# IAM 관리형 정책을 사용하여 VSS 기반 스냅샷에 대한 권한 부여
<a name="vss-iam-reqs"></a>

AWSEC2VssSnapshotPolicy 관리형 정책을 사용하면 Systems Manager가 Windows 인스턴스에서 다음 작업을 수행할 수 있습니다.
+ EBS 스냅샷 생성 및 태그 지정
+ Amazon Machine Image(AMI) 생성 및 태그 지정
+ 디바이스 ID와 같은 메타데이터를 VSS에서 생성하는 기본 스냅샷 태그에 연결합니다.

이 주제에서는 VSS 관리형 정책의 권한 세부 정보와 이를 EC2 인스턴스 프로파일 IAM 역할에 연결하는 방법을 다룹니다.

**Topics**
+ [AWSEC2VssSnapshotPolicy 관리형 정책 세부 정보](#vss-iam-manpol-AWSEC2VssSnapshotPolicy)
+ [인스턴스 프로파일 역할에 VSS 스냅샷 관리형 정책 연결](#vss-snapshots-attach-policy)

## AWSEC2VssSnapshotPolicy 관리형 정책 세부 정보
<a name="vss-iam-manpol-AWSEC2VssSnapshotPolicy"></a>

AWS 관리형 정책은 AWS 고객을 위해 Amazon에서 제공하는 독립 실행형 정책입니다. AWS 관리형 정책은 일반 사용 사례에 대한 권한을 부여하도록 설계되었습니다. AWS 관리형 정책에 정의된 권한은 변경할 수 없습니다. 하지만 정책을 복사하여 사용 사례에 특정한 [고객 관리형 정책](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)의 기준으로 사용할 수 있습니다.

 AWS 관리형 정책에 대한 자세한 정보는 [IAM 사용 설명서](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)에서 *AWS 관리형 정책*을 참조하세요.

**AWSEC2VssSnapshotPolicy** 관리형 정책을 사용하려면 EC2 Windows 인스턴스에 연결된 IAM 역할에 정책을 연결하면 됩니다. 이 정책을 통해 EC2 VSS 솔루션에서 Amazon Machine Image(AMI) 및 EBS 스탭샷을 생성하고 이에 태그를 지정할 수 있습니다. 정책을 연결하려면 [인스턴스 프로파일 역할에 VSS 스냅샷 관리형 정책 연결](#vss-snapshots-attach-policy) 섹션을 참조하세요.

### AWSEC2VssSnapshotPolicy으로 부여된 권한
<a name="vss-iam-manpol-AWSEC2VssSnapshotPolicy-details"></a>

**AWSEC2VssSnapshotPolicy** 정책에는 Amazon EC2가 사용자를 대신하여 VSS 스냅샷을 생성하고 관리할 수 있도록 하는 다음과 같은 Amazon EC2 권한이 포함되어 있습니다. EC2 Windows 인스턴스에서 사용할 IAM 인스턴스 프로파일 역할에 이 관리형 정책을 연결할 수 있습니다.
+ **ec2:CreateTags** – 리소스를 식별하고 분류하는 데 도움이 되도록 EBS 스냅샷 및 AMI에 태그를 추가합니다.
+ **ec2:DescribeInstanceAttribute** – 대상 인스턴스에 연결된 EBS 볼륨 및 해당 블록 디바이스 매핑을 검색합니다.
+ **ec2:CreateSnapshots** – EBS 볼륨의 스냅샷을 생성합니다.
+ **ec2:CreateImage** – 실행 중인 EC2 인스턴스에서 AMI를 생성합니다.
+ **ec2:DescribeImages** – EC2 AMI 및 스냅샷에 대한 정보를 검색합니다.
+ **ec2:DescribeSnapshots** – 스냅샷의 생성 시간과 상태를 결정하여 애플리케이션 일관성을 확인합니다.

**참고**  
이 정책의 권한 세부 정보를 보려면 AWS 관리형 정책 참조의 [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSEC2VssSnapshotPolicy.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSEC2VssSnapshotPolicy.html) 섹션을 참조하세요.**

### 특정 사용 사례에 대한 권한 간소화 - 고급
<a name="scope-down-perms"></a>

`AWSEC2VssSnapshotPolicy` 관리형 정책에는 VSS 기반 스냅샷을 생성할 수 있는 모든 방법에 대한 권한이 포함됩니다. 필요한 권한만 포함하는 사용자 지정 정책을 생성할 수 있습니다.

