기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다. # 보안 내부 AWS 리소스 탐색기 보안 클라우드 AWS 보안이 최우선 과제입니다. AWS 고객은 가장 보안에 민감한 조직의 요구 사항을 충족하도록 구축된 데이터 센터 및 네트워크 아키텍처의 혜택을 누릴 수 있습니다. 보안은 기업과 기업 간의 AWS 공동 책임입니다. [공동 책임 모델](https://aws.amazon.com/compliance/shared-responsibility-model/)은 이 사항을 클라우드의 보안 및 클라우드 내 보안으로 설명합니다. + **클라우드 보안 — AWS AWS 서비스 클라우드에서** 실행되는 인프라를 보호하는 역할을 합니다 AWS 클라우드. AWS 또한 안전하게 사용할 수 있는 서비스를 제공합니다. Resource Explorer에 적용되는 규정 준수 프로그램에 대한 자세한 내용은 규정 준수 프로그램의 [범위별 범위AWS 서비스 내 규정 준수 프로그램별](https://aws.amazon.com/compliance/services-in-scope/) 참조하십시오AWS 서비스 . + **클라우드에서의 보안** — AWS 서비스 사용하는 항목에 따라 책임이 결정됩니다. 또한 여러분은 데이터의 민감도, 회사 요구 사항, 관련 법률 및 규정을 비롯한 기타 요소에 대해서도 책임이 있습니다 이 설명서는 공동 책임 모델을 사용할 때 공동 책임 모델을 적용하는 방법을 이해하는 데 도움이 AWS 리소스 탐색기됩니다. 보안 및 규정 준수 목표에 맞게 Resource Explorer를 구성하는 방법을 보여줍니다. 또한 Resource Explorer 리소스를 모니터링하고 보호하는 데 도움이 AWS 서비스 되는 기타 리소스를 사용하는 방법도 알아봅니다. **Topics** + [ # IAM정책을 다음으로 업그레이드 IPv6 ](arex-security-ipv6-upgrade.md) + [자격 증명 및 액세스 관리](security_iam.md) + [데이터 보호](data-protection.md) + [규정 준수 확인](compliance-validation.md) + [복원성](disaster-recovery-resiliency.md) + [인프라 보안](infrastructure-security.md) # IAM정책을 다음으로 업그레이드 IPv6 AWS 리소스 탐색기 고객은 IAM 정책을 사용하여 허용되는 IP 주소 범위를 설정하고 구성된 범위를 벗어나는 IP 주소가 Resource APIs Explorer에 액세스할 수 없도록 합니다. *리소스 탐색기-2.*region*리소스 탐색기가 호스팅되는.api.aws * 도메인은 추가로 지원하도록 업그레이드 APIs 중입니다. IPv6 IPv4 IPv6주소를 처리하도록 IP 주소 필터링 정책을 업데이트하지 않으면 클라이언트가 Resource Explorer 도메인의 리소스에 대한 액세스 권한을 상실할 수 있습니다. API ## 에서 IPv4 로 업그레이드하여 영향을 받는 고객 IPv6 *aws:가 포함된 정책과 함께 이중 주소 지정을 사용하는 고객은 이번 sourceIp 업그레이드의 영향을 받습니다.* 이중 주소 지정은 네트워크가 및 를 모두 지원함을 의미합니다. IPv4 IPv6 이중 주소 지정을 사용하는 경우 현재 형식 주소로 구성된 IAM 정책을 업데이트하여 IPv4 형식 주소를 IPv6 포함해야 합니다. 액세스 문제에 대한 도움이 필요하면 [지원](https://support.console.aws.amazon.com/support/home/?nc1=f_dr#/case/create)에 문의하세요. **참고** 다음 고객은 이번 업그레이드의 영향을 받지 않습니다**. *IPv4네트워크에만* 있는 고객. *IPv6네트워크에만* 있는 고객. ## 이게 IPv6 뭐죠? IPv6차세대 IP 표준은 결국 대체될 예정입니다IPv4. 이전 IPv4 버전에서는 32비트 주소 지정 체계를 사용하여 43억 개의 장치를 지원합니다. IPv6대신 128비트 주소 지정을 사용하여 약 340조 조 (또는 2에서 128번째 전력) 의 장치를 지원합니다. ``` 2001:cdba:0000:0000:0000:0000:3257:9652 2001:cdba:0:0:0:0:3257:9652 2001:cdba::3257:965 ``` ## IAM에 대한 정책 업데이트 IPv6 IAM정책은 현재 `aws:SourceIp` 필터를 사용하여 허용되는 IP 주소 범위를 설정하는 데 사용됩니다. 이중 주소 지정은 AND IPV6 트래픽을 IPv4 모두 지원합니다. 네트워크에서 이중 주소 IAM 지정을 사용하는 경우 IP 주소 필터링에 사용되는 모든 정책이 주소 범위를 IPv6 포함하도록 업데이트되었는지 확인해야 합니다. 예를 들어, 이 Amazon S3 버킷 정책은 허용된 IPv4 주소 `192.0.2.0.*` 범위와 `203.0.113.0.*` `Condition` 요소에서 식별합니다. ``` # https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_examples_aws_deny-ip.html { "Version": "2012-10-17", "Statement": { "Effect": "Deny", "Action": "*", "Resource": "*", "Condition": { "NotIpAddress": { "*aws:SourceIp*": [ "*192.0.2.0/24*", "*203.0.113.0/24*" ] }, "Bool": { "aws:ViaAWSService": "false" } } } } ``` 이 정책을 업데이트하려면 정책 `Condition` 요소가 IPv6 주소 범위 `2001:DB8:1234:5678::/64` 및 `2001:cdba:3257:8593::/64` 를 포함하도록 업데이트됩니다. **참고** 기존 IPv4 주소는 이전 버전과의 호환성을 위해 필요하므로 그대로 사용하십시오. NOT REMOVE ``` "Condition": { "NotIpAddress": { "*aws:SourceIp*": [ "*192.0.2.0/24*", <> "*203.0.113.0/24*", <> "*2001:DB8:1234:5678::/64*", <> "*2001:cdba:3257:8593::/64*" <> ] }, "Bool": { "aws:ViaAWSService": "false" } } ``` 를 사용하여 IAM 액세스 권한을 관리하는 방법에 대한 자세한 내용은 사용 *AWS Identity and Access Management 설명서의* [관리형 정책 및 인라인 정책을](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html) 참조하십시오. ## 클라이언트가 지원할 수 있는지 확인하세요. IPv6 *리소스 탐색기-2를 사용하는 고객. \$1region\$1 .api.aws* 엔드포인트는 해당 클라이언트가 이미 활성화된 다른 엔드포인트에 액세스할 수 있는지 확인하는 것이 좋습니다. AWS 서비스 IPv6 다음 단계는 이러한 엔드포인트를 확인하는 방법을 설명합니다. *이 예시에서는 Linux 및 curl 버전 8.6.0을 사용하고 api.aws 도메인에 있는 엔드포인트를 IPv6 활성화한 [Amazon Athena 서비스 엔드포인트를](https://docs.aws.amazon.com/general/latest/gr/athena.html) 사용합니다.* **참고** 클라이언트가 위치한 동일한 지역으로 AWS 리전 전환하십시오. 이 예에서는 미국 동부 (버지니아 북부) — `us-east-1` 엔드포인트를 사용합니다. 1. 다음 curl 명령을 사용하여 엔드포인트가 IPv6 주소로 확인되는지 확인합니다. ``` dig +short AAAA athena.us-east-1.api.aws 2600:1f18:e2f:4e05:1a8a:948e:7c08:d2d6 2600:1f18:e2f:4e03:4a1e:83b0:8823:4ce5 2600:1f18:e2f:4e04:34c3:6e9a:2b0d:dc79 ``` 1. 다음 curl 명령을 IPv6 사용하여 클라이언트 네트워크를 연결할 수 있는지 확인합니다. ``` curl --ipv6 -o /dev/null --silent -w "\nremote ip: %{remote_ip}\nresponse code: %{response_code}\n" https://athena.us-east-1.api.aws remote ip: 2600:1f18:e2f:4e05:1a8a:948e:7c08:d2d6 response code: 404 ``` **원격 IP가 식별되었지만 응답 코드가 확인되지 않은 `0` 경우 를 사용하여 IPv6 엔드포인트에 성공적으로 네트워크가 연결되었습니다.** 원격 IP가 비어 있거나 응답 코드가 비어 있는 경우 클라이언트 네트워크 또는 엔드포인트에 대한 네트워크 경로는 IPv4 전용입니다. `0` 다음 curl 명령으로 이 구성을 확인할 수 있습니다. ``` curl -o /dev/null --silent -w "\nremote ip: %{remote_ip}\nresponse code: %{response_code}\n" https://athena.us-east-1.api.aws remote ip: 3.210.103.49 response code: 404 ``` **원격 IP가 식별되었지만 응답 코드가 없는 `0` 경우 를 사용하여 IPv4 엔드포인트에 성공적으로 네트워크 연결이 이루어진 것입니다.** 운영 체제는 클라이언트에 유효한 프로토콜을 선택해야 하므로 원격 IP는 IPv4 주소여야 합니다. 원격 IP가 IPv4 주소가 아닌 경우 다음 명령을 사용하여 curl을 강제로 사용하십시오IPv4. ``` curl --ipv4 -o /dev/null --silent -w "\nremote ip: %{remote_ip}\nresponse code: %{response_code}\n" https://athena.us-east-1.api.aws remote ip: 35.170.237.34 response code: 404 ``` # 에 대한 자격 증명 및 액세스 관리 AWS 리소스 탐색기 자격 증명 및 액세스 관리 AWS Identity and Access Management (IAM)는 관리자가 AWS 리소스에 대한 액세스를 안전하게 제어하는 데 도움이 AWS 서비스 되는 입니다. IAM 관리자는 Resource Explorer 리소스를 사용할 수 있는 *인증*(로그인) 및 *권한* 부여(권한 보유) 대상을 제어합니다. IAM 는 추가 비용 없이 사용할 수 AWS 서비스 있는 입니다. **Topics** + [ ## 고객 ](#security_iam_audience) + [ ## ID를 통한 인증 ](#security_iam_authentication) + [ ## 정책을 사용한 액세스 관리 ](#security_iam_access-manage) + [ # 리소스 탐색기의 작동 방식 IAM ](security_iam_service-with-iam.md) + [ # AWS 리소스 탐색기 자격 증명 기반 정책 예제 ](security_iam_id-based-policy-examples.md) + [ # AWS Organizations 및 리소스 탐색기에 대한 서비스 제어 정책 예시 ](security_iam_scp.md) + [ # AWS 에 대한 관리형 정책 AWS 리소스 탐색기 ](security_iam_awsmanpol.md) + [ # Resource Explorer에 대한 서비스 연결 역할 사용 ](security_iam_service-linked-roles.md) + [ # AWS 리소스 탐색기 권한 문제 해결 ](security_iam_troubleshoot.md) ## 고객 사용 방법 AWS Identity and Access Management (IAM)은 Resource Explorer에서 수행하는 작업에 따라 다릅니다. **서비스 사용자** - Resource Explorer 서비스를 사용하여 작업을 수행하는 경우 필요한 자격 증명과 권한을 관리자가 제공합니다. 