# IAM을 사용한 리전 엔드포인트 API 권한 부여
<a name="s3-express-security-iam"></a>

AWS Identity and Access Management(IAM)는 관리자가 AWS 리소스에 대한 액세스를 안전하게 제어할 수 있도록 지원하는 AWS 서비스입니다. IAM 관리자는 어떤 사용자가 디렉터리 버킷의 Amazon S3 리소스와 S3 Express One Zone 작업을 사용할 수 있도록 인증(로그인)되고 권한이 부여(권한 보유)될 수 있는지 제어합니다. IAM은 추가 요금 없이 사용할 수 있습니다.

기본적으로 사용자는 디렉터리 버킷에 대한 권한이 없습니다. 디렉터리 버킷에 대한 액세스 권한을 부여하려면 IAM을 사용하여 사용자, 그룹 또는 역할을 생성하고 해당 ID에 권한을 연결하면 됩니다. IAM에 대한 자세한 내용은 **IAM 사용 설명서의 [IAM의 보안 모범 사례](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)를 참조하세요.

액세스 권한을 제공하려면 다음 방법을 사용하여 사용자, 그룹 또는 역할에 권한을 추가하면 됩니다.
+ **AWS IAM Identity Center 내의 사용자 및 그룹** - 권한 세트를 생성합니다. *AWS IAM Identity Center 사용자 안내서*에서 [권한 세트 생성](https://docs.aws.amazon.com/singlesignon/latest/userguide/get-started-create-a-permission-set.html)의 지침을 따릅니다.
+ **ID 제공업체를 통해 IAM에서 관리되는 사용자** - ID 페더레이션을 위한 역할을 생성합니다. *IAM 사용 설명서*의 [서드 파티 자격 증명 공급자의 역할 만들기(페더레이션)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-idp.html)의 지침을 따릅니다.
+ **IAM 역할 및 사용자** - 사용자가 맡을 수 있는 역할을 생성합니다. **IAM 사용 설명서에서 [역할을 생성하여 IAM 사용자에게 권한 위임](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-user.html)의 지침을 따르세요.

IAM for S3 Express One Zone에 대한 자세한 내용은 다음 주제를 참조하세요.

**Topics**
+ [보안 주체](#s3-express-security-iam-principals)
+ [리소스](#s3-express-security-iam-resources)
+ [디렉터리 버킷에 대한 작업](#s3-express-security-iam-actions)
+ [디렉터리 버킷에 대한 IAM ID 기반 정책](s3-express-security-iam-identity-policies.md)
+ [디렉터리 버킷에 대한 버킷 정책 예제](s3-express-security-iam-example-bucket-policies.md)
+ [AWS Amazon S3 Express One Zone에 대한 관리형 정책](s3-express-one-zone-security-iam-awsmanpol.md)

## 보안 주체
<a name="s3-express-security-iam-principals"></a>

버킷에 대한 액세스 권한을 부여하는 리소스 기반 정책을 생성할 때, `Principal` 요소를 사용하여 해당 리소스에 대한 작업이나 작업을 요청할 수 있는 사람 또는 애플리케이션을 지정해야 합니다. 디렉터리 버킷 정책의 경우, 다음 보안 주체를 사용할 수 있습니다.
+ AWS 계정
+ IAM 사용자
+ IAM 역할
+ 페더레이션 사용자

자세한 내용은 *IAM 사용 설명서*에서 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)를 참조하세요.

## 리소스
<a name="s3-express-security-iam-resources"></a>

디렉터리 버킷의 Amazon 리소스 이름(ARN)에는 `s3express` 네임스페이스, AWS 리전, AWS 계정 ID, AWS 영역 ID(가용 영역 또는 로컬 영역 ID)가 포함된 디렉터리 버킷 이름이 포함됩니다.

디렉터리 버킷에 액세스하고 작업을 수행하려면 다음 ARN 형식을 사용해야 합니다.

```
arn:aws:s3express:{{region}}:{{account-id}}:bucket/{{base-bucket-name}}--{{zone-id}}--x-s3
```

디렉터리 버킷의 액세스 포인트에 액세스하고 작업을 수행하려면 다음 ARN 형식을 사용해야 합니다.

```
arn:aws::s3express:{{region}}:{{account-id}}:accesspoint/{{accesspoint-basename}}--{{zone-id}}--xa-s3
```

ARN에 대한 자세한 내용은 **IAM 사용 설명서의 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 섹션을 참조하세요. 리소스에 대한 자세한 내용은 **IAM 사용 설명서의 [IAM JSON 정책 요소: Resource](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_resource.html)를 참조하세요.

## 디렉터리 버킷에 대한 작업
<a name="s3-express-security-iam-actions"></a>

IAM ID 기반 정책 또는 리소스 기반 정책에서 어떤 S3 작업을 허용 또는 거부할지 정의합니다. 작업은 특정 API 작업에 해당합니다. 디렉터리 버킷을 사용할 경우 S3 Express One Zone 네임스페이스를 사용하여 `s3express`라는 권한을 부여해야 합니다.

`s3express:CreateSession` 권한을 허용하면 `CreateSession` API 작업이 모든 영역 엔드포인트 API (객체 수준) 작업에 대한 임시 세션 토큰을 검색합니다. 이 세션 토큰은 다른 모든 영역 엔드포인트 API 작업에 사용되는 자격 증명을 반환합니다. 따라서 IAM 정책을 사용하여 영역 API 작업에 액세스 권한을 부여하지 않습니다. 대신 `CreateSession`은 모든 객체 수준 작업에 대한 액세스를 활성화합니다. 영역 API 작업 및 권한 목록은 [요청 인증 및 권한 부여](https://docs.aws.amazon.com/AmazonS3/latest/userguide/s3-express-authenticating-authorizing.html)를 참조하세요.

`CreateSession` API 작업에 대한 자세한 내용은 **Amazon Simple Storage Service API 참조의 [https://docs.aws.amazon.com/AmazonS3/latest/API/API_CreateSession.html](https://docs.aws.amazon.com/AmazonS3/latest/API/API_CreateSession.html) 섹션을 참조하세요.

IAM 정책 설명의 `Action` 요소에서는 다음 작업을 지정할 수 있습니다. 정책을 사용하여 AWS에서 작업할 수 있는 권한을 부여합니다. 정책에서 작업을 사용하면 일반적으로 이름이 같은 API 작업에 대한 액세스를 허용하거나 거부합니다. 그러나 경우에 따라 하나의 API 작업으로 둘 이상의 작업에 대한 액세스가 제어됩니다. 버킷 수준 작업에 대한 액세스는 IAM ID 기반 정책(사용자 또는 역할)에서만 부여할 수 있으며 버킷 정책으로는 부여할 수 없습니다.

액세스 포인트 정책을 구성하는 방법에 대한 자세한 내용은 [디렉터리 버킷의 액세스 포인트를 사용하도록 IAM 정책 구성](access-points-directory-buckets-policies.md) 섹션을 참조하세요.

자세한 내용은 [Actions, resources, and condition keys for Amazon S3 Express](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazons3express.html)를 참조하세요.