AWS AMS Accelerate에 대한 관리형 정책 - AMS Accelerate 사용 설명서
AlarmManagerPermissionsBoundaryDetective 제어 구성 관리형 정책배포 도구 키트 관리형 정책이벤트 서비스 관리형 정책연락처 관리형 정책정책 업데이트

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

AWS AMS Accelerate에 대한 관리형 정책

AWS 관리형 정책은에서 생성하고 관리하는 독립 실행형 정책입니다 AWS. AWS 관리형 정책은 사용자, 그룹 및 역할에 권한 할당을 시작할 수 있도록 많은 일반적인 사용 사례에 대한 권한을 제공하도록 설계되었습니다.

AWS 관리형 정책은 모든 AWS 고객이 사용할 수 있으므로 특정 사용 사례에 대해 최소 권한을 부여하지 않을 수 있습니다. 사용 사례에 고유한 고객 관리형 정책을 정의하여 권한을 줄이는 것이 좋습니다.

AWS 관리형 정책에 정의된 권한은 변경할 수 없습니다. 가 관리형 정책에 정의된 권한을 AWS 업데이트하는 AWS 경우 업데이트는 정책이 연결된 모든 보안 주체 자격 증명(사용자, 그룹 및 역할)에 영향을 줍니다. AWS AWS 서비스 는 새가 시작되거나 기존 서비스에 새 API 작업을 사용할 수 있게 될 때 AWS 관리형 정책을 업데이트할 가능성이 높습니다.

자세한 내용은 IAM 사용 설명서의 AWS 관리형 정책을 참조하세요.

변경 사항 표는 섹션을 참조하세요AWS 관리형 정책에 대한 업데이트 가속화.

AWS 관리형 정책: AWSManagedServices_AlarmManagerPermissionsBoundary

AWS Managed Services (AMS)는 AWSManagedServices_AlarmManagerPermissionsBoundary AWS 관리형 정책을 사용합니다. 이 AWS관리형 정책은 AWSManagedServices_AlarmManager_ServiceRolePolicy에서 AWSServiceRoleForManagedServices_AlarmManager에 의해 생성된 IAM 역할의 권한을 제한하는 데 사용됩니다.

이 정책은의 일부로 생성된 IAM 역할경보 관리자의 작동 방식, AWS Config 평가, Alarm Manager 구성을 가져오기 위한 AWS Config 읽기, 필요한 Amazon CloudWatch 경보 생성과 같은 작업을 수행할 수 있는 권한을 부여합니다.

AWSManagedServices_AlarmManagerPermissionsBoundary 정책은 AWSServiceRoleForManagedServices_DetectiveControlsConfig 서비스 연결 역할에 연결됩니다. 이 역할에 대한 업데이트는 섹션을 참조하세요서비스 연결 역할에 대한 업데이트 가속화.

이 정책을 IAM 자격 증명에 연결할 수 있습니다.

권한 세부 정보

이 정책에는 다음 권한이 포함되어 있습니다.

  • AWS Config - 구성 규칙을 평가하고 리소스 구성을 선택할 수 있는 권한을 허용합니다.

  • AWS AppConfig - AlarmManager 구성을 가져올 수 있는 권한을 허용합니다.

  • Amazon S3 - AlarmManager 버킷 및 객체를 작동할 수 있는 권한을 허용합니다.

  • Amazon CloudWatch - AlarmManager 관리형 경보 및 지표를 읽고 넣을 수 있는 권한을 허용합니다.

  • AWS Resource Groups and Tags - 리소스 태그를 읽을 수 있는 권한을 허용합니다.

  • Amazon EC2 - Amazon EC2 리소스를 읽을 수 있는 권한을 허용합니다.

  • Amazon Redshift - Redshift 인스턴스 및 클러스터를 읽을 수 있는 권한을 허용합니다.

  • Amazon FSx - 파일 시스템, 볼륨 및 리소스 태그를 설명할 수 있는 권한을 허용합니다.

  • Amazon CloudWatch Synthetics - Synthetics 리소스를 읽을 수 있는 권한을 허용합니다.

  • Amazon Elastic Kubernetes Service - Amazon EKS 클러스터를 설명할 수 있는 권한을 허용합니다.

  • Amazon ElastiCache - 리소스를 설명할 수 있는 권한을 허용합니다.

이 ZIP: RecommendedPermissionBoundary.zip.