더 많은 Resource Explorer 기능을 사용하여 작업을 수행하게 되면 추가 권한이 필요할 수 있습니다. 액세스 권한 관리 방식을 이해하면 적절한 권한을 관리자에게 요청할 수 있습니다. Resource Explorer의 기능에 액세스할 수 없는 경우 [AWS 리소스 탐색기 권한 문제 해결](security_iam_troubleshoot.md)를 참조하세요. **서비스 관리자** - 회사에서 Resource Explorer 리소스를 책임지고 있다면 Resource Explorer 리소스에 대한 전체 액세스 권한을 가지고 있을 것입니다. 서비스 관리자는 서비스 사용자가 액세스해야 하는 Resource Explorer 기능과 리소스를 결정합니다. 그런 다음 IAM 관리자에게 요청을 제출하여 서비스 사용자의 권한을 변경해야 합니다. 이 페이지의 정보를 검토하여 의 기본 개념을 이해합니다IAM. 회사가 Resource ExplorerIAM를 사용하는 방법에 대한 자세한 내용은 섹션을 참조하세요[리소스 탐색기의 작동 방식 IAM](security_iam_service-with-iam.md). **IAM 관리자** - IAM 관리자인 경우 Resource Explorer에 대한 액세스를 관리하기 위한 정책을 작성하는 방법에 대한 세부 정보를 알고 싶을 수 있습니다. 에서 사용할 수 있는 Resource Explorer 자격 증명 기반 정책 예제를 보려면 섹션을 IAM참조하세요[AWS 리소스 탐색기 자격 증명 기반 정책 예제](security_iam_id-based-policy-examples.md). ## ID를 통한 인증 인증은 자격 증명 AWS 으로 에 로그인하는 방법입니다. 로 AWS 계정 루트 사용자, IAM 사용자로 또는 IAM 역할을 수임하여 *인증*(에 로그인 AWS)되어야 합니다. 자격 증명 소스를 통해 제공된 자격 증명을 사용하여 에 페더레이션 자격 증명 AWS 으로 로그인할 수 있습니다. AWS IAM Identity Center (IAM Identity Center) 사용자, 회사의 Single Sign-On 인증 및 Google 또는 Facebook 자격 증명은 페더레이션 자격 증명의 예입니다. 페더레이션 자격 증명으로 로그인하면 관리자가 이전에 IAM 역할을 사용하여 자격 증명 페더레이션을 설정했습니다. 페더레이션을 사용하여 AWS 에 액세스하면 간접적으로 역할을 수임하게 됩니다. 사용자 유형에 따라 AWS Management Console 또는 AWS 액세스 포털에 로그인할 수 있습니다. 에 로그인하는 방법에 대한 자세한 내용은 *AWS 로그인 사용 설명서의 *[에 로그인하는 방법을 AWS 계정](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) AWS참조하세요. AWS 프로그래밍 방식으로 에 액세스하는 경우 는 소프트웨어 개발 키트(SDK)와 명령줄 인터페이스(CLI)를 AWS 제공하여 자격 증명을 사용하여 요청에 암호화 방식으로 서명합니다. AWS 도구를 사용하지 않는 경우 직접 요청에 서명해야 합니다. 권장 방법을 사용하여 직접 요청에 서명하는 방법에 대한 자세한 내용은 *IAM 사용 설명서*의 [요청 서명을 참조하세요 AWS API](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-signing.html). 사용하는 인증 방법에 상관없이 추가 보안 정보를 제공해야 할 수도 있습니다. 예를 들어 다중 인증(MFA)을 사용하여 계정의 보안을 강화하는 것이 AWS 좋습니다. 자세한 내용은 *AWS IAM Identity Center 사용 설명서*의 [다중 인증](https://docs.aws.amazon.com/singlesignon/latest/userguide/enable-mfa.html) 및 사용 설명서[의 다중 인증 사용(MFA) AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa.html)을 참조하세요*IAM*. ### AWS 계정 루트 사용자 를 생성하면 계정의 모든 AWS 서비스 및 리소스에 대한 완전한 액세스 권한이 있는 하나의 로그인 자격 증명으로 AWS 계정시작합니다. 이 자격 증명을 AWS 계정 *루트 사용자*라고 하며 계정을 생성하는 데 사용한 이메일 주소와 암호로 로그인하여 액세스합니다. 일상적인 작업에 루트 사용자를 사용하지 않을 것을 강력히 권장합니다. 루트 사용자 보안 인증 정보를 보호하고 루트 사용자만 수행할 수 있는 작업을 수행하는 데 사용합니다. 루트 사용자로 로그인해야 하는 작업의 전체 목록은 *IAM 사용 설명서*의 [루트 사용자 보안 인증이 필요한 작업을](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) 참조하세요. ### 사용자 및 그룹 *[IAM 사용자는](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* 한 사람 또는 애플리케이션에 대한 특정 권한이 AWS 계정 있는 내 자격 증명입니다. 가능한 경우 암호 및 액세스 키와 같은 장기 보안 인증 정보가 있는 IAM 사용자를 생성하는 대신 임시 보안 인증 정보를 사용하는 것이 좋습니다. 그러나 IAM 사용자와 장기 보안 인증이 필요한 특정 사용 사례가 있는 경우 액세스 키를 교체하는 것이 좋습니다. 자세한 내용은 *IAM 사용 설명서*의 [장기 보안 인증이 필요한 사용 사례에 대한 액세스 키 정기적으로 교체](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#rotate-credentials)를 참조하세요. [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) IAM 사용자 컬렉션을 지정하는 자격 증명입니다. 사용자는 그룹으로 로그인할 수 없습니다. 그룹을 사용하여 여러 사용자의 권한을 한 번에 지정할 수 있습니다. 그룹을 사용하면 대규모 사용자 집합의 권한을 더 쉽게 관리할 수 있습니다. 예를 들어 라는 이름의 그룹을 지정*IAMAdmins*하고 해당 그룹에 IAM 리소스를 관리할 수 있는 권한을 부여할 수 있습니다. 사용자는 역할과 다릅니다. 사용자는 한 사람 또는 애플리케이션과 고유하게 연결되지만, 역할은 해당 역할이 필요한 사람이라면 누구나 수임할 수 있습니다. 사용자는 영구적인 장기 보안 인증 정보를 가지고 있지만, 역할은 임시 보안 인증만 제공합니다. 자세한 내용은 *IAM 사용 설명서*의 [(역할 대신) IAM 사용자를 생성할 시기](https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html#id_which-to-choose)를 참조하세요. ### 역할 *[IAM 역할은](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* 특정 권한이 AWS 계정 있는 내 자격 증명입니다. IAM 사용자와 유사하지만 특정 사람과는 관련이 없습니다. IAM 역할을 전환 AWS Management Console 하여 에서 역할을 일시적으로 수임할 수 있습니다. [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) 또는 AWS API 작업을 호출 AWS CLI 하거나 사용자 지정 를 사용하여 역할을 수임할 수 있습니다URL. 역할 사용 방법에 대한 자세한 내용은 *IAM 사용 설명서*의 [역할 수임 방법을](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) 참조하세요. IAM 임시 자격 증명이 있는 역할은 다음과 같은 상황에서 유용합니다. + **페더레이션 사용자 액세스** - 페더레이션 ID에 권한을 부여하려면 역할을 생성하고 해당 역할의 권한을 정의합니다. 페더레이션 ID가 인증되면 역할이 연결되고 역할에 정의된 권한이 부여됩니다. 페더레이션 역할에 대한 자세한 내용은 *IAM 사용 설명서*의 [ 타사 자격 증명 공급자에 대한 역할 생성을](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-idp.html) 참조하세요. IAM Identity Center를 사용하는 경우 권한 세트를 구성합니다. 인증 후 자격 증명이 액세스할 수 있는 항목을 제어하기 위해 IAM Identity Center는 권한 세트를 의 역할과 상호 연관시킵니다IAM. 권한 세트에 대한 자세한 내용은 *AWS IAM Identity Center 사용 설명서*의 [권한 세트](https://docs.aws.amazon.com/singlesignon/latest/userguide/permissionsetsconcept.html)를 참조하세요. + **임시 IAM 사용자 권한** - IAM 사용자 또는 역할은 특정 작업에 대해 일시적으로 다른 권한을 맡을 IAM 수 있습니다. + **교차 계정 액세스 -** IAM 역할을 사용하여 다른 계정의 누군가(신뢰할 수 있는 보안 주체)가 계정의 리소스에 액세스하도록 허용할 수 있습니다. 역할은 계정 간 액세스를 부여하는 기본적인 방법입니다. 그러나 일부 에서는 정책을 리소스에 직접 연결할 AWS 서비스수 있습니다(역할을 프록시로 사용하는 대신). 크로스 계정 액세스에 대한 역할과 리소스 기반 정책의 차이점을 알아보려면 *IAM 사용 설명서의 *[에서 크로스 계정 리소스 액세스를 IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) 참조하세요. + **교차 서비스 액세스 -** 일부 는 다른 에서 기능을 AWS 서비스 사용합니다 AWS 서비스. 예를 들어 서비스에서 호출할 때 해당 서비스가 Amazon에서 애플리케이션을 실행EC2하거나 Amazon S3에 객체를 저장하는 것이 일반적입니다. 서비스는직접적으로 호출하는 보안 주체의 권한을 사용하거나, 서비스 역할을 사용하거나, 또는 서비스 연결 역할을 사용하여 이 작업을 수행할 수 있습니다. + **전달 액세스 세션(FAS)** - IAM 사용자 또는 역할을 사용하여 에서 작업을 수행하면 보안 주체로 AWS간주됩니다. 일부 서비스를 사용하는 경우 다른 서비스에서 다른 작업을 시작하는 작업을 수행할 수 있습니다. FAS 는 를 호출하는 보안 주체의 권한을 다운스트림 서비스에 AWS 서비스 대한 요청과 AWS 서비스함께 사용합니다. FAS 요청은 서비스가 다른 AWS 서비스 또는 리소스와의 상호 작용을 완료해야 하는 요청을 수신할 때만 수행됩니다. 이 경우 두 작업을 모두 수행할 수 있는 권한이 있어야 합니다. FAS 요청 시 정책 세부 정보는 [액세스 세션 전달을](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html) 참조하세요. + **서비스 역할** - 서비스 역할은 서비스가 사용자를 대신하여 작업을 수행하기 위해 수임하는 [IAM 역할](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)입니다. IAM 관리자는 내에서 서비스 역할을 생성, 수정 및 삭제할 수 있습니다IAM. 