🔐 AWS IAM (Identity and Access Management)#

1
AWS Account
2
├── Root User (최상위, 공유 금지)
3
├── Group: Developers
4
│   ├── User: Alice
5
│   └── User: Bob
6
├── Group: Admins
7
│   └── User: Charlie
8
└── User: Dave (그룹 미소속도 가능)

1
Group: Developers  ──── Policy A (S3 Full Access)
2
    └── User: Alice  ── Policy B (EC2 Read, Inline)
3

4
Group: QA  ──────────── Policy C (CloudWatch Read)
5
    └── User: Alice (중복 소속)
6

7
→ Alice가 최종적으로 갖는 권한: Policy A + Policy B + Policy C

1
{
2
    "Version": "2012-10-17",
3
    "Id": "S3-Account-Permissions",
4
    "Statement": [
5
        {
6
            "Sid": "AllowS3Access",
7
            "Effect": "Allow",
8
            "Principal": {
9
                "AWS": ["arn:aws:iam::123456789012:root"]
10
            },
11
            "Action": [
12
                "s3:GetObject",
13
                "s3:PutObject"
14
            ],
15
            "Resource": ["arn:aws:s3:::mybucket/*"],
16
            "Condition": {
17
                "StringEquals": {
18
                    "aws:RequestedRegion": "ap-northeast-2"
19
                }
20
            }
21
        }
22
    ]
23
}

1
{
2
    "Version": "2012-10-17",
3
    "Statement": [
4
        {
5
            "Effect": "Allow",
6
            "Action": "ec2:Describe*",
7
            "Resource": "*"
8
        },
9
        {
10
            "Effect": "Allow",
11
            "Action": [
12
                "cloudwatch:ListMetrics",
13
                "cloudwatch:GetMetricStatistics",
14
                "cloudwatch:Describe*"
15
            ],
16
            "Resource": "*"
17
        }
18
    ]
19
}

1
# Python Boto3 예시
2
import boto3
3

4
iam = boto3.client('iam')
5
response = iam.list_users()
6
for user in response['Users']:
7
    print(user['UserName'])

1
EC2 Instance
2
    └── IAM Role (S3 Read Access 부여)
3
            └── S3 Bucket 접근 가능

1
{
2
    "Version": "2012-10-17",
3
    "Statement": [
4
        {
5
            "Effect": "Allow",
6
            "Action": "*",
7
            "Resource": "*",
8
            "Condition": {
9
                "StringEquals": {
10
                    "aws:RequestedRegion": "ap-northeast-2"
11
                }
12
            }
13
        }
14
    ]
15
}

1
개발자 (Okta 로그인)
2
    └── IAM Identity Center
3
            └── IAM Role Assume → 임시 자격증명 발급
4
                    └── AWS 리소스 접근

1
# ❌ 나쁜 예: Access Key를 코드에 하드코딩
2
import boto3
3
client = boto3.client(
4
    's3',
5
    aws_access_key_id='AKIAIOSFODNN7EXAMPLE',      # 절대 금지!
6
    aws_secret_access_key='wJalrXUtnFEMI...'        # 절대 금지!
7
)
8

9
# ✅ 좋은 예: EC2 Instance Role 사용 (자동으로 인증)
10
import boto3
11
client = boto3.client('s3')  # Role에서 자동으로 자격증명 가져옴

1
// ✅ 좋은 예: 특정 리소스 + 조건 지정
2
{
3
    "Effect": "Allow",
4
    "Action": ["s3:GetObject", "s3:PutObject"],
5
    "Resource": "arn:aws:s3:::my-bucket/uploads/*",
6
    "Condition": {
7
        "StringEquals": {"aws:RequestedRegion": "ap-northeast-2"},
8
        "Bool": {"aws:MultiFactorAuthPresent": "true"}
9
    }
10
}
11

12
// ❌ 나쁜 예: 과도하게 넓은 권한
13
{
14
    "Effect": "Allow",
15
    "Action": "*",
16
    "Resource": "*"
17
}

1
AWS Organization
2
├── Root OU
3
│   ├── Management Account (빌링만)
4
│   ├── Security OU
5
│   │   └── Security Account (로그, 감사)
6
│   ├── Dev OU
7
│   │   └── Dev Account
8
│   └── Prod OU
9
│       └── Prod Account (SCP로 위험 작업 차단)