기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
# ID 기반 정책 예시
기본적으로 사용자 및 역할에는 Amazon Connect Decisions 리소스를 생성하거나 수정할 수 있는 권한이 없습니다. 또한 AWS 관리 콘솔, AWS 명령줄 인터페이스(AWS CLI) 또는 AWS API를 사용하여 작업을 수행할 수 없습니다. 사용자에게 사용자가 필요한 리소스에서 작업을 수행할 권한을 부여하려면 IAM 관리자가 IAM 정책을 생성하면 됩니다. 그런 다음 관리자가 IAM 정책을 역할에 추가하고, 사용자가 역할을 맡을 수 있습니다.
이러한 JSON 정책 예시 문서를 사용하여 IAM 자격 증명 기반 정책을 생성하는 방법을 알아보려면 IAM 사용 설명서의 [IAM 정책 생성](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) 단원을 참조하세요.
## 인스턴스 관리 IAM 정책
다음은 콘솔 또는 퍼블릭 API를 통해 인스턴스를 생성, 업데이트 또는 삭제하는 데 필요한 IAM 정책입니다(모든 웹앱 작업 제외).
```
{
"Version": "2012-10-17",
"Statement": [
{
"Action": "scn:*",
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"s3:GetObject",
"s3:PutObject",
"s3:ListBucket",
"s3:CreateBucket",
"s3:PutBucketVersioning",
"s3:PutBucketObjectLockConfiguration",
"s3:PutEncryptionConfiguration",
"s3:PutBucketPolicy",
"s3:PutLifecycleConfiguration",
"s3:PutBucketPublicAccessBlock",
"s3:DeleteObject",
"s3:ListAllMyBuckets",
"s3:PutBucketOwnershipControls",
"s3:PutBucketNotification",
"s3:PutAccountPublicAccessBlock",
"s3:PutBucketLogging",
"s3:PutBucketTagging"
],
"Resource": "arn:aws:s3:::aws-supply-chain-*",
"Effect": "Allow"
},
{
"Action": [
"cloudtrail:CreateTrail",
"cloudtrail:PutEventSelectors",
"cloudtrail:GetEventSelectors",
"cloudtrail:StartLogging"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"events:DescribeRule",
"events:PutRule",
"events:PutTargets"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"cloudwatch:PutMetricData",
"cloudwatch:Describe*",
"cloudwatch:Get*",
"cloudwatch:List*"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"organizations:CreateOrganization",
"organizations:DescribeAccount",
"organizations:DescribeOrganization",
"organizations:EnableAWSServiceAccess",
"organizations:ListDelegatedAdministrators"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"kms:ListAliases"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"iam:CreateRole",
"iam:CreatePolicy",
"iam:GetRole",
"iam:PutRolePolicy",
"iam:AttachRolePolicy",
"iam:CreateServiceLinkedRole"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"sso:AssociateDirectory",
"sso:AssociateProfile",
"sso:CreateApplication",
"sso:CreateApplicationAssignment",
"sso:CreateInstance",
"sso:CreateManagedApplicationInstance",
"sso:DeleteApplication",
"sso:DeleteApplicationAssignment",
"sso:DeleteManagedApplicationInstance",
"sso:DescribeApplication",
"sso:DescribeDirectories",
"sso:DescribeInstance",
"sso:DescribeRegisteredRegions",
"sso:DescribeTrusts",
"sso:DisassociateProfile",
"sso:GetManagedApplicationInstance",
"sso:GetPeregrineStatus",
"sso:GetProfile",
"sso:GetSharedSsoConfiguration",
"sso:GetSsoConfiguration",
"sso:GetSSOStatus",
"sso:ListApplicationAssignments",
"sso:ListApplicationTemplates",
"sso:ListDirectoryAssociations",
"sso:ListInstances",
"sso:ListProfileAssociations",
"sso:ListProfiles",
"sso:PutApplicationAuthenticationMethod",
"sso:PutApplicationGrant",
"sso:RegisterRegion",
"sso:SearchDirectoryGroups",
"sso:SearchDirectoryUsers",
"sso:SearchGroups",
"sso:SearchUsers",
"sso:StartPeregrine",
"sso:StartSSO",
"sso:UpdateSsoConfiguration",
"sso-directory:SearchUsers"
],
"Resource": "*",
"Effect": "Allow"
}
]
}
```
## 정책 모범 사례
자격 증명 기반 정책에 따라 계정에서 사용자가 Amazon Connect Decisions 리소스를 생성, 액세스 또는 삭제할 수 있는지 여부가 결정됩니다. 이 작업으로 인해 AWS 계정에 비용이 발생할 수 있습니다. 자격 증명 기반 정책을 생성하거나 편집할 때는 다음 지침과 권장 사항을 따르세요.