자세한 내용은 *IAM 사용 설명서*의 [에 권한을 위임할 역할 생성을 AWS 서비스](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) 참조하세요. + **서비스 연결 역할** - 서비스 연결 역할은 에 연결된 서비스 역할의 한 유형입니다 AWS 서비스. 서비스는 사용자를 대신하여 작업을 수행하기 위해 역할을 수임할 수 있습니다. 서비스 연결 역할은 에 나타나 AWS 계정 며 서비스가 소유합니다. IAM 관리자는 서비스 연결 역할에 대한 권한을 볼 수 있지만 편집할 수는 없습니다. + **Amazon에서 실행되는 애플리케이션 EC2** - IAM 역할을 사용하여 EC2 인스턴스에서 실행되고 AWS CLI 또는 AWS API 요청을 수행하는 애플리케이션의 임시 보안 인증을 관리할 수 있습니다. 이는 EC2 인스턴스 내에 액세스 키를 저장하는 것보다 좋습니다. EC2 인스턴스에 AWS 역할을 할당하고 모든 애플리케이션에서 사용할 수 있도록 하려면 인스턴스에 연결된 인스턴스 프로파일을 생성합니다. 인스턴스 프로파일에는 역할이 포함되어 있으며 EC2 인스턴스에서 실행 중인 프로그램이 임시 보안 인증을 가져올 수 있습니다. 자세한 내용은 *IAM 사용 설명서*[EC2의 IAM 역할 사용을 참조하세요](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-ec2.html). IAM 역할 또는 IAM 사용자를 사용할지 여부를 알아보려면 *IAM 사용 설명서*의 [ IAM 역할 생성 시기(사용자 대신)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html#id_which-to-choose_role)를 참조하세요. ## 정책을 사용한 액세스 관리 정책을 AWS 생성하고 AWS 자격 증명 또는 리소스에 연결하여 의 액세스를 제어합니다. 정책은 자격 증명 또는 리소스와 연결된 AWS 경우 권한을 정의하는 의 객체입니다. 는 보안 주체(사용자, 루트 사용자 또는 역할 세션)가 요청할 때 이러한 정책을 AWS 평가합니다. 정책에서 권한은 요청이 허용되거나 거부되는 지를 결정합니다. 대부분의 정책은 에 JSON 문서 AWS 로 저장됩니다. JSON 정책 문서의 구조 및 내용에 대한 자세한 내용은 *IAM 사용 설명서*[의 JSON 정책 개요를](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) 참조하세요. 관리자는 정책을 사용하여 AWS JSON 대상에 액세스할 수 있는 사용자를 지정할 수 있습니다. 즉, 어떤 **보안 주체**가 어떤 **리소스**와 어떤 **조건**에서 **작업**을 수행할 수 있는지를 지정할 수 있습니다. 기본적으로, 사용자와 역할에는 어떠한 권한도 없습니다. 사용자에게 필요한 리소스에 대한 작업을 수행할 수 있는 권한을 부여하기 위해 IAM 관리자는 IAM 정책을 생성할 수 있습니다. 그런 다음 관리자는 IAM 정책을 역할에 추가하고 사용자는 역할을 수임할 수 있습니다. IAM 정책은 작업을 수행하는 데 사용하는 방법에 관계없이 작업에 대한 권한을 정의합니다. 예를 들어, `iam:GetRole` 작업을 허용하는 정책이 있다고 가정합니다. 해당 정책을 사용하는 사용자는 AWS Management Console, AWS CLI또는 에서 역할 정보를 가져올 수 있습니다 AWS API. ### 보안 인증 기반 정책 자격 증명 기반 정책은 IAM 사용자, 사용자 그룹 또는 역할과 같은 자격 증명에 연결할 수 있는 JSON 권한 정책 문서입니다. 이러한 정책은 사용자와 역할이 어떤 리소스와 어떤 조건에서 어떤 작업을 수행할 수 있는지를 제어합니다. 자격 증명 기반 정책을 생성하는 방법을 알아보려면 *IAM 사용 설명서*의 [ IAM 정책 생성을](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) 참조하세요. 보안 인증 기반 정책은 *인라인 정책* 또는 *관리형 정책*으로 한층 더 분류할 수 있습니다. 인라인 정책은 단일 사용자, 그룹 또는 역할에 직접 포함됩니다. 관리형 정책은 의 여러 사용자, 그룹 및 역할에 연결할 수 있는 독립 실행형 정책입니다 AWS 계정. 관리형 정책에는 AWS 관리형 정책 및 고객 관리형 정책이 포함됩니다. 관리형 정책 또는 인라인 정책 중에서 선택하는 방법을 알아보려면 *IAM 사용 설명서*의 [관리형 정책 및 인라인 정책 선택을](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#choosing-managed-or-inline) 참조하세요. ### 리소스 기반 정책 리소스 기반 정책은 리소스에 연결하는 JSON 정책 문서입니다. 리소스 기반 정책의 예로는 IAM *역할 신뢰 정책* 및 Amazon S3 *버킷 정책이* 있습니다. 리소스 기반 정책을 지원하는 서비스에서 서비스 관리자는 이러한 정책을 사용하여 특정 리소스에 대한 액세스를 통제할 수 있습니다. 정책이 연결된 리소스의 경우 정책은 지정된 보안 주체가 해당 리소스와 어떤 조건에서 어떤 작업을 수행할 수 있는지를 정의합니다. 리소스 기반 정책에서 [보안 주체를 지정](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)해야 합니다. 보안 주체에는 계정, 사용자, 역할, 페더레이션 사용자 또는 가 포함될 수 있습니다 AWS 서비스. 리소스 기반 정책은 해당 서비스에 있는 인라인 정책입니다. 리소스 기반 정책IAM에서는 의 AWS 관리형 정책을 사용할 수 없습니다. AWS 리소스 탐색기 는 리소스 기반 정책을 지원하지 않습니다. ### 액세스 제어 목록(ACLs) 액세스 제어 목록(ACLs)은 리소스에 액세스할 수 있는 권한이 있는 보안 주체(계정 멤버, 사용자 또는 역할)를 제어합니다. ACLs 는 리소스 기반 정책과 유사하지만 JSON 정책 문서 형식을 사용하지는 않습니다. Amazon S3 AWS WAF및 AmazonVPC은 를 지원하는 서비스의 예입니다ACLs. 에 대한 자세한 내용은 *Amazon Simple Storage Service 개발자 안내서*의 [액세스 제어 목록(ACL) 개요를](https://docs.aws.amazon.com/AmazonS3/latest/userguide/acl-overview.html) ACLs참조하세요. AWS 리소스 탐색기 는 를 지원하지 않습니다ACLs. ### 기타 정책 타입 AWS 는 덜 일반적인 추가 정책 유형을 지원합니다. 이러한 정책 타입은 더 일반적인 정책 유형에 따라 사용자에게 부여되는 최대 권한을 설정할 수 있습니다. + **권한 경계** - 권한 경계는 자격 증명 기반 정책이 IAM 개체(IAM 사용자 또는 역할)에 부여할 수 있는 최대 권한을 설정하는 고급 기능입니다. 개체에 대한 권한 경계를 설정할 수 있습니다. 그 결과로 얻는 권한은 객체의 자격 증명 기반 정책과 그 권한 경계의 교집합입니다. `Principal` 필드에서 사용자나 역할을 지정하는 리소스 기반 정책은 권한 경계를 통해 제한되지 않습니다. 이러한 정책 중 하나에 포함된 명시적 거부는 허용을 재정의합니다. 권한 경계에 대한 자세한 내용은 *IAM 사용 설명서*의 [IAM엔터티에 대한 권한 경계](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)를 참조하세요. + **서비스 제어 정책(SCPs)** - 의 조직 또는 조직 단위(OU)에 대한 최대 권한을 지정하는 JSON 정책입니다 AWS Organizations. SCPs AWS Organizations 는 비즈니스가 소유 AWS 계정 한 여러 을 그룹화하고 중앙에서 관리하기 위한 서비스입니다. 조직의 모든 기능을 활성화하면 서비스 제어 정책(SCPs)을 모든 계정에 적용할 수 있습니다. 는 각 를 포함하여 멤버 계정의 엔터티에 대한 권한을 SCP 제한합니다 AWS 계정 루트 사용자. 조직 및 에 대한 자세한 내용은 *AWS Organizations 사용 설명서*의 [서비스 제어 정책을](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) SCPs참조하세요. + **세션 정책** – 세션 정책은 역할 또는 페더레이션 사용자에 대해 임시 세션을 프로그래밍 방식으로 생성할 때 파라미터로 전달하는 고급 정책입니다. 결과적으로 얻는 세션의 권한은 사용자 또는 역할의 보안 인증 기반 정책의 교차와 세션 정책입니다. 또한 권한을 리소스 기반 정책에서 가져올 수도 있습니다. 이러한 정책 중 하나에 포함된 명시적 거부는 허용을 재정의합니다. 자세한 내용은 *IAM 사용 설명서*의 [세션 정책을](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) 참조하세요. ### 여러 정책 유형 여러 정책 유형이 요청에 적용되는 경우, 결과 권한은 이해하기가 더 복잡합니다. AWS 에서 여러 정책 유형이 관련될 때 요청을 허용할지 여부를 결정하는 방법을 알아보려면 *IAM 사용 설명서*의 [정책 평가 로직](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)을 참조하세요. # 리소스 탐색기의 작동 방식 IAM 리소스 탐색기 및 IAM IAM을 사용하여 액세스를 관리하려면 AWS 리소스 탐색기먼저 리소스 탐색기에서 사용할 수 있는 IAM 기능을 이해해야 합니다. 리소스 탐색기 및 기타 기능이 어떻게 AWS 서비스 작동하는지 자세히 알아보려면 *IAM사용 설명서의AWS 서비스 * [해당 IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) 기능을 참조하십시오. IAM **Topics** + [ ## Resource Explorer 자격 증명 기반 정책 ](#security_iam_service-with-iam-id-based-policies) + [ ## Resource Explorer 태그 기반 권한 부여 ](#security_iam_service-with-iam-tags) + [ ## 리소스 탐색기 IAM 역할 ](#security_iam_service-with-iam-roles) 다른 모든 것과 AWS 서비스마찬가지로 리소스 탐색기에도 해당 작업을 사용하여 리소스와 상호 작용할 수 있는 권한이 필요합니다. 검색하려면 사용자에게 뷰에 대한 세부 정보를 검색하고 뷰를 사용하여 검색할 수 있는 권한이 있어야 합니다. 인덱스 또는 뷰를 생성하거나, 이를 수정하거나 Resource Explorer 설정을 수정하려면 추가 권한이 있어야 합니다. 해당 권한을 부여하는 IAM ID 기반 정책을 적절한 IAM 주체에게 할당하세요. Resource Explorer는 공통 권한 집합을 미리 정의하는 [여러 관리형 정책](security_iam_awsmanpol.md)을 제공합니다. 이를 주체에게 할당할 수 있습니다. IAM ## Resource Explorer 자격 증명 기반 정책 IAMID 기반 정책을 사용하면 특정 리소스에 대한 허용 또는 거부 작업과 해당 작업의 허용 또는 거부 조건을 지정할 수 있습니다. Resource Explorer는 특정 작업, 리소스 및 조건 키를 지원합니다. JSON정책에서 사용하는 모든 요소에 대해 알아보려면 사용 *IAM설명서의 IAM JSON* [정책 요소 참조를](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) 참조하십시오. ### 작업 관리자는 AWS JSON 정책을 사용하여 누가 무엇에 액세스할 수 있는지 지정할 수 있습니다. 