IAM(Identity and Access Management)의 개념과 운용법

IAM(Identity and Access Management)이란?

다른 모든 AWS 서비스의 출입을 통제하는 보안 계층

 

 

IAM의 핵심 개념

사용자(User)

• AWS 콘솔에 로그인하거나 API를 호출하는 개별 계정
• 루트 사용자(처음 AWS 가입할때 쓴 계정, 모든 권한을 가지고 있음)와 IAM 사용자로 나뉨

 

그룹(Group)

• 여러 사용자를 묶어서 같은 권한을 부여하는 단위
• 예를 들면, "개발자" 그룹을 만들어 개발팀 전원에게 같은 정책을 적용하는 식

 

역할(Role)

• 사람이 아니라 AWS 서비스에게 부여하는 권한 세트
• 서비스 자체에 권한을 부여하기 때문에 해당 서비스 인스턴스를 지우면 권한도 사라짐

 

정책(Policy)

• 무엇을 할 수 있는지 정의한 JSON 문서

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ssm:GetParametersByPath", 
      "Resource": "arn:aws:ssm:ap-northeast-2:853900964851:parameter/member-management/prod/*"
    }
  ]
}

 

 

관리형 정책 (Managed Policy)

• AWS가 미리 만들어둔 정책 (AmazonSSMReadOnlyAccess, AmazonS3FullAccess 등)

 

인라인 정책 (Inline Policy)

• 특정 역할 하나에만 딱 붙는 커스텀 정책
• 재사용은 안 되지만 더 세밀하게 제어 가능

 

신뢰 정책 (Trust Policy)

• 역할을 누가 빌려 쓸 수 있는지 정하는 정책

 

ARN (Amazon Resource Name)

• AWS의 모든 자원에 붙는 고유 식별자

arn:aws:ssm:ap-northeast-2:853900964851:parameter/member-management/prod/
     │    │       │              │                        │
   서비스 종류  리전         계정 ID                  자원 경로

 

 

IAM의 운용법

최소 권한 원칙

필요한 권한만 딱 부여하고 그 이상은 부여하지 않는 것이 원칙이다.