Cloud_AWS-SA: IAM 및 AWS CLI

 IAM 기본 개념

• IAM(Identity and Access Management)은 AWS 리소스에 대한 접근을 제어하는 서비스
• 글로벌 서비스로, 특정 리전에 국한되지 않음
• 사용자는 그룹에 소속되며, 하나의 사용자는 여러 그룹에 소속될 수 있음
• 사용자 계정 생성 및 관리 시 루트 계정은 최소한으로 사용
• 최소 권한 원칙(Least Privilege)을 준수하는 것이 보안상 안전

 

IAM 사용자(User) 생성 절차

1. IAM 콘솔 접속
2. Users 클릭
3. Create user 클릭
4. 사용자 정보 입력 후 생성

 

MFA (Multi-Factor Authentication)

• MFA를 통해 계정을 더 안전하게 보호 가능 (최대 8개까지 등록 가능)
• MFA 옵션:
  1. Virtual MFA Device: 앱 설치 (예: Google Authenticator)
  2. U2F Security Key: USB 형태의 물리적 보안 키
  3. Hardware TOTP Token: 디스플레이가 있는 물리적 장치

 

IAM 정책(Policy)의 JSON 구조

 

- 구성 요소:

• Version: 정책 버전 정보
• Id: 정책 식별자 (선택)
• Statement: 권한 부여/제한에 대한 구문 (필수)

- Statement 구성 요소:

• Sid: 문장 ID (선택)
• Effect: 허용 여부 (Allow / Deny)
• Principal: 사용자, 계정, 역할 등
• Action: 허용 또는 거부할 API 호출 목록
• Resource: 액션이 적용될 AWS 리소스 (예: *은 전체 리소스)
• Condition: 조건부 정책 설정

 

AWS 접근 방법

1. AWS 콘솔 (웹 UI)
2. CLI (명령어를 통해 접근)
3. SDK (앱 내에서 프로그래밍 방식으로 접근)

 

Access Key 발급 방법

1. IAM 콘솔에서 Users 콘솔로 이동 후 사용자 클릭
2. Security credentials 클릭
3. Create access key 클릭
4. 생성된 키 정보를 확인 및 저장

 

CLI를 통한 aws 접근 방법

1. aws configure 명령어 실행
2. Access Key ID 입력
3. Secret Access Key 입력
4. Region Name 입력
5. Output Format 설정 (엔터 입력 시 기본값 사용)
6. aws iam list-users 명령어로 사용자 목록 확인 가능

 

CloudShell 특징

• CloudShell 사용 가능한 리전으로 변경 필요
• AWS 내장 터미널 환경
• 로그인된 리전이 기본 설정됨
• 파일 생성 후 터미널 재시작해도 파일 유지됨
• 로컬 컴퓨터와의 파일 이동 가능

 

IAM 역할(Role)

• IAM Role은 사용자가 아닌 AWS 서비스에 권한을 부여하는 것
• 예: EC2가 S3에 접근하기 위해 Role 필요

 

IAM Role 생성 방법

1. IAM 콘솔 → Roles
2. Create role 클릭
3. 조건 설정 후 Role 생성

 

IAM 보안 도구

 

- 자격 증명 보고서 (Credential Report)

• 계정의 자격 증명 상태를 CSV로 기록
• 오래된 계정 식별 및 점검 가능

- 자격 증명 보고서 생성 방법:

1. IAM 콘솔 → Access reports
2. Credential report 클릭
3. Download credentials report 클릭

- IAM 액세스 관리자 (Access Advisor)

• 사용자에게 부여된 서비스 권한 및 마지막 액세스 시간 확인

- IAM 액세스 관리자 사용 방법:

1. IAM 콘솔 → Users 클릭
2. 사용자 선택 → Access Advisor 탭 클릭

 

AWS 보안 모범 사례

1. 루트 계정은 계정 생성 등 필수 작업 외 사용 금지
2. 사용자 권한은 그룹을 통해 부여하고 관리
3. 강력한 비밀번호 정책 적용
4. 다중 인증(MFA) 활성화
5. AWS 리소스 권한은 Role을 통해 부여
6. Access Key는 안전하게 보관
7. 자격 증명 보고서 및 Access Advisor를 활용해 주기적 점검