즉, 어떤 **보안 주체**가 어떤 **리소스**와 어떤 **조건**에서 **작업**을 수행할 수 있는지를 지정할 수 있습니다. 정책 `Action` 요소는 JSON 정책에서 액세스를 허용하거나 거부하는 데 사용할 수 있는 작업을 설명합니다. 정책 작업은 일반적으로 관련 AWS API 작업과 이름이 같습니다. 일치하는 *작업이 없는 권한 전용 작업과* 같은 몇 가지 예외가 있습니다. API 정책에서 여러 작업이 필요한 몇 가지 작업도 있습니다. 이러한 추가 작업을 일컬어 종속 작업**이라고 합니다. 연결된 작업을 수행할 수 있는 권한을 부여하기 위한 정책에 작업을 포함하십시오. Resource Explorer의 정책 작업은 작업 앞에 `resource-explorer-2` 서비스 접두사를 사용합니다. 예를 들어 리소스 탐색기 `Search` API 작업을 통해 다른 사용자에게 뷰를 사용하여 검색할 수 있는 권한을 부여하려면 해당 주도자에게 할당된 정책에 `resource-explorer-2:Search` 작업을 포함해야 합니다. 정책 문에는 `Action` 또는 `NotAction` 요소가 포함되어야 합니다. Resource Explorer는 이 서비스로 수행할 수 있는 태스크를 설명하는 고유한 작업 세트를 정의합니다. 이는 리소스 탐색기 API 작업과 일치합니다. 단일 명령문에서 여러 작업을 지정하려면 다음 예제와 같이 쉼표로 구분합니다. ``` "Action": [ "resource-explorer-2:action1", "resource-explorer-2:action2" ] ``` 와일드카드 문자(`*`)를 사용하여 여러 작업을 지정할 수 있습니다. 예를 들어, `Describe`라는 단어로 시작하는 모든 작업을 지정하려면 다음 작업을 포함합니다. ``` "Action": "resource-explorer-2:Describe*" ``` Resource Explorer 작업 목록은AWS 서비스 권한 부여 참조**의 [AWS 리소스 탐색기에서 정의한 작업](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsresourceexplorer.html#awsresourceexplorer-actions-as-permissions)을 참조하세요. ### 리소스 관리자는 AWS JSON 정책을 사용하여 누가 무엇에 액세스할 수 있는지 지정할 수 있습니다. 즉, 어떤 **보안 주체**가 어떤 **리소스**와 어떤 **조건**에서 **작업**을 수행할 수 있는지를 지정할 수 있습니다. `Resource`JSON정책 요소는 작업이 적용되는 하나 또는 여러 개의 객체를 지정합니다. 문장에는 `Resource`또는 `NotResource`요소가 반드시 추가되어야 합니다. [Amazon 리소스 이름 (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 을 사용하여 리소스를 지정하는 것이 가장 좋습니다. **리소스 수준 권한이라고 하는 특정 리소스 유형을 지원하는 작업에 대해 이 태스크를 수행할 수 있습니다. 작업 나열과 같이 리소스 수준 권한을 지원하지 않는 작업의 경우, 와일드카드(\$1)를 사용하여 해당 문이 모든 리소스에 적용됨을 나타냅니다. ``` "Resource": "*" ``` #### 뷰 기본 Resource Explorer 리소스 유형은 뷰**입니다. 리소스 탐색기 뷰 리소스의 ARN 형식은 다음과 같습니다. ``` arn:${Partition}:resource-explorer-2:${Region}:${Account}:view/${ViewName}/${unique-id} ``` 리소스 탐색기 ARN 형식은 다음 예제에 나와 있습니다. ``` arn:aws:resource-explorer-2:us-east-1:123456789012:view/My-Search-View/1a2b3c4d-5d6e-7f8a-9b0c-abcd11111111 ``` **참고** ARN뷰용 뷰는 모든 뷰가 고유한지 확인하기 위해 끝에 고유 식별자를 포함합니다. 이렇게 하면 삭제된 이전 뷰에 대한 액세스 권한을 부여한 IAM 정책을 사용하여 이전 뷰와 이름이 같은 새 뷰에 실수로 액세스 권한을 부여하는 것을 방지할 수 있습니다. 모든 새 뷰에는 마지막에 새로운 고유 ID가 ARNs 부여되므로 재사용되지 않습니다. 형식에 대한 자세한 내용은 [Amazon 리소스 이름 (ARNs)](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html) 을 참조하십시오. ARNs IAM보안 주체에 할당된 IAM ID 기반 정책을 사용하고 보기를 로 지정합니다. `Resource` 이렇게 하면 하나의 뷰를 통해 하나의 보안 주체 세트에 검색 액세스 권한을 부여하고 완전히 다른 뷰를 통해 다른 보안 주체 세트에 대한 액세스 권한을 부여할 수 있습니다. 예를 들어, IAM 정책 설명에 이름이 지정된 단일 `ProductionResourcesView` 뷰에 권한을 부여하려면 먼저 뷰의 [Amazon 리소스 이름 (ARN)](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html) 을 가져옵니다. 콘솔의 **[뷰](https://console.aws.amazon.com/resource-explorer/home#/views)** 페이지를 사용하여 뷰의 세부 정보를 보거나 `[ListViews](https://docs.aws.amazon.com/resource-explorer/latest/apireference/API_ListViews.html)` 작업을 호출하여 원하는 뷰 전체를 ARN 가져올 수 있습니다. 그런 다음, 하나의 뷰에 대한 정의만 수정할 수 있는 권한을 부여하는 다음 예제에 나타난 것과 같이 이를 정책 문에 포함합니다. ``` "Effect": "Allow", "Action": "UpdateView", "Resource": "arn:aws:resource-explorer-2:us-east-1:123456789012:view/ProductionResourcesView/" ``` 특정 계정에 속하는 ***모든*** 뷰에서 작업을 허용하려면 의 해당 부분에 와일드카드 문자 (`*`) 를 사용하십시오. ARN 다음 예제에서는 지정된 AWS 리전 및 계정의 모든 뷰에 검색 권한을 부여합니다. ``` "Effect": "Allow", "Action": "Search", "Resource": "arn:aws:resource-explorer-2:us-east-1:123456789012:view/*" ``` `CreateView`와 같은 일부 Resource Explorer 작업은 다음 예제와 같이 리소스가 아직 존재하지 않기 때문에 특정 리소스에 대해 수행되지 않습니다. 이 경우 전체 리소스에 와일드카드 문자 (`*`) 를 사용해야 합니다. ARN ``` "Effect": "Allow", "Action": "resource-explorer-2:CreateView" "Resource": "*" ``` 와일드카드 문자로 끝나는 경로를 지정하는 경우 승인된 경로만 사용하여 뷰를 생성하도록 `CreateView` 작업을 제한할 수 있습니다. 다음 예제 정책 부분에서는 보안 주체가 `view/ProductionViews/` 경로에만 뷰를 생성하도록 허용하는 방법을 보여줍니다. ``` "Effect": "Allow", "Action": "resource-explorer-2:CreateView" "Resource": "arn:aws:resource-explorer-2:us-east-1:123456789012:view/ProductionViews/*"" ``` #### 인덱스 Resource Explorer 기능에 대한 액세스를 제어하는 데 사용할 수 있는 또 다른 리소스 유형은 인덱스입니다. 인덱스와 상호 작용하는 기본 방법은 해당 리전에 인덱스를 생성하여 AWS 리전 에서 Resource Explorer를 활성화하는 것입니다. 그 후에는 뷰와 상호 작용하여 다른 거의 모든 작업을 수행할 수 있습니다. 인덱스로 수행할 수 있는 한 가지 작업은 각 리전에서 뷰를 **생성****할 수 있는 사용자를 제어하는 것입니다. **참고** 뷰를 만든 후에는 인덱스가 아닌 해당 뷰에 대해서만 다른 모든 뷰 작업을 IAM 승인합니다. ARN 색인에는 권한 정책에서 참조할 수 [ARN](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html)있는 항목이 있습니다. 리소스 탐색기 색인의 ARN 형식은 다음과 같습니다. ``` arn:${Partition}:resource-explorer-2:${Region}:${Account}:index/${unique-id} ``` 리소스 탐색기 색인의 다음 예를 참조하십시오ARN. ``` arn:aws:resource-explorer-2:us-east-1:123456789012:index/1a2b3c4d-5d6e-7f8a-9b0c-abcd22222222 ``` 일부 Resource Explorer 작업은 여러 리소스 유형에 대한 인증을 확인합니다. 예를 들어 [CreateView](https://docs.aws.amazon.com/resource-explorer/latest/apireference/API_CreateView.html)작업은 리소스 탐색기에서 만든 이후와 마찬가지로 인덱스와 뷰 모두에 대해 권한을 부여합니다. ARN ARN 관리자에게 Resource Explorer 서비스를 관리할 권한을 부여하려면 `"Resource": "*"`를 사용하여 모든 리소스, 인덱스 또는 뷰에 대한 작업을 승인할 수 있습니다. 또는 지정된 Resource Explorer 리소스로만 작업할 수 있도록 보안 주체를 제한할 수 있습니다. 예를 들어 특정 지역의 리소스 탐색기 리소스로만 작업을 제한하려면 인덱스와 뷰는 모두 일치하지만 단일 지역만 호출하는 ARN 템플릿을 포함할 수 있습니다. 다음 예제에서 는 지정된 계정의 `us-west-2` 지역에서만 인덱스 또는 뷰를 모두 ARN 일치시킵니다. 의 세 번째 필드에 지역을 지정하고ARN, 모든 리소스 유형과 일치시키려면 마지막 필드에 와일드카드 문자 (\$1) 를 사용하십시오. ``` "Resource": "arn:aws:resource-explorer-2:us-west-2:123456789012:* ``` 자세한 정보는AWS 서비스 권한 부여 참조**의 [AWS 리소스 탐색기에서 정의한 리소스](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsresourceexplorer.html#awsresourceexplorer-resources-for-iam-policies)를 참조하세요. 각 리소스에 어떤 작업을 지정할 수 있는지 알아보려면 [작업 정의를](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsresourceexplorer.html#awsresourceexplorer-actions-as-permissions) 참조하십시오. ARN AWS 리소스 탐색기 ### 조건 키 Resource Explorer는 서비스별 조건 키를 제공하지 않지만, 일부 글로벌 조건 키 사용은 지원합니다. 모든 AWS 글로벌 조건 키를 보려면 *IAM사용 설명서의 [AWS 글로벌 조건 컨텍스트 키를](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) 참조하십시오*. 관리자는 AWS JSON 정책을 사용하여 누가 무엇에 액세스할 수 있는지 지정할 수 있습니다. 