brunch

매거진 AWS 전문가 되기
라이킷 2 댓글 공유

You can make anything
by writing

C.S.Lewis

프로젝트 리스트 바로가기
계정을 잊어버리셨나요?
by Master Seo Mar 28. 2021

10탄-(몰아보기) IAM, AWS 인증,계정 관리

AWS 인증인 IAM을 알아보자.


<1> IAM 이해하기

<2> IAM 권한 주기

<3> 실습 

<4> Access Analyzer 

<5> Access Advisor

<6> Organization (OU)

<7> IAM 쿼터 늘리기 

<8>  IAM  퍼미션 바운드리 설정

<9>  IAM  신뢰관계 추가하기

<10>  IAM  role의 최대 지속 시간 늘리기

<11>  IAM  계정으로 서비스 사용하기




<1> IAM 이해하기


1

https://brunch.co.kr/@topasvga/95

21. AWS로그인 보안 강화, Software MFA

Google OTP 사용하자 | AWS로그인 보안 강화를 위해 OTP를 사용하도록 하자. AWS 계정/암호만으로 로그인하게 되는 경우, 계정/암호를 탈취당하면 인프라 전체를 탈취당하게 된다. 특정 사이트 계정 암

brunch.co.kr/@topasvga/95

 


2

https://brunch.co.kr/@topasvga/1257

450. Role 필요한 서비스

role 은 임시 자격을 갖는 것이다. AWS 서비스 중 다른 서비스에 임시로 접근해야 하는 서비스는 role이 필요하다. role = 역할 AWS에 접속해서 role부분을 보면 기본으로 제공하는 롤들이 있다. 해당

brunch.co.kr/@topasvga/1257

 


3

https://brunch.co.kr/@topasvga/547

115.AWS 다른 Console계정으로 쉽게 이동하기

AWS console 1개 계정에서 다른 계정으로 쉽게 넘어 다니기 | <1> 현황 1) 같은 계정으로 서비스망과 개발망의 모든 자원을 같이 작업하면 장애를 유발할 수 있다. 2) 서비스망과 개발망의 계정을

brunch.co.kr/@topasvga/547

 


4

59. AWS계정관리 IAM 이해하기 https://brunch.co.kr/@topasvga/481

59. AWS계정관리 IAM 이해하기

IAM (Identity Access Managemenet) AWS 리소스(서버,스토리지등)을 안정하게 관리하기 위한 서비스 로그인기능과 권한 부여 기능 2가지를 관리한다. <1> AWS에는 ROOT계정과 IAM(개인)계정 2개가 있다. <2>

brunch.co.kr/@topasvga/481

 


5

156. IAM 기초 보안 9가지 https://brunch.co.kr/@topasvga/699

156. IAM 기초 보안 9가지

1. ROOT는 사용하지 마라. MFA만 설정하고 일반 계정으로 사용하라. ROOT가 탈취당하면 서비스 종료까지 가능하다. 2. MFA는 필수이다. ROOT계정이나 일반 계정 모두 MFA는 필수로 설정하여 사용하라. 3

brunch.co.kr/@topasvga/699

 


6

203.(정리) ISMS-P 대응을 위한 점검 리스트 https://brunch.co.kr/@topasvga/838

203.(정리) ISMS-P 대응을 위한 점검 리스트

참고하셔서 ISMS-P 심사에 대응 하시기 바랍니다. 175.계정 암호정책 https://brunch.co.kr/@topasvga/749 176.계정 보안 확인 리스트 https://brunch.co.kr/@topasvga/750 177. 네트워크 보안 확인 리스트 https://brunch.co

brunch.co.kr/@topasvga/838

 


7

418.  S3에 데이터 넣기 https://brunch.co.kr/@topasvga/1213

418. S3에 데이터 넣기

S3 이해하기 | <1> AWS에서 S3 에 데이터 넣는 방법은 4가지가 있다. <2> AWS에서 S3 에 데이터 넣는 경로는 2가지 이다. <3> 실습 : EC2에서 S3로 데이터 올려 보자. <1> S3 에 데이터 넣는 방법.

brunch.co.kr/@topasvga/1213

 


8

455. AWS IAM  중급-1/2   https://brunch.co.kr/@topasvga/1288

455. AWS IAM 중급-1/2

큰 그림 AWS에서 계정 관리를 하려면 IAM을 사용해야 한다. 권한을 주려면 IAM을 사용해야 한다. 서비스를 연계하려면 IAM을 사용해야 한다. 일반 기업에서 관리자와 사용자를 나누려면 IAM을 잘 사

brunch.co.kr/@topasvga/1288

 


