기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
# 크기 조정 계획에 대한 자격 증명 기반 정책 예제
기본적으로 신규 IAM 사용자는 어떤 작업 권한도 없습니다. IAM 관리자는 크기 조정 계획으로 작업할 수 있는 IAM 자격 증명(예: 사용자 또는 역할) 권한을 부여하는 IAM 정책을 생성하고 할당해야 합니다.
이러한 예제 JSON 정책 문서를 사용하여 IAM 정책을 생성하는 방법을 알아보려면 *IAM 사용 설명서*의 [JSON 탭에서 정책 생성](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)을 참조하십시오.
**Topics**
+ [
## 정책 모범 사례
](#security_iam_service-with-iam-policy-best-practices)
+ [
## 사용자가 크기 조정 계획을 생성하도록 허용
](#example-policies-scaling-plans)
+ [
## 사용자가 예측 크기 조정을 활성화할 수 있도록 허용
](#example-policies-predictive-scaling)
+ [
## 필요한 추가 권한
](#aws-auto-scaling-additional-permissions)
+ [
## 서비스 연결 역할 생성에 필요한 권한
](#aws-auto-scaling-slr-permissions)
## 정책 모범 사례
자격 증명 기반 정책에 따라 계정에서 사용자가 AWS Auto Scaling 리소스를 생성, 액세스 또는 삭제할 수 있는지 여부가 결정됩니다. 이 작업으로 인해 AWS 계정에 비용이 발생할 수 있습니다. ID 기반 정책을 생성하거나 편집할 때는 다음 지침과 권장 사항을 따르세요.
+ ** AWS 관리형 정책을 시작하고 최소 권한으로 전환 -** 사용자 및 워크로드에 권한 부여를 시작하려면 많은 일반적인 사용 사례에 대한 권한을 부여하는 *AWS 관리형 정책을* 사용합니다. 에서 사용할 수 있습니다 AWS 계정. 사용 사례에 맞는 AWS 고객 관리형 정책을 정의하여 권한을 추가로 줄이는 것이 좋습니다. 자세한 내용은 *IAM 사용 설명서*의 [AWS 관리형 정책](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) 또는 [AWS 직무에 대한 관리형 정책](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)을 참조하세요.
+ **최소 권한 적용** – IAM 정책을 사용하여 권한을 설정하는 경우, 작업을 수행하는 데 필요한 권한만 부여합니다. 이렇게 하려면 *최소 권한*으로 알려진 특정 조건에서 특정 리소스에 대해 수행할 수 있는 작업을 정의합니다. IAM을 사용하여 권한을 적용하는 방법에 대한 자세한 정보는 *IAM 사용 설명서*에 있는 [IAM의 정책 및 권한](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)을 참조하세요.
+ **IAM 정책의 조건을 사용하여 액세스 추가 제한** – 정책에 조건을 추가하여 작업 및 리소스에 대한 액세스를 제한할 수 있습니다. 예를 들어, SSL을 사용하여 모든 요청을 전송해야 한다고 지정하는 정책 조건을 작성할 수 있습니다. AWS 서비스와 같은 특정를 통해 사용되는 경우 조건을 사용하여 서비스 작업에 대한 액세스 권한을 부여할 수도 있습니다 CloudFormation. 자세한 내용은 *IAM 사용 설명서*의 [IAM JSON 정책 요소: 조건](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)을 참조하세요.
+ **IAM Access Analyzer를 통해 IAM 정책을 확인하여 안전하고 기능적인 권한 보장** - IAM Access Analyzer에서는 IAM 정책 언어(JSON)와 모범 사례가 정책에서 준수되도록 새로운 및 기존 정책을 확인합니다. IAM Access Analyzer는 100개 이상의 정책 확인 항목과 실행 가능한 추천을 제공하여 안전하고 기능적인 정책을 작성하도록 돕습니다. 자세한 내용은 *IAM 사용 설명서*의 [IAM Access Analyzer에서 정책 검증](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)을 참조하세요.