즉, 어떤 **보안 주체**가 어떤 **리소스**와 어떤 **조건**에서 **작업**을 수행할 수 있는지를 지정할 수 있습니다. `Condition` 요소(또는 `Condition` 블록**)를 사용하면 정책이 발효되는 조건을 지정할 수 있습니다. `Condition` 요소는 옵션입니다. 같거나 작음과 같은 [조건 연산자](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)를 사용하여 정책의 조건을 요청의 값과 일치시키는 조건식을 생성할 수 있습니다. 한 문에서 여러 `Condition` 요소를 지정하거나 단일 `Condition` 요소에서 여러 키를 지정하는 경우, AWS 는 논리적 `AND` 태스크를 사용하여 평가합니다. 단일 조건 키에 여러 값을 지정하는 경우 는 논리적 `OR` 연산을 사용하여 조건을 AWS 평가합니다. 명문의 권한을 부여하기 전에 모든 조건을 충족해야 합니다. 조건을 지정할 때 자리 표시자 변수를 사용할 수도 있습니다. 예를 들어 리소스에 IAM 사용자 이름이 태그가 지정된 경우에만 리소스에 대한 액세스 권한을 IAM 사용자에게 부여할 수 있습니다. 자세한 내용은 *IAM사용 설명서의 IAM* [정책 요소: 변수 및 태그를](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_variables.html) 참조하십시오. AWS 글로벌 조건 키 및 서비스별 조건 키를 지원합니다. 모든 AWS 글로벌 조건 키를 보려면 *IAM사용 설명서의AWS * [글로벌 조건 컨텍스트 키를](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) 참조하십시오. Resource Explorer와 사용할 수 있는 조건 키 목록을 보려면AWS 서비스 권한 부여 참조**의 [AWS 리소스 탐색기의 조건 키](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsresourceexplorer.html#awsresourceexplorer-policy-keys)를 참조하세요. 조건 키와 함께 사용할 수 있는 작업 및 리소스를 알아보려면 [AWS 리소스 탐색기에서 정의한 작업](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsresourceexplorer.html#awsresourceexplorer-actions-as-permissions)을 참조하세요. ### 예 Resource Explorer 자격 증명 기반 정책의 예를 보려면 [AWS 리소스 탐색기 자격 증명 기반 정책 예제](security_iam_id-based-policy-examples.md)을 참조하세요. ## Resource Explorer 태그 기반 권한 부여 Resource Explorer 뷰에 태그를 연결하거나 Resource Explorer에 대한 요청을 통해 태그를 전달할 수 있습니다. 태그에 근거하여 액세스를 제어하려면 `resource-explorer-2:ResourceTag/key-name`, `aws:RequestTag/key-name` 또는 `aws:TagKeys` 조건 키를 사용하여 정책의 [조건 요소](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)에 태그 정보를 제공합니다. Resource Explorer 리소스 태그 지정에 대한 자세한 내용은 [뷰에 태그 추가](manage-views-tag.md)를 참조하세요. Resource Explorer에서 태그 기반 권한 부여를 사용하는 방법은 [태그 기반 권한 부여를 사용하여 뷰에 대한 액세스 제어](manage-views-grant-access.md#manage-views-grant-access-abac)를 참조하세요. ## 리소스 탐색기 IAM 역할 [IAM역할은](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) 특정 권한을 AWS 계정 가진 사용자 내의 주도자입니다. ### Resource Explorer에서 임시 보안 인증 사용 임시 자격 증명을 사용하여 페더레이션으로 로그인하거나, 역할을 수임하거나, 계정 간 IAM 역할을 수임할 수 있습니다. [AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html)또는 [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html)와 같은 AWS Security Token Service (AWS STS) API 작업을 호출하여 임시 보안 자격 증명을 얻을 수 있습니다. Resource Explorer는 임시 보안 인증 사용을 지원합니다. ### 서비스 연결 역할 [서비스 연결 역할을](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) 사용하면 다른 서비스의 AWS 서비스 리소스에 액세스하여 사용자를 대신하여 작업을 완료할 수 있습니다. 서비스 연결 역할은 IAM 계정에 표시되며 서비스에서 소유합니다. IAM관리자는 서비스 연결 역할에 대한 권한을 볼 수 있지만 편집할 수는 없습니다. Resource Explorer는 서비스 연결 역할을 사용하여 작업을 수행합니다. Resource Explorer 서비스 연결 역할에 대한 자세한 내용은 [Resource Explorer에 대한 서비스 연결 역할 사용](security_iam_service-linked-roles.md)를 참조하세요. # AWS 리소스 탐색기 자격 증명 기반 정책 예제 자격 증명 기반 정책 예제 기본적으로 역할, 그룹, 사용자와 같은 AWS Identity and Access Management(IAM) 보안 주체는 Resource Explorer 리소스를 생성하거나 수정할 수 있는 권한이 없습니다. 또한 AWS Management Console, AWS Command Line Interface(AWS CLI) 또는 AWS API를 사용해 태스크를 수행할 수 없습니다. IAM 관리자는 지정된 리소스에서 특정 API 작업을 수행할 수 있는 권한을 보안 주체에 부여하는 IAM 정책을 생성해야 합니다. 그런 다음 관리자는 해당 권한이 필요한 IAM 보안 주체에 이러한 정책을 할당해야 합니다. 액세스 권한을 제공하려면 사용자, 그룹 또는 역할에 권한을 추가합니다. + AWS IAM Identity Center의 사용자 및 그룹: 권한 세트를 생성합니다. *AWS IAM Identity Center 사용 설명서*의 [권한 세트 생성](https://docs.aws.amazon.com/singlesignon/latest/userguide/howtocreatepermissionset.html)의 지침을 따르세요. + 자격 증명 공급자를 통해 IAM에서 관리되는 사용자: 아이덴티티 페더레이션을 위한 역할을 생성합니다. *IAM 사용 설명서*의 [서드 파티 자격 증명 공급자의 역할 만들기(연합)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-idp.html)의 지침을 따르세요. + IAM 사용자: + 사용자가 맡을 수 있는 역할을 생성합니다. *IAM 사용 설명서*에서 [IAM 사용자의 역할 생성](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-user.html)의 지침을 따르세요. + (권장되지 않음) 정책을 사용자에게 직접 연결하거나 사용자를 사용자 그룹에 추가합니다. IAM 사용 설명서**에서 [사용자(콘솔)에 권한 추가](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)의 지침을 따르세요. 이러한 예제 JSON 정책 문서를 사용하여 IAM 자격 증명 기반 정책을 생성하는 방법을 알아보려면 *IAM 사용 설명서*의 [JSON 탭에서 정책 생성](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)을 참조하세요. **Topics** + [ ## 정책 모범 사례 ](#security_iam_service-with-iam-policy-best-practices) + [ ## Resource Explorer 콘솔 사용 ](#security_iam_id-based-policy-examples-console) + [ ## 태그를 기반으로 뷰에 액세스 권한 부여 ](#security_iam_id-based-policy-examples-abac-views) + [ ## 태그를 기반으로 뷰를 생성할 수 있는 액세스 권한 부여 ](#security_iam_id-based-policy-examples-abac-createview) + [ ## 보안 주체가 자신이 권한을 볼 수 있도록 허용 ](#security_iam_id-based-policy-examples-view-own-permissions) ## 정책 모범 사례 자격 증명 기반 정책에 따라 계정에서 사용자가 Resource Explorer 리소스를 생성, 액세스 또는 삭제할 수 있는지 여부가 결정됩니다. 이 작업으로 인해 AWS 계정에 비용이 발생할 수 있습니다. 자격 증명 기반 정책을 생성하거나 편집할 때는 다음 지침과 권장 사항을 따르세요. + **AWS 관리형 정책으로 시작하고 최소 권한을 향해 나아가기** - 사용자 및 워크로드에 권한 부여를 시작하려면 많은 일반 사용 사례에 대한 권한을 부여하는 *AWS 관리형 정책*을 사용합니다. 관리형 정책은 AWS 계정에서 사용할 수 있습니다. 사용 사례에 고유한 AWS 고객 관리형 정책을 정의하여 권한을 줄이는 것이 좋습니다. 자세한 정보는 *IAM 사용 설명서*의 [AWS managed policies](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)(관리형 정책) 또는 [AWS managed policies for job functions](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)(직무에 대한 관리형 정책)를 참조하세요. + **최소 권한 적용** – IAM 정책을 사용하여 권한을 설정하는 경우 태스크를 수행하는 데 필요한 권한만 부여합니다. 이렇게 하려면 *최소 권한*으로 알려진 특정 조건에서 특정 리소스에 대해 수행할 수 있는 작업을 정의합니다. IAM을 사용하여 권한을 적용하는 방법에 대한 자세한 정보는 *IAM 사용 설명서*에 있는 [ Policies and permissions in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)(IAM의 정책 및 권한)을 참조하세요. + **IAM 정책의 조건을 사용하여 액세스 추가 제한** – 정책에 조건을 추가하여 작업 및 리소스에 대한 액세스를 제한할 수 있습니다. 예를 들어 SSL을 사용하여 모든 요청을 전송해야 한다고 지정하는 정책 조건을 작성할 수 있습니다. 특정 AWS 서비스(예: CloudFormation)를 통해 사용되는 경우에만 서비스 작업에 대한 액세스 권한을 부여할 수도 있습니다. 자세한 정보는 *IAM 사용 설명서*의 [IAM JSON 정책 요소: 조건](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)을 참조하세요. + **IAM Access Analyzer를 통해 IAM 정책을 검증하여 안전하고 기능적인 권한 보장** – IAM Access Analyzer에서는 IAM 정책 언어(JSON)와 모범 사례가 정책에서 준수되도록 신규 및 기존 정책을 검증합니다. IAM Access Analyzer는 100개 이상의 정책 확인 항목과 실행 가능한 권장 사항을 제공하여 안전하고 기능적인 정책을 작성하도록 돕습니다. 