9

482. 보안-IAM 1/5 https://brunch.co.kr/@topasvga/1322

482. 보안-IAM 1/5

IAM = AWS 리소스에 대한 개별 액세스 및 그룹 액세스를 안전하게 제어하는것 <1> IAM 이해 <2> IAM 실습 <1> IAM 이해 1 IAM 콘솔과 Access key 2가지 제공한다. 2 I = Identity =실사용자 확인 = user 확인 AM

brunch.co.kr/@topasvga/1322

 


10

490. 아키- IAM, Cloudwatch https://brunch.co.kr/@topasvga/1330

490. 아키- IAM, Cloudwatch

<1> IAM 관리 내용 <2> Cloudwatch 와 Cloudtrail <3> Autoscaling <4> DB <5> IAM 자료 <1> IAM 1 IAM 관리내용 ? IAM 사용자, 그룹 , 연동 자격증명 관리 2 IAM 사용 법 ? 콘솔 - ID 와 Password CLI - Access-key sdk - Acces

brunch.co.kr/@topasvga/1330

 



11

492. IAM  둘러보기, 방화벽 마이그레이션 https://brunch.co.kr/@topasvga/1332

492. IAM 둘러보기, 방화벽 마이그레이션

<1> IAM 중급 <2> IAM 보안 모범사례 <3> 방화벽 마이그래이션 방법은? <4> IAM 무료 중급과정 실습 <1> IAM 중급 1 iam 보안주체(principal) ? 요청 주체 (identity)이다. root user assumed role 등이다. 2 ROOT 계정

brunch.co.kr/@topasvga/1332

 

S3버킷에 MFA 삭제를 적용한다.



12

https://brunch.co.kr/@topasvga/1353

511. 보안-교체 계정 인증하기

회사에서 AWS를 사용하면 여러 Account ID를 사용하게 된다. 이럴 때 A Account로 로그온 후 B Account로 넘어가는 방법을 사용하여 편하게 로그인 하자 B Account에서 Role을 만들고 , A Account에서 역

brunch.co.kr/@topasvga/1353

 



13

https://brunch.co.kr/@topasvga/1354

512. 보안-교차 계정으로 다른 계정 인스턴스 관리

회사에서 여러 AWS Account를 사용 중이다. 다른 Account EC2를 관리해보자. 구성 111 Account EC2 --------------------222 Account EC2 이론 111 EC2에서 222 EC2 확인하기 111에서 222를 관리하기 위해 키가

brunch.co.kr/@topasvga/1354

 



14

513. 보안-AWS 제어와 감사  https://brunch.co.kr/@topasvga/1355

513. 보안-AWS 제어와 감사

<1> AWS 제어와 감사 <2 > IAM <3> MFA ? <4> Cloud Trail <5> 트러스터 어드바이저 <6> 인스턴스 메타데이터 서비스 (imds) <7> 인스펙터 <1> 제어와 감사 1 제어 - IAM 2 감사 - ColudTrail - API 호출 기록 모두

brunch.co.kr/@topasvga/1355

 



15

IAM 자습서  https://docs.aws.amazon.com/ko_kr/IAM/latest/UserGuide/tutorials.html

IAM 자습서 - AWS Identity and Access Management

docs.aws.amazon.com



16

IAM 베스트 프렉티스 https://docs.aws.amazon.com/ko_kr/IAM/latest/UserGuide/best-practices.html

IAM의 보안 모범 사례 - AWS Identity and Access Management

docs.aws.amazon.com





<2> IAM 권한 주기



1

 S3 버킷 권한 주기  https://brunch.co.kr/@topasvga/682

147. S3 버킷 권한주기

실습 | <1> S3 버킷 권한 주기 <2> 설정법 <3> 예제) 특정 사용자가 리스트하고 다운로드만 가능하도록 해주세요. <1> S3 버킷 권한 주기 1. Cli로 S3 Bucket list 확인하고 , 데이터를 올리고, 내리

brunch.co.kr/@topasvga/682

 



2

188.(미션) S3 버킷에 본인만 업로드/삭제 가능 https://brunch.co.kr/@topasvga/772

188.(미션) S3 버킷에 본인만 업로드/삭제 가능

미션 버킷에 본인만 업로드/삭제 다른 계정은 읽기만 하도록 권한을 설정 작업 1. none이라는 그룹을 만든다. IAM > none 2. api 계정 하나 생성 seo-api 계정을 none이라는 그룹에 포함시킨다. 아무런 권

brunch.co.kr/@topasvga/772

 