+ **다중 인증(MFA) 필요 -**에서 IAM 사용자 또는 루트 사용자가 필요한 시나리오가 있는 경우 추가 보안을 위해 MFA를 AWS 계정켭니다. API 작업을 직접적으로 호출할 때 MFA가 필요하면 정책에 MFA 조건을 추가합니다. 자세한 내용은 *IAM 사용 설명서*의 [MFA를 통한 보안 API 액세스](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)를 참조하세요.
IAM의 모범 사례에 대한 자세한 내용은 *IAM 사용 설명서*의 [IAM의 보안 모범 사례](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)를 참조하세요.
## 사용자가 크기 조정 계획을 생성하도록 허용
다음은 크기 조정 계획을 생성할 수 있는 권한을 부여하는 자격 증명 기반 정책의 예입니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"autoscaling-plans:*",
"cloudwatch:PutMetricAlarm",
"cloudwatch:DeleteAlarms",
"cloudwatch:DescribeAlarms",
"cloudformation:ListStackResources"
],
"Resource": "*"
}
]
}
```
------
크기 조정 계획에 대한 작업을 수행하려면 최종 사용자에게 본인 계정의 특정 리소스로 작업할 수 있는 추가 권한이 있어야 합니다. 이러한 권한은 [필요한 추가 권한](#aws-auto-scaling-additional-permissions)에 나와 있습니다.
또한 각 콘솔 사용자에게는 계정에서 확장 가능한 리소스를 검색하고 AWS Auto Scaling 콘솔에서 CloudWatch 지표 데이터의 그래프를 볼 수 있는 권한이 필요합니다. AWS Auto Scaling 콘솔에서 작업하는 데 필요한 추가 권한 세트는 다음과 같습니다.
+ `cloudformation:ListStacks`: 스택 나열
+ `tag:GetTagKeys`: 특정 태그 키가 포함된 크기 조정 가능한 리소스 찾기
+ `tag:GetTagValues`: 특정 태그 값이 포함된 리소스 찾기
+ `autoscaling:DescribeTags`: 특정 태그가 포함된 Auto Scaling 그룹 찾기
+ `cloudwatch:GetMetricData`: 지표 그래프의 데이터 보기
## 사용자가 예측 크기 조정을 활성화할 수 있도록 허용
다음은 예측 크기 조정을 활성화할 수 있는 권한을 부여하는 자격 증명 기반 정책의 예입니다. 이러한 권한은 Auto Scaling 그룹을 크기 조정하도록 설정된 크기 조정 계획의 기능을 확장합니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"cloudwatch:GetMetricData",
"autoscaling:DescribeAutoScalingGroups",
"autoscaling:DescribeScheduledActions",
"autoscaling:BatchPutScheduledUpdateGroupAction",
"autoscaling:BatchDeleteScheduledAction"
],
"Resource": "*"
}
]
}
```
------
## 필요한 추가 권한
크기 조정 계획을 성공적으로 구성하려면 최종 사용자에게 크기 조정을 구성할 각 대상 서비스에 대한 권한이 부여되어야 합니다. 대상 서비스를 사용하는 데 필요한 최소 권한을 부여하려면 이 섹션의 정보를 읽고 IAM 정책 설명의 `Action` 요소에 관련 작업을 지정하세요.
**Auto Scaling 그룹**
크기 조정 계획에 Auto Scaling 그룹을 추가하려면 사용자는 Amazon EC2 Auto Scaling의 다음 권한이 있어야 합니다.
+ `autoscaling:UpdateAutoScalingGroup`
+ `autoscaling:DescribeAutoScalingGroups`
+ `autoscaling:PutScalingPolicy`
+ `autoscaling:DescribePolicies`
+ `autoscaling:DeletePolicy`
**ECS 서비스**
크기 조정 계획에 ECS 서비스를 추가하려면 사용자는 Amazon ECS 및 Application Auto Scaling의 다음 권한이 있어야 합니다.