자세한 정보는 *IAM 사용 설명서*의 [IAM Access Analyzer policy validation](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)(IAM Access Analyzer 정책 검증)을 참조하세요. + **다중 인증(MFA) 필요** – AWS 계정 계정에 IAM 사용자 또는 루트 사용자가 필요한 시나리오가 있는 경우 추가 보안을 위해 MFA를 설정합니다. API 작업을 호출할 때 MFA가 필요하면 정책에 MFA 조건을 추가합니다. 자세한 정보는 *IAM 사용 설명서*의 [ Configuring MFA-protected API access](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)(MFA 보호 API 액세스 구성)를 참조하세요. IAM의 모범 사례에 대한 자세한 내용은 *IAM 사용 설명서*의 [IAM의 보안 모범 사례](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)를 참조하세요. ## Resource Explorer 콘솔 사용 콘솔 사용 보안 주체가 AWS 리소스 탐색기 콘솔에서 검색하려면 최소 권한 세트가 있어야 합니다. 최소 필수 권한으로 보안 인증 정보 기반 정책을 만들지 않으면 Resource Explorer 콘솔이 계정의 보안 주체에 대해 의도한 대로 작동하지 않습니다. `AWSResourceExplorerReadOnlyAccess`라는 이름이 지정된 AWS 관리형 정책을 사용하면 Resource Explorer 콘솔을 사용해 계정의 모든 뷰를 사용하여 검색할 수 있는 권한을 부여할 수 있습니다. 단일 뷰만 사용하여 검색할 수 있는 권한을 부여하려면 [검색을 위해 Resource Explorer 뷰에 대한 액세스 권한 부여](manage-views-grant-access.md) 및 다음 두 섹션의 및 예를 참조하세요. AWS CLI 또는 AWS API만 호출하는 보안 주체에는 최소 콘솔 권한을 허용할 필요가 없습니다. 대신 보안 주체가 수행해야 하는 API 작업과 일치하는 작업에만 액세스 권한을 부여하도록 선택할 수 있습니다. ## 태그를 기반으로 뷰에 액세스 권한 부여 이 예제에서는 계정의 보안 주체에게 AWS 계정의 Resource Explorer 뷰에 대한 액세스 권한을 부여하려고 합니다. 이렇게 하려면 Resource Explorer에서 검색할 수 있도록 하려는 보안 주체에 IAM 자격 증명 기반 정책을 할당하세요. 다음 예제 IAM 정책은 호출 보안 주체에 연결된 `Search-Group` 태그가 요청에 사용된 뷰에 연결된 동일한 태그의 값과 정확히 일치하는 모든 요청에 대한 액세스 권한을 부여합니다. ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "resource-explorer-2:GetView", "resource-explorer-2:Search" ], "Resource": "arn:aws:resource-explorer-2:*:*:view/*", "Condition": { "StringEquals": {"aws:ResourceTag/Search-Group": "${aws:PrincipalTag/Search-Group}"} } } ] } ``` 이 정책을 계정의 IAM 보안 주체에 할당할 수 있습니다. `Search-Group=A` 태그가 있는 보안 주체가 Resource Explorer 뷰를 사용하여 검색을 시도하는 경우 뷰에도 태그가 `Search-Group=A`로 지정되어야 합니다. 그렇지 않으면 보안 주체의 액세스가 거부됩니다. 조건 키 이름은 대소문자를 구분하지 않기 때문에 태그 키 `Search-Group`는 `Search-group` 및 `search-group` 모두와 일치합니다. 자세한 정보는 *IAM 사용 설명서*의 [IAM JSON 정책 요소: 조건](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)을 참조하세요. **중요** AWS Management Console의 통합 검색 결과에서 리소스를 보려면 보안 주체에게 애그리게이터 인덱스가 포함된 AWS 리전의 기본 뷰에 대한 두 가지 `GetView` 및 `Search` 권한이 모두 있어야 합니다. 이러한 권한을 부여하는 가장 간단한 방법은 빠른 설정 또는 고급 설정을 사용하여 Resource Explorer를 활성화했을 때 뷰에 연결된 기본 리소스 기반 권한을 그대로 두는 것입니다. 이 시나리오에서는 민감한 리소스를 필터링하도록 기본 뷰를 설정한 다음 이전 예제에서 설명한 대로 태그 기반 액세스를 허용하는 추가 뷰를 설정하는 것을 고려할 수 있습니다. ## 태그를 기반으로 뷰를 생성할 수 있는 액세스 권한 부여 이 예제에서는 인덱스와 동일한 태그가 지정된 보안 주체만 인덱스가 포함된 AWS 리전에서 뷰를 생성할 수 있도록 허용하려고 합니다. 이렇게 하려면 보안 주체가 뷰를 통해 검색할 수 있도록 자격 증명 기반 권한을 생성하세요. 이제 뷰를 생성할 수 있는 권한을 부여할 준비가 되었습니다. 이 예제의 정책 문을 적절한 보안 주체에게 `Search` 권한을 부여하는 데 사용하는 것과 동일한 권한 정책에 추가할 수 있습니다. 작업은 뷰와 연결할 작업 및 인덱스를 호출하는 보안 주체에 연결된 태그에 따라 허용되거나 거부됩니다. 다음 예제 IAM 정책은 호출자의 보안 주체에 연결된 `Allow-Create-View` 태그의 값이 뷰가 생성된 리전에 있는 인덱스에 연결된 동일한 태그의 값과 정확히 일치하지 않는 경우 뷰 생성 요청을 거부합니다. ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Deny", "Action": "resource-explorer-2:CreateView", "Resource": "*", "Condition": { "StringNotEquals": {"aws:ResourceTag/Allow-Create-View": "${aws:PrincipalTag/Allow-Create-View}"} } } ] } ``` ## 보안 주체가 자신이 권한을 볼 수 있도록 허용 이 예제는 IAM 사용자가 자신의 사용자 자격 증명에 연결된 인라인 및 관리형 정책을 볼 수 있도록 허용하는 정책을 생성하는 방법을 보여줍니다. 이 정책에는 콘솔에서 또는 AWS CLI나 AWS API를 사용하여 프로그래밍 방식으로 이 태스크를 완료할 수 있는 권한이 포함됩니다. ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` # AWS Organizations 및 리소스 탐색기에 대한 서비스 제어 정책 예시 예제 SCP AWS 리소스 탐색기 서비스 제어 정책 (SCP) 을 지원합니다. SCP는 조직 내 구성 요소에 연결하여 해당 조직 내의 권한을 관리하는 정책입니다. SCP는 [SCP를 연결하는 요소에 속한 조직의 모든 AWS 계정 사람에게 적용됩니다.](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps_evaluation.html) SCP는 조직의 모든 계정에 사용 가능한 최대 권한을 중앙에서 제어합니다. 이를 통해 조직의 액세스 제어 AWS 계정 지침을 준수할 수 있습니다. 자세한 내용은AWS Organizations 사용 설명서**의 [서비스 제어 정책](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_type-auth.html)을 참조하세요. ## 사전 조건 SCP를 사용하려면 먼저 다음 사항을 수행해야 합니다. + 조직 내에서 모든 기능을 활성화합니다. 자세한 내용은AWS Organizations 사용 설명서**의 [조직 내 모든 기능 활성화](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_org_support-all-features.html)를 참조하세요. + 조직에 대해 SCP를 활성화합니다. 자세한 내용은AWS Organizations 사용 설명서**의 [정책 유형 활성화 및 비활성화](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_enable-disable.html)를 참조하세요. + 필요한 SCP를 생성합니다. SCP를 생성하는 방법에 대한 자세한 내용은 *AWS Organizations 사용 설명서*에서 [SCP 생성 및 업데이트](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scp-create.html)를 참조하세요. ## 예제 서비스 제어 정책 다음은 [ABAC(속성 기반 액세스 제어)](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)를 사용하여 Resource Explorer의 관리 작업에 대한 액세스를 제어하는 방법을 나타낸 예제입니다. 이 예제 정책은 요청을 수행하는 IAM 보안 주체가 `ResourceExplorerAdmin=TRUE`로 태그를 지정되지 않은 한 검색에 필요한 두 가지 `resource-explorer-2:Search` 및 `resource-explorer-2:GetView` 권한을 제외한 모든 Resource Explorer 작업에 대한 액세스를 거부합니다. Resource Explorer에서 ABAC를 사용하는 방법에 대한 자세한 내용은 [태그 기반 권한 부여를 사용하여 뷰에 대한 액세스 제어](manage-views-grant-access.md#manage-views-grant-access-abac)를 참조하세요. ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Deny", "Action": [ "resource-explorer-2:AssociateDefaultView", "resource-explorer-2:BatchGetView", "resource-explorer-2:CreateIndex", "resource-explorer-2:CreateView", "resource-explorer-2:DeleteIndex", "resource-explorer-2:DeleteView", "resource-explorer-2:DisassociateDefaultView", "resource-explorer-2:GetDefaultView", "resource-explorer-2:GetIndex", "resource-explorer-2:ListIndexes", "resource-explorer-2:ListSupportedResourceTypes", "resource-explorer-2:ListTagsForResource", "resource-explorer-2:ListViews", "resource-explorer-2:TagResource", "resource-explorer-2:UntagResource", "resource-explorer-2:UpdateIndexType", "resource-explorer-2:UpdateView"" ], "Resource": [ "*" ], "Condition": { "StringNotEqualsIgnoreCase": {"aws:PrincipalTag/ResourceExplorerAdmin": "TRUE"} } ] } ``` # AWS 에 대한 관리형 정책 AWS 리소스 탐색기 AWS 관리형 정책 AWS 관리형 정책은 에서 생성하고 관리하는 독립 실행형 정책입니다. AWS AWS 관리형 정책은 많은 일반 사용 사례에 대한 권한을 제공하도록 설계되었으므로 사용자, 그룹 및 역할에 권한을 할당하기 시작할 수 있습니다. AWS 관리형 정책은 모든 AWS 고객이 사용할 수 있으므로 특정 사용 사례에 대해 최소 권한 권한을 부여하지 않을 수도 있다는 점에 유의하세요. 