[AWS] 태그(TAG)를 사용하여 IAM 사용자 및 역할에 대한 액세스 제어하기

안녕하세요! 베스핀글로벌 클라우드 기술지원팀입니다! 🖐

이번 주제는 태그(TAG)를 사용하여 IAM 사용자 및 역할에 대한 엑세스 제어하는 방법”에 관해 소개해 드릴게요!

먼저 주요 컨텐츠는 다음과 같습니다.

✔ IAM이란

✔ IAM 태그(TAG)기반 관리

* IAM의 정의와 정책, 권한에 대해선 간략하게 소개하겠습니다.

IAM이란

IAM(Identity and Access Management)는 AWS 리소스에 대한 액세스를 안전하게 제어할 수 있는 웹 서비스입니다.

생성 순서 : AWS -> IAM -> 사용자 추가 -> 권한 설정 -> 태그(TAG) 추가 -> 설정 검토 -> 설정 확인

IAM 태그(TAG)기반 관리

ABAC란

ABAC(Attribute-based access control 속성 기반 액세스 제어)는 속성을 기반으로 권한을 정의하는 권한 부여 방법입니다.

=> AWS에서는 이러한 속성을 “태그(TAG)“라고 합니다. IAM 사용자 또는 역할이나 AWS 리소스에 태그(TAG)를 연결할 수 있습니다. 그런 다음 태그(TAG) 조건 키를 사용하여 해당 태그(TAG)를 기반으로 IAM 사용자 또는 역할에 권한을 부여하는 정책을 정의할 수 있습니다. 태그를 사용하여 AWS 리소스에 대한 액세스를 제어하면 AWS 정책에 대한 변경 사항이 줄어들면서 관리의 편의성과 보안강화를 함께 가져올 수 있습니다.

2. 태그(TAG)기반 액세스 권한 정의

실습 순서 : EC2 인스턴스 생성 -> 위임 정책 구성 -> 역할(Role)을 위한 정책 구성 -> 역할 만들기 ->그룹에 정책 연결 ->태그 기반의 정책 확인

1) EC2 인스턴스 생성

다음의 태그를 가진 인스턴스를 생성합니다.

2) 부여할 정책 구성하기

Team prd와 dev 2개의 정책을 구성하고 이 때 사용되는 리소스의 ARN은 다음과 같습니다.

arn:aws:iam::ACCOUNT-ID:role/ROLE-NAME

생성 순서 : IAM -> 정책 -> 정책 생성 ->각 항목에 맞는 정책을 아래와 같이 JSON 파일로 직접 생성합니다.

위임 정책의 이름은 “prd-sts-assume”로 정합니다.

앞서 생성한 정책과 동일하게 dev 정책을 만듭니다.

결과 확인)

3)역할을 위한 정책을 구성합니다.

EC2 인스턴스에 접근하기 위한 정책을 구성합니다. 미리 생성된 4개의 인스턴스는 이미 2개의 그룹으로 나누어져 있습니다. 1개는 prd 그룹 엔지니어들이 EC2에 접속할 수 있도록 정책을 구성하고 다른 하나는 dev 그룹 엔지니어들이 EC2에 접속할 수 있도록 정책을 구성합니다.

아래 JSON 파일은 prd 그룹이 앞서 생성한 정책을 통해 역할에 접근할 때, 연결될 정책입니다. EC2 인스턴스의 “tag key -team, value – prd”, “tag key – project, value – A” 태그가 있는 경우 접속을 허용합니다. 정책 이름은 prd-role-policy입니다.

같은 방법으로 dev 그룹도 이 위임정책을 통해 Role에 접근할 때, 연결될 정책입니다. 마찬가지로 EC2인스턴스의 “tag key -team, value – dev”, “tag key – project, value – B” 태그가 있는 경우 접속을 허용합니다. 정책 이름은 dev-role-policy입니다.