+ `ecs:DescribeServices`
+ `ecs:UpdateService`
+ `application-autoscaling:RegisterScalableTarget`
+ `application-autoscaling:DescribeScalableTargets`
+ `application-autoscaling:DeregisterScalableTarget`
+ `application-autoscaling:PutScalingPolicy`
+ `application-autoscaling:DescribeScalingPolicies`
+ `application-autoscaling:DeleteScalingPolicy`
**스팟 플릿**
크기 조정 계획에 스팟 플릿을 추가하려면 사용자에게 Amazon EC2 및 Application Auto Scaling의 다음 권한이 있어야 합니다.
+ `ec2:DescribeSpotFleetRequests`
+ `ec2:ModifySpotFleetRequest`
+ `application-autoscaling:RegisterScalableTarget`
+ `application-autoscaling:DescribeScalableTargets`
+ `application-autoscaling:DeregisterScalableTarget`
+ `application-autoscaling:PutScalingPolicy`
+ `application-autoscaling:DescribeScalingPolicies`
+ `application-autoscaling:DeleteScalingPolicy`
**DynamoDB 테이블 또는 글로벌 인덱스**
크기 조정 계획에 DynamoDB 테이블 또는 글로벌 인덱스를 추가하려면 사용자는 DynamoDB 및 Application Auto Scaling의 다음 권한이 있어야 합니다.
+ `dynamodb:DescribeTable`
+ `dynamodb:UpdateTable`
+ `application-autoscaling:RegisterScalableTarget`
+ `application-autoscaling:DescribeScalableTargets`
+ `application-autoscaling:DeregisterScalableTarget`
+ `application-autoscaling:PutScalingPolicy`
+ `application-autoscaling:DescribeScalingPolicies`
+ `application-autoscaling:DeleteScalingPolicy`
**Aurora DB 클러스터**
크기 조정 계획에 Aurora DB 클러스터를 추가하려면 사용자는 Amazon Aurora 및 Application Auto Scaling의 다음 권한이 있어야 합니다.
+ `rds:AddTagsToResource`
+ `rds:CreateDBInstance`
+ `rds:DeleteDBInstance`
+ `rds:DescribeDBClusters`
+ `rds:DescribeDBInstances`
+ `application-autoscaling:RegisterScalableTarget`
+ `application-autoscaling:DescribeScalableTargets`
+ `application-autoscaling:DeregisterScalableTarget`
+ `application-autoscaling:PutScalingPolicy`
+ `application-autoscaling:DescribeScalingPolicies`
+ `application-autoscaling:DeleteScalingPolicy`
## 서비스 연결 역할 생성에 필요한 권한
AWS Auto Scaling 에서는의 사용자가 예측 조정이 활성화된 조정 계획을 처음 생성할 때 서비스 연결 역할을 AWS 계정 생성할 수 있는 권한이 필요합니다. 서비스 연결 역할이 아직 없는 경우는 계정에 해당 역할을 AWS Auto Scaling 생성합니다. 서비스 연결 역할은 사용자를 대신하여 다른 서비스를 호출할 수 AWS Auto Scaling 있도록에 권한을 부여합니다.
역할 자동 생성이 성공하려면 사용자가 `iam:CreateServiceLinkedRole` 작업에 대한 권한을 보유해야 합니다.
```
"Action": "iam:CreateServiceLinkedRole"
```
다음은 서비스 연결 역할을 생성하는 권한을 부여하는 자격 증명 기반 정책의 예입니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "iam:CreateServiceLinkedRole",
"Resource": "arn:aws:iam::*:role/aws-service-role/autoscaling-plans.amazonaws.com/AWSServiceRoleForAutoScalingPlans_EC2AutoScaling",
"Condition": {
"StringLike": {
"iam:AWSServiceName":"autoscaling-plans.amazonaws.com"
}
}
}
]
}
```
------
자세한 내용은 [예측 크기 조정 서비스 연결 역할](aws-auto-scaling-service-linked-roles.md) 단원을 참조하십시오.