🏛️ AWS Identity & Access Management — Advanced#

주요 장점#

OU (Organizational Units)#

1
Root
2
├── Management Account
3
├── OU: Production
4
│     ├── Account A
5
│     └── Account B
6
├── OU: Development
7
│     └── Account C
8
└── OU: Security
9
      └── Account D (Log/Audit)

SCP (Service Control Policies)#

• OU 또는 계정에 적용하는 IAM Policy 형태의 최대 권한 상한선
• Management Account에는 적용되지 않음 (항상 Full Admin)
• Allow/Deny 모두 명시 가능 — 기본적으로 아무것도 허용하지 않음 (IAM과 동일)
• Root에서 각 OU를 거쳐 Target Account까지 명시적 Allow가 있어야 효과 발생

1
실제 유효 권한 =
2
  SCP(Org 레벨) AND SCP(OU 레벨) AND IAM Identity Policy

💡 Use Case: 특정 리전 잠금, 특정 서비스 사용 금지, 루트 계정 작업 제한

Tag Policies#

• Organization 전체에서 태그 표준화 강제
• 특정 서비스/리소스에 비준수 태깅 작업 방지
• 태그가 없는 리소스에는 영향 없음
• AWS Cost Allocation Tags + ABAC(Attribute-based Access Control)와 연계
• 비준수 리소스 리포트 생성 + EventBridge로 비준수 태그 모니터링

S3 버킷 vs. 객체 권한 레벨#

1
Bucket 레벨: arn:aws:s3:::test
2
  → s3:ListBucket 적용
3

4
Object 레벨: arn:aws:s3:::test/*
5
  → s3:GetObject, s3:PutObject, s3:DeleteObject 적용

aws#

• 모든 Resource Policy에서 사용 가능
• AWS Organization의 멤버 계정에서 오는 요청만 허용

1
"Condition": {
2
    "StringEquals": {
3
        "aws:PrincipalOrgID": "o-xxxxxxxxxx"
4
    }
5
}

Cross-Account 접근 시 두 가지 방법#

중요한 시나리오:

1
Account A의 User가 Account A의 DynamoDB를 스캔하고
2
Account B의 S3에 결과를 저장해야 할 때:
3

4
→ IAM Role Assume 불가 (Account A DynamoDB 권한 포기해야 해서)
5
→ Account B S3에 Resource-based Policy로 Account A User 직접 허용 ← 정답

EventBridge — 서비스별 권한 방식#

Permission Boundary Use Cases#

Identity Providers (IdP)#

Fine-grained 권한 및 할당#

Multi-Account Permissions:

• Permission Sets: IAM Policy 컬렉션 → 사용자/그룹에 할당 → AWS 계정 접근 정의

Application Assignments:

• 많은 SAML 2.0 비즈니스 앱에 SSO 접근
• URL, 인증서, 메타데이터 제공

ABAC (Attribute-Based Access Control):

• 사용자 속성(부서, 직책, 로케일) 기반 세밀한 권한
• 권한을 한 번 정의 → 속성 변경으로 AWS 접근 수정

Active Directory 개념#

• Windows Server에서 운영, AD Domain Services 포함
• 사용자 계정, 컴퓨터, 프린터, 파일 공유, 보안 그룹의 중앙 관리 DB
• 객체(Object)는 Tree로 구성, Tree 그룹 = Forest

AWS Directory Services 3가지#

IAM Identity Center + AD 통합 방법#

방법 1: AWS Managed Microsoft AD 사용 (바로 통합)

1
[IAM Identity Center] ↔ [AWS Managed Microsoft AD]
2
→ Out-of-the-box 통합

방법 2: Self-Managed (On-premises) AD 사용

1
방법 A: Two-way Trust
2
[IAM Identity Center] ↔ [AWS Managed AD] ↔(Trust)↔ [On-premises AD]
3

4
방법 B: AD Connector (더 높은 Latency)
5
[IAM Identity Center] ↔ [AD Connector] ↔(Proxy)↔ [On-premises AD]

주요 장점#

Guardrails#