3

IAM Condition 정책으로 해당 S3만 접근되도록 제어하기 

https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html

IAM JSON policy elements: Condition operators - AWS Identity and Access Management

docs.aws.amazon.com



4

https://brunch.co.kr/@topasvga/824

196. AWS Policy와 Role 이해 하기

일반 사용자에게 권한을 주려고 하면 반드시 Policy와 role 적용이 필요하다. <1> Policy <2> role <3> Access Key 관리 <1> Policy 자기 자신이 만들 리소스에 대한 권한을 할당하는 것이다. Policy는 그룹/사용자

brunch.co.kr/@topasvga/824

 



5

https://brunch.co.kr/@topasvga/836

201. passrole? 사용자에 AWS서비스역할전달

<1> pass role? 사용자에게 AWS 서비스 역할을 전달하는 것 <2> 언제 발생 되나? 일반 계정 사용자가 AWS서비스를 이용하려고 할때 Passrole 권한이 없다고 오류가 뜬다. <3> 언제 사용되나? 1. RDS가 확

brunch.co.kr/@topasvga/836

 


6

https://brunch.co.kr/@topasvga/876

216. AWS 여러 계정 쉽게 옮겨 다니기

역할(role)을 만들어 IAM 사용자에게 권한 위임하는것 https://docs.aws.amazon.com/ko_kr/IAM/latest/UserGuide/id_roles_create_for-user.html assume : 취득하다. Assume role 다른 계정을 사용하려면 Assume role 사용해야

brunch.co.kr/@topasvga/876

 


7

https://brunch.co.kr/@topasvga/1201

409.assume role,pass role

일반 계정 사용자가 AWS서비스를 이용하려고 할때 권한이 없다고 오류가 뜬다. 1. assume role 2. pass role 3. Service-Linked Roles 1. assume role 역할(role)을 만들어 IAM 사용자에게 권한 위임하는것 https://doc

brunch.co.kr/@topasvga/1201

 


8

https://brunch.co.kr/@topasvga/836

201. passrole? 사용자에 AWS서비스역할전달

<1> pass role? 사용자에게 AWS 서비스 역할을 전달하는 것 <2> 언제 발생 되나? 일반 계정 사용자가 AWS서비스를 이용하려고 할때 Passrole 권한이 없다고 오류가 뜬다. <3> 언제 사용되나? 1. RDS가 확

brunch.co.kr/@topasvga/836

 



9

https://brunch.co.kr/@topasvga/1259

451. Role로 본 AWS 연계 서비스

1 AmazonSageMaker-ExecutionRole AWS 서비스: sagemaker AWS 머신러닝 s3권한, Cloudwatch , code commit , cognito-idp, ec2, fsx, glue,iam list role , kms, lambda list, log, robomaker , secretmanager , sns, ecr 연계

brunch.co.kr/@topasvga/1259

 





<3>  실습 


1

https://brunch.co.kr/@topasvga/1549

557. IAM 실습

IAM 실습하자 user계정의 의미 그룹의 의미 권한의 의미 그룹으로 사용자 관리하기 1 User 계정의 의미 ? 개인 계정으로 AWS 콘솔이나 CLI로 명령을 내릴수 있는 계정이다. 콘솔 계정 또는 CLI 계정을

brunch.co.kr/@topasvga/1549

 



2

태그 기반으로 리소스 제어하기 실습 

https://docs.aws.amazon.com/ko_kr/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html



3

IAM 무료 중급자 과정 https://www.aws.training/Details/eLearning?id=53780

AWS training and certification

www.aws.training




<4> Access Analyzer 



1

https://brunch.co.kr/@topasvga/1551

559. Access Analyzer

IAM에 대한 점검 기능이 나왔다. 왜 나왔나? Public or Cross-Account Access가 많아졌다. 계정 보안 관련 확인이 필요하다. <1> Access Analyzer은 S3버킷, IAM 역할에 대해 분석한다. <2> IAM(Identity and Access Manageme

brunch.co.kr/@topasvga/1551

 


2

IAM Access Analyzer

https://docs.aws.amazon.com/ko_kr/IAM/latest/UserGuide/what-is-access-analyzer.html






<5> Access Advisor



https://brunch.co.kr/@topasvga/1552

560. Access Advisor로 권한 회수

IAM Group, user 에 제공한 권한을 사용중인지 확인해보자~ 사용하지 않는 권한은 회수하자~ <1> IAM > Groups > Access Advisor 에서 확인 <2> IAM > users > Access Advisor 에서 확인 <3> IAM > Roles > Access A

brunch.co.kr/@topasvga/1552

 




<6> Organization (OU)


