기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
# Macie에 대한 자격 증명 기반 정책 예시
기본적으로 사용자 및 역할에는 Macie 리소스를 생성하거나 수정할 수 있는 권한이 없습니다. 사용자에게 사용자가 필요한 리소스에서 작업을 수행할 권한을 부여하려면 IAM 관리자가 IAM 정책을 생성하면 됩니다.
이러한 예제 JSON 정책 문서를 사용하여 IAM ID 기반 정책을 생성하는 방법을 알아보려면 *IAM 사용 설명서*의 [IAM 정책 생성(콘솔)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)을 참조하세요.
각 리소스 유형에 대한 ARN 형식을 포함하여 Macie에서 정의한 작업 및 리소스 유형에 대한 자세한 내용은 *서비스 인증 참조*에서 [Amazon Macie에 대한 작업, 리소스 및 조건 키](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonmacie.html)를 참조하세요.
정책을 생성할 때는 정책을 저장하기 전에 AWS Identity and Access Management Access Analyzer (IAM Access Analyzer)의 보안 경고, 오류, 일반 경고 및 제안을 해결해야 합니다. IAM Access Analyzer는 정책 확인을 실행하여 IAM [정책 문법](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_grammar.html) 및 [모범 사례](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)에 대해 정책을 검증합니다. 이러한 확인은 조사 결과를 생성하고 보안 모범 사례를 준수하고 작동하는 정책을 작성하는 데 도움이 되는 실행 가능한 권장 사항을 제공합니다. IAM Access Analyzer를 사용한 정책 검증에 대해 알아보려면 **IAM 사용 설명서의 [IAM Access Analyzer 정책 검증](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)을 참조하세요. IAM Access Analyzer에서 반환할 수 있는 경고, 오류 및 제안 사항 목록을 검토하려면 *IAM 사용 설명서*에서 [IAM Access Analyzer 정책 확인 참조](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-reference-policy-checks.html)를 참조하세요.
**Topics**
+ [정책 모범 사례](#security_iam_service-with-iam-policy-best-practices)
+ [Amazon Macie 콘솔 사용](#security_iam_id-based-policy-examples-console)
+ [예: 사용자가 자신의 고유한 권한을 검토할 수 있도록 허용함](#security_iam_id-based-policy-examples-view-own-permissions)
+ [예: 사용자가 민감한 데이터 검색 작업을 만들 수 있도록 허용함](#security_iam_id-based-policy-examples-create-job)
+ [예: 사용자가 민감한 데이터 검색 작업을 관리할 수 있도록 허용함](#security_iam_id-based-policy-examples-access-job)
+ [예: 사용자가 조사 결과를 검토할 수 있도록 허용함](#security_iam_id-based-policy-examples-review-findings)
+ [예: 사용자가 태그를 기반으로 사용자 지정 데이터 식별자를 검토할 수 있도록 허용](#security_iam_id-based-policy-examples-review-cdis-tags)
## 정책 모범 사례
ID 기반 정책에 따라 계정에서 사용자가 Macie 리소스를 생성, 액세스 또는 삭제할 수 있는지 여부가 결정됩니다. 이 작업으로 인해 AWS 계정에 비용이 발생할 수 있습니다. ID 기반 정책을 생성하거나 편집할 때는 다음 지침과 권장 사항을 따르세요.
+ ** AWS 관리형 정책을 시작하고 최소 권한으로 전환 -** 사용자 및 워크로드에 권한 부여를 시작하려면 많은 일반적인 사용 사례에 대한 권한을 부여하는 *AWS 관리형 정책을* 사용합니다. 에서 사용할 수 있습니다 AWS 계정. 사용 사례에 맞는 AWS 고객 관리형 정책을 정의하여 권한을 추가로 줄이는 것이 좋습니다. 자세한 내용은 *IAM 사용 설명서*의 [AWS 관리형 정책](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) 또는 [AWS 직무에 대한 관리형 정책](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)을 참조하세요.
+ **최소 권한 적용** – IAM 정책을 사용하여 권한을 설정하는 경우, 작업을 수행하는 데 필요한 권한만 부여합니다. 이렇게 하려면 *최소 권한*으로 알려진 특정 조건에서 특정 리소스에 대해 수행할 수 있는 작업을 정의합니다. IAM을 사용하여 권한을 적용하는 방법에 대한 자세한 정보는 *IAM 사용 설명서*에 있는 [IAM의 정책 및 권한](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)을 참조하세요.
