[AWS] IAM 사용자 인증, 인가의 보안 설계

IAM 이란?

이전 글 "[AWS] Amazon Web Services 계정 생성 및 활성화"에서 만든 계정은 모든 AWS 서비스 및 리소스에 대한 완전한 접근 권한이 있는 SSO(Single Sign-In) ID인  AWS 계정 루트 사용자이다.

 

아마존은 AWS 계정 루트 사용자를 일상적인 작업은 물론 관리 작업에 사용하지 않기를 권고한다. 
IAM으로 관리자, 일반 사용자를 생성하여 이 사용자들을 사용도록 한다.

 

AWS Identity and Access Management(IAM)는 AWS 리소스에 대한 안전한 접근제어를 제공하는 웹 서비스이다. 
IAM은 계정에 대한 인증(로그인) 및 권한 부여를 제어하는 인프라를 제공한다.

IAM의 작동방식

위에 링크된 AWS의 작동방식은 다음과 같다.

보안 주체(AWS 리소스에 대한 작업을 요청할 수 있는 사람 또는 애플리케이션)가 관리 콘솔이나 CLI를 사용하기 위해 요청을 AWS에 전송한다.

요청을 전송하기 위해 보안 주체는 로그인 시도하면  AWS는 인증을 하고 요청을 완료할 수 있는 권한이 있는지도 정책을 점검하여 권한을 부여(== 인가, Authorization)한다.

AWS의 승인을 받은 후 보안 주체는 계정 내의 관련 리소스에서 해당 작업을 수행할 수 있다.

IAM으로 사용자 인증, 인가하는 방법

IAM을 사용하여 사용자 자격 증명 및 권한을 생성하고 관리하는 방법을 설명한다.

[요약 설명]

1. AWS 계정 루트 사용자로 로그인한다.

2. admin 계정을 생성한다.

3. IAM 사용자 로그인 링크 변경하기.

4. admin 사용자로 로그인한다.

 

[세부 설명]

1. AWS 계정 루트 사용자로 로그인한다.

2. admin 계정을 생성한다.

서비스 찾기"에 IAM을 입력 후 해당 서비스를 선택한다.

왼쪽 상단의 "대시보드"에서 사용자를 선택한다.

"사용자 추가"를 선택한다.

사용자 이름에 admin, 액세스 유형은 콘솔을 선택하고 비밀번호를 지정한다.

"자동 생성된 비밀 번호"를 선택하면 로그인할 때 비밀번호를 변경해야 하므로 "사용자 지정 비밀번호"를 선택한다.

"다음: 권한"을 선택하여 관리자 생성을 계속한다.

"그룹 생성"을 선택한다.

그룹 이름에 "admins"를 입력하고 정책 필터에서 AdministratorAcess를 선택하여 관리자 권한을 부여한다.

"태그 추가"는 건너뛰고 "검토"에서 admins 그룹이 잘 만들어졌는지 확인하고 사용자를 만든다.

IAM 사용자 로그인 링크에 Amazon 계정 번호가 포함되어 있어 이를 보호하기 위해 변경한다.

3. IAM 사용자 로그인 링크 변경하기

IAM 서비스로 돌아가서 사용자 지정을 선택한다.

계정 별칭을 입력하고 생성을 선택하여 IAM 사용자 로그인 링크를 변경한다.

4. admin 사용자로 로그인한다.

복사 아이콘을 선택하여 변경된 IAM 사용자 로그인 링크를 복사한다.

브라우저에서 "새 시크릿 창"을 선택하여 새로운 창을 연다.

열린 창에 복사한 주소를 붙여 넣고 접속한다.

관리자 정보를 입력하고 로그인한다.

시크릿 브라우저 창에 IAM 사용자 관리자로 로그인된 내용이 표시된다.