AWS 관리형 정책: AWSManagedServices_DetectiveControlsConfig_ServiceRolePolicy

AWS Managed Services (AMS)는 AWSManagedServices_DetectiveControlsConfig_ServiceRolePolicy AWS 관리형 정책을 사용합니다. 이 AWS관리형 정책은 AWSServiceRoleForManagedServices_DetectiveControlsConfig 서비스 연결 역할에 연결됩니다( 참조Detective는 AMS Accelerate의 서비스 연결 역할을 제어합니다.). AWSServiceRoleForManagedServices_DetectiveControlsConfig 서비스 연결 역할에 대한 업데이트는 섹션을 참조하세요서비스 연결 역할에 대한 업데이트 가속화.

이 정책을 통해 서비스 연결 역할이 사용자를 대신하여 작업을 완료할 수 있습니다.

AWSManagedServices_DetectiveControlsConfig_ServiceRolePolicy 정책을 IAM 엔터티에 연결할 수 있습니다.

자세한 내용은 AMS Accelerate에 서비스 연결 역할 사용 단원을 참조하십시오.

권한 세부 정보

이 정책에는 AWS Managed Services Detective Controls가 필요한 모든 리소스를 배포하고 구성할 수 있도록 허용하는 다음과 같은 권한이 있습니다.

  • CloudFormation - AMS Detective Controls가 s3 버킷, 구성 규칙 및 config-recorder와 같은 리소스를 사용하여 CloudFormation 스택을 배포할 수 있도록 허용합니다.

  • AWS Config - AMS Detective Controls가 AMS 구성 규칙을 생성하고 집계자 및 태그 리소스를 구성할 수 있도록 허용합니다.

  • Amazon S3 - AMS Detective Controls가 s3 버킷을 관리할 수 있도록 허용합니다.

이 ZIP: DetectiveControlsConfig_ServiceRolePolicy.zip에서 JSON 정책 파일을 다운로드할 수 있습니다.

AWS 관리형 정책: AWSManagedServicesDeploymentToolkitPolicy

AWS Managed Services (AMS)는 AWSManagedServicesDeploymentToolkitPolicy AWS 관리형 정책을 사용합니다. 이 AWS관리형 정책은 AWSServiceRoleForAWSManagedServicesDeploymentToolkit 서비스 연결 역할에 연결됩니다( 참조AMS Accelerate의 배포 툴킷 서비스 연결 역할). 이 정책을 통해 서비스 연결 역할이 사용자를 대신하여 작업을 완료할 수 있습니다. IAM 엔터티에 이 정책을 연결할 수 없습니다. 자세한 내용은 AMS Accelerate에 서비스 연결 역할 사용 단원을 참조하십시오.

AWSServiceRoleForManagedServicesDeploymentToolkitPolicy 서비스 연결 역할에 대한 업데이트는 섹션을 참조하세요서비스 연결 역할에 대한 업데이트 가속화.

권한 세부 정보

이 정책에는 AWS Managed Services Detective Controls가 필요한 모든 리소스를 배포하고 구성할 수 있도록 허용하는 다음과 같은 권한이 있습니다.

  • CloudFormation - AMS Deployment Toolkit이 CDK에 필요한 S3 리소스를 사용하여 CFN 스택을 배포할 수 있도록 허용합니다.

  • Amazon S3 -는 AMS Deployment Toolkit이 S3 버킷을 관리할 수 있도록 허용합니다.

  • Elastic Container Registry -를 사용하면 AMS Deployment Toolkit이 AMS CDK 앱에 필요한 자산을 배포하는 데 사용되는 ECR 리포지토리를 관리할 수 있습니다.

이 ZIP: AWSManagedServicesDeploymentToolkitPolicy.zip.

AWS 관리형 정책: AWSManagedServices_EventsServiceRolePolicy

AWS Managed Services (AMS)는 AWSManagedServices_EventsServiceRolePolicy AWS 관리형 정책을 사용합니다. 이 AWS관리형 정책은 AWSServiceRoleForManagedServices_Events 서비스 연결 역할에 연결됩니다. 이 정책을 통해 서비스 연결 역할이 사용자를 대신하여 작업을 완료할 수 있습니다. IAM 엔터티에 이 정책을 연결할 수 없습니다. 자세한 내용은 AMS Accelerate에 서비스 연결 역할 사용 단원을 참조하십시오.

AWSServiceRoleForManagedServices_Events 서비스 연결 역할에 대한 업데이트는 섹션을 참조하세요서비스 연결 역할에 대한 업데이트 가속화.