+ **IAM 정책의 조건을 사용하여 액세스 추가 제한** – 정책에 조건을 추가하여 작업 및 리소스에 대한 액세스를 제한할 수 있습니다. 예를 들어, SSL을 사용하여 모든 요청을 전송해야 한다고 지정하는 정책 조건을 작성할 수 있습니다. AWS 서비스와 같은 특정를 통해 사용되는 경우 조건을 사용하여 서비스 작업에 대한 액세스 권한을 부여할 수도 있습니다 CloudFormation. 자세한 내용은 *IAM 사용 설명서*의 [IAM JSON 정책 요소: 조건](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)을 참조하세요.
+ **IAM Access Analyzer를 통해 IAM 정책을 확인하여 안전하고 기능적인 권한 보장** - IAM Access Analyzer에서는 IAM 정책 언어(JSON)와 모범 사례가 정책에서 준수되도록 새로운 및 기존 정책을 확인합니다. IAM Access Analyzer는 100개 이상의 정책 확인 항목과 실행 가능한 추천을 제공하여 안전하고 기능적인 정책을 작성하도록 돕습니다. 자세한 내용은 *IAM 사용 설명서*의 [IAM Access Analyzer에서 정책 검증](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)을 참조하세요.
+ **다중 인증(MFA) 필요 -**에서 IAM 사용자 또는 루트 사용자가 필요한 시나리오가 있는 경우 추가 보안을 위해 MFA를 AWS 계정켭니다. API 작업을 직접적으로 호출할 때 MFA가 필요하면 정책에 MFA 조건을 추가합니다. 자세한 내용은 *IAM 사용 설명서*의 [MFA를 통한 보안 API 액세스](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)를 참조하세요.
IAM의 모범 사례에 대한 자세한 내용은 *IAM 사용 설명서*의 [IAM의 보안 모범 사례](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)를 참조하세요.
## Amazon Macie 콘솔 사용
Amazon Macie 콘솔에 액세스하려면 최소한의 권한 세트가 있어야 합니다. 이러한 권한은에서 Macie 리소스에 대한 세부 정보를 나열하고 볼 수 있도록 허용해야 합니다 AWS 계정. 최소 필수 권한보다 더 제한적인 ID 기반 정책을 생성하는 경우, 콘솔이 해당 정책에 연결된 엔티티(사용자 또는 역할)에 대해 의도대로 작동하지 않습니다.
AWS CLI 또는 AWS API만 호출하는 사용자에게는 최소 콘솔 권한을 허용할 필요가 없습니다. 그 대신, 수행하려는 API 작업과 일치하는 작업에만 액세스할 수 있도록 합니다.
사용자와 역할이 Amazon Macie 콘솔을 사용할 수 있도록 하려면, 사용자와 역할에 콘솔 액세스를 제공하는 IAM 정책을 생성합니다. 자세한 내용은 IAM 사용 설명서**에서 [IAM의 정책 및 권한](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)을 참조하세요.
사용자 또는 역할이 Amazon Macie 콘솔을 사용할 수 있도록 허용하는 정책을 생성하는 경우, 정책이 `macie2:GetMacieSession` 작업을 허용하는지 확인합니다. 그렇지 않으면, 해당 사용자 또는 역할이 콘솔에 있는 Macie 리소스 또는 데이터에 액세스할 수 없습니다.
또한 해당 사용자 또는 역할이 콘솔에서 액세스해야 하는 리소스에 대해 적절한 `macie2:List` 작업을 정책이 허용하는지 확인합니다. 그렇지 않으면, 해당 사용자 또는 역할이 콘솔에서 해당 리소스로 이동하거나 해당 리소스에 대한 세부 정보를 표시할 수 없습니다. 예를 들어, 콘솔을 사용하여 민감한 데이터 검색 작업의 세부 정보를 검토하려면, 사용자가 해당 작업에 대한 `macie2:DescribeClassificationJob` 작업 *및* `macie2:ListClassificationJobs` 작업을 수행할 수 있어야 합니다. 사용자가 `macie2:ListClassificationJobs` 작업을 수행할 수 없는 경우, 사용자는 콘솔의 **작업** 페이지에 작업 목록을 표시할 수 없으므로 세부 정보를 표시할 작업을 선택할 수 없습니다. 작업이 사용하는 사용자 지정 데이터 식별자에 대한 정보를 포함하는 세부 정보의 경우, 사용자가 사용자 지정 데이터 식별자에 대한 `macie2:BatchGetCustomDataIdentifiers` 작업도 수행할 수 있어야 합니다.
