드는 모든 관련 권한 정책을 함께 평가하여 요청을 승인할지 거부할지를 결정합니다. 권한 부여 중에 요청 컨텍스트에 적용할 수 있는 모든 IAM 자격 증명 기반 정책 및 인증 정책을 평가합니다. 기본적으로 인증 유형이 AWS_IAM인 경우 모든 요청이 묵시적으로 거부됩니다. 모든 관련 정책의 명시적 허용은 기본 설정을 무시합니다.

승인에는 다음이 포함됩니다.

다이어그램은 권한 부여 워크플로를 보여줍니다. 요청을 하면 관련 정책은 해당 서비스에 대한 요청 액세스를 허용하거나 거부합니다.