사용 사례에 고유한 [고객 관리형 정책](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)을 정의하여 권한을 줄이는 것이 좋습니다. 관리형 정책에 정의된 권한은 변경할 수 없습니다. AWS AWS 관리형 정책에 정의된 권한을 업데이트하는 경우 AWS 해당 업데이트는 정책이 연결된 모든 주체 ID (사용자, 그룹, 역할) 에 영향을 미칩니다. AWS 새 API 작업이 시작되거나 기존 서비스에 새 AWS 서비스 API 작업을 사용할 수 있게 되면 AWS 관리형 정책을 업데이트할 가능성이 가장 높습니다. 자세한 내용은 IAM 사용자 설명서**의 [AWS 관리형 정책](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)을 참조하세요. **리소스 탐색기 권한을 포함하는 일반 AWS 관리형 정책** + [AdministratorAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AdministratorAccess)— 리소스에 대한 전체 액세스 권한을 AWS 서비스 부여합니다. + [ReadOnly액세스](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/ReadOnlyAccess) — 리소스에 대한 읽기 전용 액세스 권한을 AWS 서비스 부여합니다. + [ViewOnly액세스](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/job-function/ViewOnlyAccess) - 리소스 및 기본 메타데이터를 볼 수 있는 권한을 부여합니다. AWS 서비스 **참고** `ViewOnlyAccess` 정책에 포함된 Resource Explorer `Get*` 권한은 리전에 하나의 인덱스와 하나의 기본 뷰만 포함될 수 있기 때문에 단일 값만 반환하지만 `List` 권한과 유사하게 수행됩니다. **AWS 리소스 탐색기의 관리형 정책** + [AWSResourceExplorerFullAccess](#security_iam_awsmanpol_AWSResourceExplorerFullAccess) + [AWSResourceExplorerReadOnlyAccess](#security_iam_awsmanpol_AWSResourceExplorerReadOnlyAccess) + [AWSResourceExplorerServiceRolePolicy](#security_iam_awsmanpol_AWSResourceExplorerServiceRolePolicy) ## AWS 관리형 정책: AWSResourceExplorerFullAccess AWSResourceExplorerFullAccess `AWSResourceExplorerFullAccess` 정책을 IAM 자격 증명에 할당할 수 있습니다. 이 정책은 Resource Explorer 서비스에 대한 전체 관리 제어를 허용하는 권한을 부여합니다. 계정의 AWS 리전 에서 Resource Explorer를 활성화하고 관리하는 데 관련된 모든 작업을 수행할 수 있습니다. 권한 세부 정보**** 이 정책에는 리소스 탐색기 켜기/끄기, 계정에 대한 애그리게이터 인덱스 만들기 또는 삭제 AWS 리전, 보기 만들기, 업데이트, 삭제, 검색 등 리소스 탐색기의 모든 작업을 허용하는 권한이 포함됩니다. 이 정책에는 Resource Explorer에 포함되지 않은 권한도 포함되어 있습니다. + `ec2:DescribeRegions` – Resource Explorer가 계정의 리전에 대한 세부 정보에 액세스할 수 있도록 허용합니다. + `ram:ListResources` – Resource Explorer가 리소스가 속한 리소스 공유를 나열할 수 있도록 허용합니다. + `ram:GetResourceShares` – Resource Explorer가 사용자가 소유하거나 공유한 리소스 공유에 대한 세부 정보를 식별할 수 있도록 허용합니다. + `iam:CreateServiceLinkedRole` – [첫 번째 인덱스를 생성하여 Resource Explorer를 활성화](manage-service-turn-on-region.md#manage-service-turn-on-region-region)할 때 Resource Explorer가 필요한 서비스 연결 역할을 생성할 수 있도록 허용합니다. + `organizations:DescribeOrganization` – Resource Explorer가 조직에 대한 정보에 액세스할 수 있도록 허용합니다. 이 AWS 관리형 정책의 최신 버전을 보려면 `[AWSResourceExplorerFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSResourceExplorerFullAccess.html)` 관리형 *정책 참조AWS * 안내서를 참조하십시오. ## AWS 관리형 정책: AWSResourceExplorerReadOnlyAccess AWSResourceExplorerReadOnlyAccess `AWSResourceExplorerReadOnlyAccess` 정책을 IAM 자격 증명에 할당할 수 있습니다. 이 정책은 사용자에게 리소스를 검색할 수 있는 기본 검색 액세스를 허용하는 읽기 전용 권한을 부여합니다. 권한 세부 정보**** 이 정책에는 사용자가 Resource Explorer `Get*`, `List*`, `Search` 작업을 수행하여 Resource Explorer 구성 요소 및 구성 설정에 대한 정보를 볼 수는 있지만 사용자가 이를 변경할 수는 없는 권한이 포함되어 있습니다. 사용자는 검색도 할 수 있습니다. 이 정책에는 Resource Explorer에 포함되지 않은 두 가지 권한도 포함되어 있습니다. + `ec2:DescribeRegions` – Resource Explorer가 계정의 리전에 대한 세부 정보에 액세스할 수 있도록 허용합니다. + `ram:ListResources` – Resource Explorer가 리소스가 속한 리소스 공유를 나열할 수 있도록 허용합니다. + `ram:GetResourceShares` – Resource Explorer가 사용자가 소유하거나 공유한 리소스 공유에 대한 세부 정보를 식별할 수 있도록 허용합니다. + `organizations:DescribeOrganization` – Resource Explorer가 조직에 대한 정보에 액세스할 수 있도록 허용합니다. 이 AWS 관리형 정책의 최신 버전을 보려면 `[AWSResourceExplorerReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSResourceExplorerReadOnlyAccess.html)` 관리형 *정책 참조 안내서를* 참조하십시오.AWS ## AWS 관리형 정책: AWSResourceExplorerServiceRolePolicy AWSResourceExplorerServiceRolePolicy `AWSResourceExplorerServiceRolePolicy`을 IAM 엔터티에 연결할 수 없습니다. 이 정책은 Resource Explorer가 사용자를 대신하여 작업을 수행할 수 있도록 해 주는 서비스 연결 역할에만 연결할 수 있도록 허용합니다. 자세한 정보는 [Resource Explorer에 대한 서비스 연결 역할 사용](security_iam_service-linked-roles.md)을 참조하세요. 이 정책은 Resource Explorer가 리소스에 대한 정보를 검색하는 데 필요한 권한을 부여합니다. 리소스 탐색기는 등록한 각 AWS 리전 항목에서 유지 관리하는 색인을 채웁니다. 이 AWS 관리형 정책의 최신 버전을 보려면 IAM 콘솔을 참조하십시오`[AWSResourceExplorerServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/AWSResourceExplorerServiceRolePolicy)`. ## AWS 관리형 정책: AWSResourceExplorerOrganizationsAccess AWSResourceExplorerOrganizationsAccess `AWSResourceExplorerOrganizationsAccess`를 IAM 자격 증명에 할당할 수 있습니다. 이 정책은 Resource Explorer에 관리자 권한을 부여하고 이 AWS 서비스 액세스를 지원하는 다른 사용자에게는 읽기 전용 권한을 부여합니다. AWS Organizations 관리자는 콘솔에서 다중 계정 검색을 설정하고 관리하려면 이러한 권한이 필요합니다. 권한 세부 정보**** 이 정책에는 관리자가 조직에 대한 다중 계정 검색을 설정할 수 있는 권한이 포함되어 있습니다. + `ec2:DescribeRegions` – Resource Explorer가 계정의 리전에 대한 세부 정보에 액세스할 수 있도록 허용합니다. + `ram:ListResources` – Resource Explorer가 리소스가 속한 리소스 공유를 나열할 수 있도록 허용합니다. + `ram:GetResourceShares` – Resource Explorer가 사용자가 소유하거나 공유한 리소스 공유에 대한 세부 정보를 식별할 수 있도록 허용합니다. + `organizations:ListAccounts` – Resource Explorer가 조직 내 계정을 식별할 수 있도록 허용합니다. + `organizations:ListRoots` – Resource Explorer가 조직 내 루트 계정을 식별할 수 있도록 허용합니다. + `organizations:ListOrganizationalUnitsForParent` – Resource Explorer가 상위 조직 단위 또는 루트의 조직 단위(OU)를 식별할 수 있도록 허용합니다. + `organizations:ListAccountsForParent` – Resource Explorer가 지정된 대상 루트 또는 OU에 포함된 조직의 계정을 식별할 수 있도록 허용합니다. + `organizations:ListDelegatedAdministrators`— 리소스 탐색기에서 이 조직에서 위임된 관리자로 지정된 AWS 계정을 식별할 수 있습니다. + `organizations:ListAWSServiceAccessForOrganization`— 리소스 탐색기에서 조직과 통합할 수 AWS 서비스 있는 목록의 목록을 식별할 수 있습니다. + `organizations:DescribeOrganization` – Resource Explorer가 사용자 계정이 속한 조직에 대한 정보를 검색할 수 있도록 허용합니다. + `organizations:EnableAWSServiceAccess`— 리소스 탐색기를 사용하여 AWS 서비스 (에서 지정한 서비스`ServicePrincipal`) 를 다음과 통합할 수 AWS Organizations있습니다. + `organizations:DisableAWSServiceAccess`— 리소스 탐색기가 AWS 서비스 (에서 지정한 서비스 ServicePrincipal) 와 통합을 비활성화할 수 있도록 AWS Organizations합니다. + `organizations:RegisterDelegatedAdministrator`— 리소스 탐색기에서 지정된 멤버 계정으로 조직의 지정된 AWS 서비스 기능을 관리할 수 있도록 합니다. + `organizations:DeregisterDelegatedAdministrator`— 리소스 탐색기에서 지정된 구성원을 지정된 구성원의 AWS 계정 위임 관리자로 제거할 수 있습니다. AWS 서비스 + `iam:GetRole` – Resource Explorer가 역할의 경로, GUID, ARN 및 역할을 수임할 수 있는 권한을 부여하는 역할의 신뢰 정책을 포함하여 지정된 역할에 대한 정보를 검색할 수 있도록 허용합니다. + `iam:CreateServiceLinkedRole` – [첫 번째 인덱스를 생성하여 Resource Explorer를 활성화](manage-service-turn-on-region.md#manage-service-turn-on-region-region)할 때 Resource Explorer가 필요한 서비스 연결 역할을 생성할 수 있도록 허용합니다. 