권한 세부 정보

이 정책에는 Amazon EventBridge가 계정에서 AWS Managed Services로 경보 상태 변경 정보를 전달할 수 있도록 허용하는 다음과 같은 권한이 있습니다.

  • events - Accelerate가 Amazon EventBridge 관리형 규칙을 생성할 수 있도록 허용합니다. 이 규칙은 계정에서 로 경보 상태 변경 정보를 전달하는 AWS 계정 데 필요한 인프라입니다 AWS Managed Services.

이 ZIP: EventsServiceRolePolicy.zip.

AWS 관리형 정책: AWSManagedServices_ContactsServiceRolePolicy

AWS Managed Services (AMS)는 AWSManagedServices_ContactsServiceRolePolicy AWS 관리형 정책을 사용합니다. 이 AWS관리형 정책은 AWSServiceRoleForManagedServices_Contacts 서비스 연결 역할에 연결됩니다( 참조AMS Accelerate용 연락처 SLR 생성). 이 정책은 AMS Contacts SLR이 AWS 리소스에서 리소스 태그와 해당 값을 볼 수 있도록 허용합니다. IAM 엔터티에 이 정책을 연결할 수 없습니다. 자세한 내용은 AMS Accelerate에 서비스 연결 역할 사용 단원을 참조하십시오.

중요

개인 식별 정보(PII)나 기타 기밀 정보 또는 민감한 정보를 태그에 저장하지 마세요. AMS는 태그를 사용하여 관리 서비스를 제공합니다. 태그는 개인 데이터나 민감한 데이터에 사용하기 위한 것이 아닙니다.

AWSServiceRoleForManagedServices_Contacts 서비스 연결 역할에 대한 업데이트는 섹션을 참조하세요서비스 연결 역할에 대한 업데이트 가속화.

권한 세부 정보

이 정책에는 Contacts SLR이 리소스 태그를 읽고 미리 설정한 리소스 연락처 정보를 검색할 수 있도록 허용하는 다음과 같은 권한이 있습니다.

  • IAM - Contacts 서비스가 IAM 역할 및 IAM 사용자의 태그를 볼 수 있도록 허용합니다.

  • Amazon EC2 - Contacts 서비스가 Amazon EC2 리소스의 태그를 볼 수 있도록 허용합니다.

  • Amazon S3 - Contacts Service가 Amazon S3 버킷의 태그를 볼 수 있도록 허용합니다. 이 작업은 조건을 사용하여 AMS가 HTTP 권한 부여 헤더, SigV4 서명 프로토콜 및 TLS 1.2 이상의 HTTPS를 사용하여 버킷 태그에 액세스하도록 합니다. 자세한 내용은 인증 방법 및 Amazon S3 서명 버전 4 인증별 정책 키를 참조하세요.

  • Tag - Contacts 서비스가 다른 AWS 리소스의 태그를 볼 수 있도록 허용합니다.

  • "iam:ListRoleTags", "iam:ListUserTags", "tag:GetResources", "tag:GetTagKeys", "tag:GetTagValues", "ec2:DescribeTags", "s3:GetBucketTagging"

이 ZIP: ContactsServicePolicy.zip에서 JSON 정책 파일을 다운로드할 수 있습니다.

AWS 관리형 정책에 대한 업데이트 가속화

이 서비스가 이러한 변경 사항을 추적하기 시작한 이후부터 Accelerate의 AWS 관리형 정책 업데이트에 대한 세부 정보를 봅니다.

변경 사항 설명 날짜

업데이트된 정책 - 배포 도구 키트

  • 리소스에 대해 arn:aws:ecr:*:*:repository/ams-cdktoolkit*다음과 같은 새 권한이 추가되었습니다.

    ecr:BatchGetRepositoryScanningConfiguration
ecr:PutImageScanningConfiguration
 2024년 4월 4일

업데이트된 정책 - 배포 도구 키트

  • 리소스에 대해 arn:aws:cloudformation:*:*:stack/ams-cdk-toolkit*다음과 같은 새 권한이 추가되었습니다.

    cloudformation:DeleteChangeSet

cloudformation:DescribeStackEvents
cloudformation:GetTemplate
cloudformation:TagResource
cloudformation:UntagResource

  • 리소스에 대해 arn:aws:ecr:*:*:repository/ams-cdktoolkit*다음과 같은 새 권한이 추가되었습니다.

    ecr:CreateRepository

ecr:DeleteLifecyclePolicy
ecr:DeleteRepository
ecr:DeleteRepositoryPolicy
ecr:DescribeRepositories
ecr:GetLifecyclePolicy
ecr:ListTagsForResource
ecr:PutImageTagMutability
ecr:PutLifecyclePolicy
ecr:SetRepositoryPolicy
ecr:TagResource
ecr:UntagResource

  • 또한 와일드카드가 있는 일부 기존 작업의 범위가 개별 작업으로 축소되었습니다.

