기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
# AWS Organizations 및에 대한 서비스 제어 정책 예제 AWS RAM
AWS RAM 는 서비스 제어 정책(SCPs 지원합니다. SCP는 조직 내 구성 요소에 연결하여 해당 조직 내의 권한을 관리하는 정책입니다. SCP는 AWS 계정 [SCP를 연결하는 요소의 아래에](https://docs.aws.amazon.com//organizations/latest/userguide/orgs_manage_policies_inheritance_auth.html) 적용됩니다. SCP는 조직의 모든 계정에 사용 가능한 최대 권한을 중앙에서 제어합니다. 조직의 액세스 제어 지침을 AWS 계정 준수하는 데 도움이 될 수 있습니다. 자세한 내용은AWS Organizations 사용 설명서의 [서비스 제어 정책](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_type-auth.html)을 참조하세요.**
## 사전 조건
SCP를 사용하려면 먼저 다음 사항을 수행해야 합니다.
+ 조직 내에서 모든 기능을 활성화합니다. 자세한 내용은AWS Organizations 사용 설명서에서 [조직 내 모든 기능 활성화](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_org_support-all-features.html)를 참조하세요.**
+ 조직 내에서 사용할 수 있도록 SCP를 활성화합니다. 자세한 내용은AWS Organizations 사용 설명서에서 [정책 유형 활성화 및 비활성화](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_enable-disable.html)를 참조하세요.**
+ 필요한 SCP를 생성합니다. SCP를 생성하는 방법에 대한 자세한 내용은AWS Organizations 사용 설명서에서 [SCP 생성 및 업데이트](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scp-create.html)를 참조하세요.**
## 예제 서비스 제어 정책
**Contents**
+ [예 1: 외부 공유 금지](#example-one)
+ [예 2: 사용자가 조직 외부의 외부 계정으로부터 받은 리소스 공유 초대를 수락하지 못하도록 방지](#example-two)
+ [예 3: 특정 계정에서 특정 리소스 유형 공유 허용](#example-three)
+ [예 4: 전체 조직 또는 조직 단위와의 공유 금지](#example-four)
+ [예 5: 특정 보안 주체와만 공유 허용](#example-five)
+ [예제 6: RetainSharingOnAccountLeaveOrganization이 활성화된 리소스 공유 방지](#example-six)
다음 예에서는 조직에서 리소스 공유의 다양한 측면을 제어할 수 있는 방법을 보여줍니다.
### 예 1: 외부 공유 금지
다음 SCP는 사용자가 공유 사용자의 조직 외부에 있는 보안 주체와의 공유를 허용하는 리소스 공유를 만들지 못하도록 합니다.
AWS RAM 는 호출에 나열된 각 보안 주체 및 리소스에 대해 별도로 APIs를 승인합니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"ram:CreateResourceShare",
"ram:UpdateResourceShare"
],
"Resource": "*",
"Condition": {
"Bool": {
"ram:RequestedAllowsExternalPrincipals": "true"
}
}
}
]
}
```
------
### 예 2: 사용자가 조직 외부의 외부 계정으로부터 받은 리소스 공유 초대를 수락하지 못하도록 방지
다음 SCP는 해당 계정의 모든 보안 주체가 리소스 공유 사용 초대를 수락하지 못하도록 차단합니다. 공유 계정과 동일한 조직의 다른 계정으로 공유되는 리소스 공유는 초대가 생성되지 않으므로 이 SCP의 영향을 받지 않습니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "ram:AcceptResourceShareInvitation",
"Resource": "*"
}
]
}
```
------
### 예 3: 특정 계정에서 특정 리소스 유형 공유 허용
다음 SCP는 `111111111111` 및 `222222222222` 계정*만* Amazon EC2 접두사 목록을 공유하는 새 리소스 공유를 생성하거나 접두사 목록을 기존 리소스 공유와 연결할 수 있도록 허용합니다.
AWS RAM 는 호출에 나열된 각 보안 주체 및 리소스에 대해 별도로 APIs를 승인합니다.
요청에 리소스 유형 파라미터가 포함되어 있지 않거나 해당 파라미터가 포함되어 있으며 값이 지정된 ARN과 정확히 일치하는 경우 `StringEqualsIfExists` 연산자는 요청을 허용합니다. 보안 주체를 포함하는 경우, `...IfExists`가 있어야 합니다.
`...IfExists` 연산자를 사용하는 시기와 이유에 대한 자세한 내용은 *IAM 사용 설명서*에서 [...IfExists 조건 연산자](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html#Conditions_IfExists)를 참조하세요.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"ram:AssociateResourceShare",
"ram:CreateResourceShare"
],
"Resource": "*",
"Condition": {
"StringNotEquals": {
"aws:PrincipalAccount": [
"111111111111",
"222222222222"
]
},
"StringEqualsIfExists": {
"ram:RequestedResourceType": "ec2:PrefixList"
}
}
}
]
}
```
------
### 예 4: 전체 조직 또는 조직 단위와의 공유 금지
다음 SCP는 사용자가 전체 조직 또는 조직 단위와 리소스를 공유하는 리소스 공유를 생성하지 못하도록 합니다. 사용자는 AWS 계정 조직의 개인 또는 IAM 역할 또는 사용자와 공유할 *수* 있습니다.
AWS RAM 는 호출에 나열된 각 보안 주체 및 리소스에 대해 별도로 APIs를 승인합니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"ram:CreateResourceShare",
"ram:AssociateResourceShare"
],
"Resource": "*",
"Condition": {
"StringLike": {
"ram:Principal": [
"arn:aws:organizations::*:organization/*",
"arn:aws:organizations::*:ou/*"
]
}
}
}
]
}
```
------
### 예 5: 특정 보안 주체와만 공유 허용
다음 SCP 예제는 사용자에게 조직 `o-12345abcdef,`, 조직 단위 `ou-98765fedcba`, AWS 계정 `111111111111`과의 리소스 공유*만* 허용합니다.
`StringNotEqualsIfExists`와 같은 부정 조건 연산자와 함께 `"Effect": "Deny"` 요소를 사용하는 경우, 조건 키가 제공되지 않아도 요청이 계속 거부됩니다. `Null` 조건 연산자를 사용하여 권한을 부여하는 시점에 조건 키가 없는지 확인합니다.
AWS RAM 는 호출에 나열된 각 보안 주체 및 리소스에 대해 별도로 APIs를 승인합니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"ram:AssociateResourceShare",
"ram:CreateResourceShare"
],
"Resource": "*",
"Condition": {
"StringNotEquals": {
"ram:Principal": [
"arn:aws:organizations::123456789012:organization/o-12345abcdef",
"arn:aws:organizations::123456789012:ou/o-12345abcdef/ou-98765fedcba",
"111111111111"
]
},
"Null": {
"ram:Principal": "false"
}
}
}
]
}
```
------
### 예제 6: RetainSharingOnAccountLeaveOrganization이 활성화된 리소스 공유 방지
다음 SCP는 `ram:RetainSharingOnAccountLeaveOrganization` 조건 키가 로 설정된 경우 사용자가 리소스 공유를 생성하거나 수정하지 못하도록 합니다`true`.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"ram:CreateResourceShare",
"ram:AssociateResourceShare",
"ram:DisassociateResourceShare"
],
"Resource": "*",
"Condition": {
"Bool": {
"ram:RetainSharingOnAccountLeaveOrganization": "true"
}
}
}
]
}
```