**사용 사례: AMI 생성, 사용 사례: AWS Backup 서비스 사용**

이 `CreateAmi` 옵션만 사용하거나 AWS Backup 서비스를 통해서만 VSS 기반 스냅샷을 생성하는 경우 다음과 같이 정책 설명을 간소화할 수 있습니다.
+ 다음 명령문 ID(SID)로 식별되는 정책 명령문을 생략합니다.
  + `CreateSnapshotsWithTag`
  + `CreateSnapshotsAccessInstance`
  + `CreateSnapshotsAccessVolume`
+ `CreateTagsOnResourceCreation` 문을 다음과 같이 조정합니다.
  + 리소스에서 `arn:aws:ec2:*:*:snapshot/*`을 제거합니다.
  + `ec2:CreateAction` 조건에서 `CreateSnapshots`를 제거합니다.
+ `CreateTagsAfterResourceCreation` 문을 조정하여 리소스에서 `arn:aws:ec2:*:*:snapshot/*`을 제거합니다.
+ `DescribeImagesAndSnapshots` 문을 조정하여 명령문 작업에서 `ec2:DescribeSnapshots`를 제거합니다.

**사용 사례: 스냅샷만**

`CreateAmi` 옵션을 사용하지 않는 경우 다음과 같이 정책 명령문을 간소화할 수 있습니다.
+ 다음 명령문 ID(SID)로 식별되는 정책 명령문을 생략합니다.
  + `CreateImageAccessInstance`
  + `CreateImageWithTag`
+ `CreateTagsOnResourceCreation` 문을 다음과 같이 조정합니다.
  + 리소스에서 `arn:aws:ec2:*:*:image/*`을 제거합니다.
  + `ec2:CreateAction` 조건에서 `CreateImage`를 제거합니다.
+ `CreateTagsAfterResourceCreation` 문을 조정하여 리소스에서 `arn:aws:ec2:*:*:image/*`을 제거합니다.
+ `DescribeImagesAndSnapshots` 문을 조정하여 명령문 작업에서 `ec2:DescribeImages`를 제거합니다.

**참고**  
사용자 지정된 정책이 예상대로 작동하려면 정기적으로 관리형 정책을 검토하고 업데이트를 통합하는 것이 좋습니다.

## 인스턴스 프로파일 역할에 VSS 스냅샷 관리형 정책 연결
<a name="vss-snapshots-attach-policy"></a>

EC2 Windows 인스턴스에 VSS 기반 스냅샷에 대한 권한을 부여하려면 다음과 같이 **AWSEC2VssSnapshotPolicy** 관리형 정책을 인스턴스 프로파일 역할에 연결합니다. 인스턴스가 모든 [시스템 요구 사항](application-consistent-snapshots-prereqs.md#vss-sys-reqs)을 충족하는지 확인해야 합니다.

**참고**  
관리형 정책을 사용하려면 인스턴스에 `AwsVssComponents` 패키지 버전 `2.3.1` 이상이 설치되어 있어야 합니다. 버전 기록은 [AwsVssComponents 패키지 버전](vss-comps-history.md#AwsVssComponents-history)을(를) 참조하세요.

1. IAM 콘솔([https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/))을 엽니다.

1. 탐색 창에서 **역할**을 선택하여 액세스 권한이 있는 IAM 역할 목록을 표시합니다.

1. 인스턴스에 연결된 역할의 **역할 이름** 링크를 선택합니다. 그러면 역할 세부 정보 페이지가 열립니다.

1. 관리형 정책을 연결하려면 목록 패널의 오른쪽 상단에 있는 **권한 추가**를 선택합니다. 그리고 드롭다운 목록에서 **정책 연결**을 선택합니다.

1. 결과를 간소화하기 위해 검색 창(`AWSEC2VssSnapshotPolicy`)에 정책 이름을 입력합니다.

1. 연결할 정책 이름 옆의 확인란을 선택하고 **권한 추가**를 선택합니다.