    - s3:DeleteObject*

+ s3:DeleteObject
+ s3:DeleteObjectTagging
+ s3:DeleteObjectVersion
+ s3:DeleteObjectVersionTagging

- s3:GetObject*
+ s3:GetObject
+ s3:GetObjectAcl
+ s3:GetObjectAttributes
+ s3:GetObjectLegalHold
+ s3:GetObjectRetention
+ s3:GetObjectTagging
+ s3:GetObjectVersion
+ s3:GetObjectVersionAcl
+ s3:GetObjectVersionAttributes
+ s3:GetObjectVersionForReplication
+ s3:GetObjectVersionTagging
+ s3:GetObjectVersionTorrent

- cloudformation:UpdateTermination*
+ cloudformation:UpdateTerminationProtection
 2023년 5월 9일

업데이트된 정책 - 탐지 제어

  • 보안 및 액세스 팀에 확인한 후 CloudFormation 작업의 범위가 더 축소되었습니다.

  • Lambda 작업은 온보딩/오프보딩에 영향을 주지 않으므로 정책에서 제거되었습니다.

 2023년 4월 10일

업데이트된 정책 - 탐지 제어

ListAttachedRolePolicies 작업이 정책에서 제거됩니다. 작업에는 와일드카드(*)로 리소스가 있었습니다. "list"는 변경되지 않는 작업이므로 모든 리소스에 대한 액세스 권한이 부여되며 와일드카드는 허용되지 않습니다.

 2023년 3월 28일

업데이트된 정책 - 탐지 제어

정책을 업데이트하고 권한 경계 정책을 추가했습니다.

 2023년 3월 21일

새 정책 - Contacts Service

Accelerate는 리소스 태그에서 계정 연락처 정보를 확인하는 새 정책을 추가했습니다.

Accelerate는 미리 설정한 리소스 연락처 정보를 검색할 수 있도록 리소스 태그를 읽는 새 정책을 추가했습니다.

 2023년 2월 16일

새 정책 - Events Service

Accelerate는 계정에서 AWS Managed Services로 경보 상태 변경 정보를 전달하는 새 정책을 추가했습니다.

필요한 Amazon EventBridge 관리형 규칙을 생성할 수 있는 경보 관리자의 작동 방식 권한의 일부로 생성된 IAM 역할을 부여합니다.

 2023년 2월 7일

업데이트된 정책 - 배포 도구 키트

Accelerate에서 고객 오프보딩을 지원하는 S3 권한이 추가되었습니다.

 2023년 1월 30일

새 정책 - 탐지 제어

서비스 연결 역할인가 탐지 제어 가속화를 배포Detective는 AMS Accelerate의 서비스 연결 역할을 제어합니다.하는 작업을 완료하도록 허용합니다.

 2022년 12월 19일

새 정책 - 경보 관리자

Accelerate는 경보 관리자 작업을 수행할 수 있는 권한을 허용하는 새 정책을 추가했습니다.

Config 평가, 경보 관리자 구성을 가져오기 위한 AWS AWS Config 읽기, 필요한 Amazon CloudWatch 경보 생성과 같은 작업을 수행할 수 있는 경보 관리자의 작동 방식 권한의 일부로 생성된 IAM 역할을 부여합니다.

 2022년 11월 30일

변경 사항 추적을 가속화하기 시작

Accelerate는 AWS 관리형 정책에 대한 변경 사항 추적을 시작했습니다.

 2022년 11월 30일

새 정책 - 배포 도구 키트

Accelerate는 배포 작업에 대해이 정책을 추가했습니다.

서비스 연결 역할 AWSServiceRoleForAWSManagedServicesDeploymentToolkit에 배포 관련 Amazon S3 버킷 및 AWS CloudFormation 스택에 액세스하고 업데이트할 수 있는 권한을 부여합니다.

 2022년 6월 9일