1

181. AWS Organization 만들고 계정추가

https://brunch.co.kr/@topasvga/756

181. AWS Organization 만들고 계정추가

<1> AWS Organization 만들고 계정추가 <2> 오가니 제이션 개요 AWS Organization 은 계정들을 그룹화 하는것이다. 1. 계정들의 결재를 묶을때 사용한다. 파트너사에 빌링을 추가 하도록 할때 사용한다. 2.

brunch.co.kr/@topasvga/756

 



2

https://brunch.co.kr/@topasvga/1289

456. AWS 오가니제이션 개요-2/2

큰 그림 여러 계정을 중앙 집중적으로 관리하기 위해 오가니 제이션을 사용한다. 오가니제이션은 2가지 방법이 있다. 빌링 통합 오가나 제이 션 ALL (빌링 통합 + 계정 정책 관리) CSP 파트너사인

brunch.co.kr/@topasvga/1289

 



3

SCP 적용  해보기

https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps_attach.html

Attaching and detaching service control policies - AWS Organizations

docs.aws.amazon.com

 




<7> IAM 쿼터 늘리기 


1

IAM 쿼터는 버지니아 가서 해야 한다!

ADFS와 연동하게 되면  Role에 정책을 할당 해야 하는데 기본 10개 이다.

Role에 최대 20개까지 정책을 넣을수 있다.


1: Go to North Virginia region on your AWS account (us-east-1)

2: Service Quotas

3:  AWS services > "IAM" >  "Managed policies per role"

4: On top right of page, choose "Request quota increase" >  Input 20 as requested value


https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_iam-quotas.html?icmpid=docs_iam_console

IAM and STS quotas - AWS Identity and Access Management

docs.aws.amazon.com


2

다른  쿼터 증가는 해당 리전에서 요청 하면 된다.


3

기타로 CloudFront ACM 인증서도 버지니아에서 받아야 한다.




<8>  IAM  퍼미션 바운드리 설정


1

https://brunch.co.kr/@topasvga/1824

IAM , 퍼미셔널 바운드리 설정

IAM 계정을 사용하는 개발자에게 admin을 권한을 부여하고, 퍼미셔널 바운드리를 설정해보자. 개발자가 빠르게 개발하기 위해 admin 권한을 요청한다. 그러나, 개발자가 vpc를 생성/삭제하거나 보

brunch.co.kr/@topasvga/1824

 


2

참고

[AWS Builders] AWS IAM 을 통한 클라우드에서의 권한 관리 - 신은수, AWS Security Special… (slideshare.net)




<9>  IAM  신뢰관계 추가하기


https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html

AWS JSON policy elements: Principal - AWS Identity and Access Management

docs.aws.amazon.com




<10>  IAM  role의 최대 지속 시간 늘리기


https://brunch.co.kr/@topasvga/1825

IAM role의 최대 세션 지속 시간 늘리기

IAM role의 최대 세션 지속 시간 1. 기본 1시간 편집 2. 최대 12시간으로 늘릴수 있다. 참고 사이트 https://www.megazone.com/techblog_180412_enable-federated-api-access/

brunch.co.kr/@topasvga/1825

 




<11>  IAM  계정으로 서비스 사용하기


관리자와 개발자 IAM계정은 구분되어야 한다.

개발자 IAM  계정으로 서비스 하려면, 권한이 필요하다.

해당 권한을 정리한다.



1

https://brunch.co.kr/@topasvga/1871

IAM 계정으로 Cloud9 사용하기

EKS 사용을 위해 , 우선 명령을 날릴 Cloud9을 만들어 사용해보자. Cloud9 에 권한을 주는 법은 access-key에 권한을 줘서 사용하는 방법과 만들어진 Cloud9 ec2에 role 을 변경해 사용하는 방법 2가지

brunch.co.kr/@topasvga/1871

 


2

https://brunch.co.kr/@topasvga/1820

IAM 계정으로 RDS 만들기

IAM 계정에 AmazonRDSFullAccess 권한을 주어도 RDS를 제대로 만들지 못한다. 어떤 권한을 추가로 줘야 하는지 알아보자 확장 모니터링을 하려면 role이 필요하다. pass role은 rds가 롤을 대신 사용하므로

brunch.co.kr/@topasvga/1820

 


감사합니다.


keyword
Master Seo 소속 클라우드전문가카페 직업 엔지니어

(전) 네이버 엔지니어 7년 , 네이버 클라우드 마스터, PRO , AWS 아키프로, Google프로아키, Azure어드민, CCNP, 맛집,여행 전문가, 좋은 기운을 주는사람
구독자 2,522
매거진의 이전글 555. AWS Network Firewall
브런치는 최신 브라우저에 최적화 되어있습니다. IE chrome safari