+ ** AWS 관리형 정책을 시작하고 최소 권한으로 전환 -** 사용자 및 워크로드에 권한 부여를 시작하려면 많은 일반적인 사용 사례에 대한 권한을 부여하는 *AWS 관리형 정책을* 사용합니다. AWS 계정에서 사용할 수 있습니다. 사용 사례에 고유한 AWS 고객 관리형 정책을 정의하여 권한을 줄이는 것이 좋습니다. 자세한 내용은 *IAM 사용 설명서*의 [AWS 관리형 정책](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) 또는 [직무에 대한 AWS 관리형 정책을](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) 참조하세요.
+ **최소 권한 적용** – IAM 정책을 사용하여 권한을 설정하는 경우, 작업을 수행하는 데 필요한 권한만 부여합니다. 이렇게 하려면 *최소 권한*으로 알려진 특정 조건에서 특정 리소스에 대해 수행할 수 있는 작업을 정의합니다. IAM을 사용하여 권한을 적용하는 방법에 대한 자세한 정보는 *IAM 사용 설명서*에 있는 [IAM의 정책 및 권한](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)을 참조하세요.
+ **IAM 정책의 조건을 사용하여 액세스 추가 제한** – 정책에 조건을 추가하여 작업 및 리소스에 대한 액세스를 제한할 수 있습니다. 예를 들어, SSL을 사용하여 모든 요청을 전송해야 한다고 지정하는 정책 조건을 작성할 수 있습니다. 와 같은 특정 서비스를 통해 사용되는 경우 조건을 사용하여 AWS 서비스 작업에 대한 액세스 권한을 부여할 수도 있습니다 CloudFormation. 자세한 내용은 *IAM 사용 설명서*의 [IAM JSON 정책 요소: 조건](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)을 참조하세요.
+ **IAM Access Analyzer를 통해 IAM 정책을 확인하여 안전하고 기능적인 권한 보장** - IAM Access Analyzer에서는 IAM 정책 언어(JSON)와 모범 사례가 정책에서 준수되도록 새로운 및 기존 정책을 확인합니다. IAM Access Analyzer는 100개 이상의 정책 확인 항목과 실행 가능한 추천을 제공하여 안전하고 기능적인 정책을 작성하도록 돕습니다. 자세한 내용은 *IAM 사용 설명서*의 [IAM Access Analyzer에서 정책 검증](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)을 참조하세요.
+ **다중 인증(MFA) 필요** – AWS 계정에 IAM 사용자 또는 루트 사용자가 필요한 시나리오가 있는 경우, 추가 보안을 위해 MFA를 설정합니다. API 작업을 직접적으로 호출할 때 MFA가 필요하면 정책에 MFA 조건을 추가합니다. 자세한 내용은 *IAM 사용 설명서*의 [MFA를 통한 보안 API 액세스](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)를 참조하세요.
IAM의 모범 사례에 대한 자세한 내용은 *IAM 사용 설명서*의 [IAM의 보안 모범 사례](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)를 참조하세요.