## 예: 사용자가 자신의 고유한 권한을 검토할 수 있도록 허용함
이 예제는 IAM 사용자가 자신의 사용자 ID에 연결된 인라인 및 관리형 정책을 볼 수 있도록 허용하는 정책을 생성하는 방법을 보여 줍니다. 이 정책에는 콘솔에서 또는 AWS CLI 또는 AWS API를 사용하여 프로그래밍 방식으로이 작업을 완료할 수 있는 권한이 포함됩니다.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
## 예: 사용자가 민감한 데이터 검색 작업을 만들 수 있도록 허용함
이 예제는 사용자가 민감한 데이터 검색 작업을 생성하도록 허용하는 정책을 생성하는 방법을 보여줍니다.
이 예제에서, 첫 번째 명령문은 사용자에게 `macie2:CreateClassificationJob` 권한을 부여합니다. 이러한 권한을 통해 사용자는 작업을 생성할 수 있습니다. 이 명령문은 `macie2:DescribeClassificationJob` 권한도 부여합니다. 이러한 권한을 통해 사용자는 기존 작업의 세부 정보에 액세스할 수 있습니다. 작업을 생성하는 데 이러한 권한이 필요하지는 않지만, 이러한 세부 정보에 액세스하면 사용자가 고유한 구성 설정을 보유한 작업을 생성하는 데 도움이 될 수 있습니다.
예제의 두 번째 명령문은 사용자가 Amazon Macie 콘솔을 사용하여 작업을 생성, 구성 및 검토할 수 있도록 허용합니다. `macie2:ListClassificationJobs` 권한을 통해 사용자는 콘솔의 작업 페이지에 기존 **작업**을 표시할 수 있습니다. 명령문의 다른 모든 권한은 사용자가 콘솔의 **작업 생성** 페이지를 사용하여 작업을 구성하고 생성할 수 있도록 허용합니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "CreateAndReviewJobs",
"Effect": "Allow",
"Action": [
"macie2:CreateClassificationJob",
"macie2:DescribeClassificationJob"
],
"Resource": "arn:aws:macie2:*:*:classification-job/*"
},
{
"Sid": "CreateAndReviewJobsOnConsole",
"Effect": "Allow",
"Action": [
"macie2:ListClassificationJobs",
"macie2:ListAllowLists",
"macie2:ListCustomDataIdentifiers",
"macie2:ListManagedDataIdentifiers",
"macie2:SearchResources",
"macie2:DescribeBuckets"
],
"Resource": "*"
}
]
}
```
------
## 예: 사용자가 민감한 데이터 검색 작업을 관리할 수 있도록 허용함
이 예제에서는 사용자가 특정 민감한 데이터 검색 작업, 즉 `3ce05dbb7ec5505def334104bexample`의 ID를 가진 작업의 세부 정보에 액세스하도록 허용하는 정책을 생성하는 방법을 보여줍니다. 또한 이 예제를 통해 사용자는 필요에 따라 작업 상태를 변경할 수 있습니다.
예제의 첫 번째 명령문은 사용자에게 `macie2:DescribeClassificationJob` 및 `macie2:UpdateClassificationJob` 권한을 부여합니다. 이러한 권한을 통해 사용자는 각각 작업 세부 정보를 검색하고 작업 상태를 변경할 수 있습니다. 두 번째 명령문은 사용자에게 `macie2:ListClassificationJobs` 권한을 부여하여 사용자가 Amazon Macie 콘솔의 **작업** 페이지를 사용하여 작업에 액세스할 수 있도록 합니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ManageOneJob",
"Effect": "Allow",
"Action": [
"macie2:DescribeClassificationJob",
"macie2:UpdateClassificationJob"
],
"Resource": "arn:aws:macie2:*:*:classification-job/3ce05dbb7ec5505def334104bexample"
},
{
"Sid": "ListJobsOnConsole",
"Effect": "Allow",
"Action": "macie2:ListClassificationJobs",
"Resource": "*"
}
]
}
```
------
또한 Macie가 작업을 위해 Amazon CloudWatch Logs에 게시하는 로깅 데이터(*로그 이벤트*)에 사용자가 액세스하도록 허용할 수도 있습니다. 이를 위해 해당 작업에 대한 로그 그룹 및 스트림에서 CloudWatch Logs(`logs`) 작업을 수행할 권한을 부여하는 명령문을 추가할 수 있습니다. 예제:
```
{
"Sid": "AccessLogGroupForMacieJobs",
"Effect": "Allow",
"Action": [
"logs:DescribeLogGroups",
"logs:DescribeLogStreams"
],
"Resource": "arn:aws:logs:*:*:log-group:aws/macie/classificationjobs"
},
{
"Sid": "AccessLogEventsForOneMacieJob",
"Effect": "Allow",
"Action": "logs:GetLogEvents",
"Resource": [
"arn:aws:logs:*:*:log-group:aws/macie/classificationjobs/*",
"arn:aws:logs:*:*:log-group:aws/macie/classificationjobs:log-stream:3ce05dbb7ec5505def334104bexample"
]
}
```
CloudWatch Logs에 대한 액세스 관리에 대한 자세한 내용은 *Amazon CloudWatch Logs 사용 설명서*의 [CloudWatch Logs 리소스에 대한 액세스 권한 관리 개요](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/iam-access-control-overview-cwl.html)를 참조하세요.
