AWS IAM 알아보기

 

📌  AWS IAM 이란?

AWS IAM(Identity and Access Management)은 AWS 리소스에 대한 액세스를 안전하게 제어할 수 있도록 하는 웹 서비스이다. IAM을 이용하면 사용자가 액세스할 수 있는 AWS 리소스 제어 권한을 관리할 수 있다.

 

보통 처음 회원가입할 때 생성된 루트 계정은 최대한 사용하지 않는 것이 권장된다. 따라서 관리자의 경우 AdministratorAccess 권한을 가진 IAM을 이용하고, 다른 사람들은 꼭 필요한 권한만 최소한으로 부여받은 IAM을 이용하는 것이 일반적이다.

 

아래 사진은 IAM의 작동 방식인데, 간단히 설명하면

1) 사용자가 AWS 리소스에 대한 작업을 요청했을 때

2) 로그인을 통해 인증(Authentication)을 받은 후에

3) 요청을 완료할 수 있는 권한(Authorization)이 있는지 확인하고

4) 요청 작업을 완료한다는 내용이다. 

IAM 작동 방식

 

 

---

 

 

📌  IAM 자격 증명 (IAM Identities)

IAM 자격 증명을 통해 AWS 계정에 액세스할 수 있으며, AWS 계정 루트 사용자 또는 계정 관리 권한을 받은 사용자가 IAM 자격 증명을 생성할 수 있다.

 

AWS 계정 루트 사용자

AWS 계정을 생성할 때는 해당 계정의 모든 AWS 서비스 및 리소스에 대한 완전한 액세스 권한이 있는 단일 로그인 ID로 시작하게 된다. 이 자격 증명은 AWS 계정 루트 사용자라고 하며, 계정을 생성할 때 사용한 이메일 주소와 암호로 로그인하여 액세스한다.

 

IAM 사용자 (IAM User)

IAM 사용자는 단일 개인 또는 애플리케이션에 대한 특정 권한을 가지고 있는 AWS 계정 내 자격 증명이다.

예를 들어, 내가 A회사에서 특정 EC2와 관련한 업무만 하는 직원이라면 해당 EC2에 대한 권한만을 가진 IAM User 자격 증명을 이용해 다른 리소스에는 접근할 수 없도록 설정할 수 있다.

 

하지만 가능하면 암호 및 액세스 키와 같은 장기 보안 인증 정보가 있는 IAM 사용자를 생성하는 대신 임시 보안 인증을 사용하는 것이 좋다. IAM 사용자의 장기 보안 인증이 필요한 경우에는 액세스키를 정기적으로 교체하는 것이 좋다.

 

IAM 사용자 그룹 (IAM Group)

IAM 그룹은 IAM 사용자 컬렉션을 지정하는 자격 증명이다. 다시 말하면, 동일한 권한이 필요한 사용자가 여러 명 있는 경우 해당 권한을 가지는 그룹을 생성한 뒤, 그룹에 사용자를 추가하는 방식으로 사용자 집합의 권한을 더 쉽게 관리할 수 있다.

또한 아래 예시 그림에서는 한 사용자가 한 그룹에만 속해 있지만, 사용자는 여러 개의 그룹에 속할 수 있다.

IAM 사용자 그룹 예시

 

IAM 역할 (IAM Role)

IAM 역할은 특정 권한을 가지고 있는 IAM 자격 증명이다. IAM 사용자와 유사하지만, 역할은 한 사람과만 연관되지 않고 해당 역할이 필요한 사람이라면 누구든지 맡을 수 있어야 한다. 또한 역할에는 암호 또는 액세스 키와 같은 표준 장기 자격 증명이 없다. 대신 역할을 맡은 사람에게는 해당 역할 세션을 위한 임시 보안 자격 증명이 제공된다.

 

간단히 말하면, 어떤 역할에 맞게 필요한 IAM 정책들을 묶어놓은 거라고 생각하면 될 것 같다. 

보통 IAM User는 사람이나 application이 사용하고, IAM Role은 AWS 서비스(리소스)에 사용하는 것 같다. 

(ex. EC2에 역할 부여, CodeDeploy에 역할 부여 등)

 

임시 보안 자격 증명

AWS Security Token Service(AWS STS)를 사용하면 AWS 리소스에 대한 액세스를 제어할 수 있는 임시 보안 자격 증명을 생성하여 신뢰받는 사용자에게 제공할 수 있다. 임시 보안 자격 증명은 이름에서 알 수 있듯이 단기적이며, 몇 분에서 몇 시간까지 지속되도록 구성할 수 있다. 임시 보안 자격 증명이 만료되었을 때(혹은 만료 전이라도) 사용자는 새 자격 증명을 요청할 수 있다. 

 

 

---

 

 

📌  IAM 정책 (IAM Policy)

IAM 정책은 자격 증명이나 리소스와 연결될 때 해당 권한을 정의하는 AWS의 객체이다.

(ex. EC2FullAccess, S3ReadOnly 등)

 

총 6가지의 정책 유형이 있지만 그 중 가장 많이 사용하는 정책 유형 3가지만 간단히 알아보도록 하자.

(자격 증명 기반 정책, 리소스 기반 정책, 권한 경계, Organizations SCP, ACL, 세션 정책)

 

자격 증명 기반 정책

자격 증명 기반 정책은 자격 증명(사용자, 그룹, 역할)이 무슨 작업을 어느 리소스에서 어떤 조건에서 수행할 수 있는지를 제어하는 JSON 권한 정책 문서이다. 관리형 정책과 인라인 정책으로 분류된다. 

 

리소스 기반 정책

리소스 기반 정책은 Amazon S3 버킷과 같은 리소스에 연결하는 JSON 정책 문서이다. 이러한 정책은 지정된 보안 주체에 해당 리소스에 대한 특정 작업을 수행할 수 있는 권한을 부여하고, 이러한 권한이 적용되는 조건을 정의한다. 리소스 기반 정책은 인라인 정책이다. 

 

IAM 권한 경계

권한 경계는 관리형 정책을 사용하여 자격 증명 기반 정책을 통해 IAM 엔터티에 부여할 수 있는 최대 권한을 설정하는 고급 기능이다. 엔터티의 권한 경계는 자격 증명 기반 정책 및 관련 권한 경계 모두에서 허용되는 작업만 수행하도록 허용한다.

 

예를 들어, Shirly라는 이름의 IAM 사용자가 다음과 같은 권한 경계를 가지고 있다고 해보자.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:*",
                "cloudwatch:*",
                "ec2:*"
            ],
            "Resource": "*"
        }
    ]
}

Shirly는 S3, CloudWatch, EC2에 대한 모든 권한을 가진다.

 

이 상태에서 아래의 권한을 Shirly IAM 사용자 권한에 추가했다고 해보자.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "iam:CreateUser",
    "Resource": "*"
  }
}

이 경우, Shirley는 IAM 관련 작업을 할 수 없다. 권한 경계에 IAM이 포함되어 있지 않아 해당 작업을 허용하지 않기 때문이다.

 

 

---

 

 

오늘은 IAM과 관련된 개념을 간단하게 정리해 보았다.

자세한 예시나 내용은 AWS Docs를 보면서 공부해보면 좋을 것 같다.

 

 

🔗  참고 자료

IAM이란 무엇입니까? - AWS Identity and Access Management

AWS IAM Hands On Lab - AWS IAM