## 예: 사용자가 조사 결과를 검토할 수 있도록 허용함
이 예제에서는 사용자의 조사 결과 데이터 액세스를 허용하는 정책을 생성하는 방법을 보여줍니다.
이 예제에서는 `macie2:GetFindings` 및 `macie2:GetFindingStatistics` 권한을 통해 사용자가 Amazon Macie API 또는 Amazon Macie 콘솔을 사용하여 데이터를 검색할 수 있습니다. `macie2:ListFindings` 권한을 통해 사용자는 Amazon Macie 콘솔의 **요약** 대시보드 및 **조사 결과** 페이지를 사용하여 데이터를 검색하고 검토할 수 있습니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ReviewFindings",
"Effect": "Allow",
"Action": [
"macie2:GetFindings",
"macie2:GetFindingStatistics",
"macie2:ListFindings"
],
"Resource": "*"
}
]
}
```
------
또한 사용자가 조사 결과에 대한 필터 규칙 및 금지 규칙을 생성하고 관리하도록 허용할 수 있습니다. 이렇게 하기 위해, `macie2:CreateFindingsFilter`, `macie2:GetFindingsFilter`, `macie2:UpdateFindingsFilter`, 및 `macie2:DeleteFindingsFilter` 권한을 부여하는 명령문을 포함할 수 있습니다. 사용자가 Amazon Macie 콘솔을 사용하여 규칙을 관리할 수 있게 하려면 정책에 `macie2:ListFindingsFilters` 권한도 포함합니다. 예제:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ReviewFindings",
"Effect": "Allow",
"Action": [
"macie2:GetFindings",
"macie2:GetFindingStatistics",
"macie2:ListFindings"
],
"Resource": "*"
},
{
"Sid": "ManageRules",
"Effect": "Allow",
"Action": [
"macie2:GetFindingsFilter",
"macie2:UpdateFindingsFilter",
"macie2:CreateFindingsFilter",
"macie2:DeleteFindingsFilter"
],
"Resource": "arn:aws:macie2:*:*:findings-filter/*"
},
{
"Sid": "ListRulesOnConsole",
"Effect": "Allow",
"Action": "macie2:ListFindingsFilters",
"Resource": "*"
}
]
}
```
------
## 예: 사용자가 태그를 기반으로 사용자 지정 데이터 식별자를 검토할 수 있도록 허용
ID 기반 정책에서, 조건을 사용하여 태그를 기반으로 Amazon Macie 리소스에 대한 액세스를 제어할 수 있습니다. 이 예제에서는 Amazon Macie Console 또는 Amazon Macie API를 사용하여 사용자가 사용자 지정 데이터 식별자를 검토할 수 있도록 허용하는 정책을 생성하는 방법을 보여줍니다. 하지만 `Owner` 태그가 해당 사용자의 사용자 이름 값을 가지고 있는 경우에만 권한이 부여됩니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ReviewCustomDataIdentifiersIfOwner",
"Effect": "Allow",
"Action": "macie2:GetCustomDataIdentifier",
"Resource": "arn:aws:macie2:*:*:custom-data-identifier/*",
"Condition": {
"StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"}
}
},
{
"Sid": "ListCustomDataIdentifiersOnConsoleIfOwner",
"Effect": "Allow",
"Action": "macie2:ListCustomDataIdentifiers",
"Resource": "*",
"Condition": {
"StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"}
}
}
]
}
```
------
이 예제에서는 사용자 이름 `richard-roe`를 가진 사용자가 사용자 지정 데이터 식별자의 세부 정보를 검토하려는 경우 사용자 지정 데이터 식별자에 `Owner=richard-roe` 또는 `owner=richard-roe` 태그를 지정해야 합니다. 그렇지 않으면 사용자는 액세스가 거부됩니다. 조건 키 이름은 대/소문자를 구분하지 않기 때문에 태그 키 `Owner`는 `Owner` 및 `owner` 모두와 일치합니다. 자세한 정보는 *IAM 사용 설명서*의 [IAM JSON 정책 요소: 조건](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)을 참조하세요.