이 AWS 관리형 정책의 최신 버전을 보려면 IAM `[AWSResourceExplorerOrganizationsAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/AWSResourceExplorerOrganizationsAccess)` 콘솔을 참조하십시오. ## 리소스 탐색기의 AWS 관리형 정책 업데이트 정책 업데이트 이 서비스가 이러한 변경 내용을 추적하기 시작한 이후 리소스 탐색기의 AWS 관리형 정책 업데이트에 대한 세부 정보를 확인하십시오. 이 페이지의 변경 사항에 대한 자동 알림을 받으려면 [Resource Explorer 문서 기록](doc-history.md) 페이지에서 RSS 피드를 구독하세요. | 변경 사항 | 설명 | 날짜 | | --- | --- | --- | | [AWSResourceExplorerServiceRolePolicy](#security_iam_awsmanpol_AWSResourceExplorerServiceRolePolicy)- 추가 리소스 유형을 볼 수 있도록 정책 권한이 업데이트되었습니다. | 리소스 탐색기는 서비스 연결 역할 정책에 리소스 탐색기에서 추가 리소스 유형을 볼 수 [`AWSResourceExplorerServiceRolePolicy`](#security_iam_awsmanpol_AWSResourceExplorerServiceRolePolicy)있는 권한을 추가했습니다. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/resource-explorer/latest/userguide/security_iam_awsmanpol.html) | 2023년 12월 12일 | | 새 관리형 정책 | 리소스 탐색기에 다음과 같은 AWS 관리형 정책이 추가되었습니다. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/resource-explorer/latest/userguide/security_iam_awsmanpol.html) | 2023년 11월 14일 | | 관리형 정책 업데이트 | 리소스 탐색기는 다중 계정 검색을 지원하도록 다음과 같은 AWS 관리형 정책을 업데이트했습니다. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/resource-explorer/latest/userguide/security_iam_awsmanpol.html) | 2023년 11월 14일 | | [AWSResourceExplorerServiceRolePolicy](#security_iam_awsmanpol_AWSResourceExplorerServiceRolePolicy)— Organizations를 통한 다중 계정 검색을 지원하도록 정책 업데이트 | Resource Explorer는 Organizations에 대한 다중 계정 검색을 지원할 수 있도록 허용하는 서비스 연결 역할 정책 `[AWSResourceExplorerServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/AWSResourceExplorerServiceRolePolicy)`에 권한을 추가했습니다. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/resource-explorer/latest/userguide/security_iam_awsmanpol.html) | 2023년 11월 14일 | | [AWSResourceExplorerServiceRolePolicy](#security_iam_awsmanpol_AWSResourceExplorerServiceRolePolicy)— 추가 리소스 유형을 지원하도록 정책이 업데이트되었습니다. | Resource Explorer가 서비스가 다음 리소스 유형을 인덱싱할 수 있도록 허용하는 서비스 연결 역할 정책 `[AWSResourceExplorerServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/AWSResourceExplorerServiceRolePolicy)`에 권한을 추가했습니다. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/resource-explorer/latest/userguide/security_iam_awsmanpol.html) | 2023년 10월 17일 | | [AWSResourceExplorerServiceRolePolicy](#security_iam_awsmanpol_AWSResourceExplorerServiceRolePolicy)— 추가 리소스 유형을 지원하도록 정책이 업데이트되었습니다. | Resource Explorer가 서비스가 다음 리소스 유형을 인덱싱할 수 있도록 허용하는 서비스 연결 역할 정책 `[AWSResourceExplorerServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/AWSResourceExplorerServiceRolePolicy)`에 권한을 추가했습니다. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/resource-explorer/latest/userguide/security_iam_awsmanpol.html) | 2023년 8월 1일 | | [AWSResourceExplorerServiceRolePolicy](#security_iam_awsmanpol_AWSResourceExplorerServiceRolePolicy)— 추가 리소스 유형을 지원하도록 정책이 업데이트되었습니다. | Resource Explorer가 서비스가 다음 리소스 유형을 인덱싱할 수 있도록 허용하는 서비스 연결 역할 정책 `[AWSResourceExplorerServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/AWSResourceExplorerServiceRolePolicy)`에 권한을 추가했습니다. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/resource-explorer/latest/userguide/security_iam_awsmanpol.html) | 2023년 3월 7일 | | 새 관리형 정책 | 리소스 탐색기에 다음과 같은 AWS 관리형 정책이 추가되었습니다. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/resource-explorer/latest/userguide/security_iam_awsmanpol.html) | 2022년 11월 7일 | | Resource Explorer에서 변경 사항 추적 시작 | 리소스 탐색기가 AWS 관리형 정책의 변경 내용을 추적하기 시작했습니다. | 2022년 11월 7일 | # Resource Explorer에 대한 서비스 연결 역할 사용 서비스 링크 역할 사용 AWS 리소스 탐색기 AWS Identity and Access Management (IAM) [서비스 연결](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) 역할을 사용합니다. 서비스 연결 역할은 리소스 탐색기에 직접 연결된 고유한 IAM 역할 유형입니다. 서비스 연결 역할은 Resource Explorer에서 미리 정의되며 서비스가 사용자를 대신하여 다른 사람을 호출하는 데 필요한 모든 권한을 포함합니다. AWS 서비스 서비스 연결 역할을 사용하면 필요한 권한을 수동으로 추가할 필요가 없으므로 Resource Explorer를 더 쉽게 구성할 수 있습니다. Resource Explorer에서 서비스 연결 역할의 권한을 정의하므로 다르게 정의되지 않은 한, Resource Explorer만 해당 역할을 수임할 수 있습니다. 정의된 권한에는 신뢰 정책과 권한 정책이 모두 포함되며 이 권한 정책은 다른 엔티티에 할당할 수 없습니다. IAM 서비스 연결 역할을 지원하는 다른 서비스에 대한 자세한 내용은 *IAM사용 IAM 설명서에서* [함께 작동하는AWS 서비스를](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) 참조하십시오. 거기에서 **서비스 연결 역할** 열에 **예**라고 표시된 서비스를 찾습니다. 해당 서비스에 대한 서비스 연결 역할 설명서를 보려면 **예** 링크를 선택합니다. ## Resource Explorer에 대한 서비스 연결 역할 권한 Resource Explorer에서는 `AWSServiceRoleForResourceExplorer`라는 이름이 지정된 서비스 연결 역할을 사용합니다. 이 역할은 사용자를 대신하여 리소스 탐색기 서비스에 리소스와 AWS CloudTrail 이벤트를 조회하고 검색을 지원하기 위해 해당 리소스를 인덱싱할 수 있는 권한을 부여합니다. AWS 계정 `AWSServiceRoleForResourceExplorer` 서비스 연결 역할은 다음 서비스 보안 주체가 있는 서비스만 신뢰하여 역할을 수임합니다. + `resource-explorer-2.amazonaws.com` 이름이 지정된 역할 권한 정책을 AWSResourceExplorerServiceRolePolicy 사용하면 Resource Explorer에서 지원되는 AWS 리소스의 리소스 이름과 속성을 검색할 수 있는 읽기 전용 액세스가 허용됩니다. Resource Explorer가 지원하는 서비스와 리소스를 보려면 [Resource Explorer로 검색할 수 있는 리소스 유형](https://docs.aws.amazon.com/resource-explorer/latest/userguide/supported-resource-types.html)을 참조하세요. IAM콘솔에서 `[AWSResourceExplorerServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/AWSResourceExplorerServiceRolePolicy)` 정책을 보면 이 역할이 수행할 수 있는 모든 작업의 전체 목록을 볼 수 있습니다. 보안 주체는 사용자, 그룹 또는 역할과 같은 IAM 엔티티입니다. Resource Explorer가 계정의 첫 번째 리전에 인덱스를 생성할 때 자동으로 서비스 연결 역할을 생성하도록 허용하면 작업을 수행하는 보안 주체는 Resource Explorer 인덱스를 생성하는 데 필요한 권한만 있으면 됩니다. 를 사용하여 IAM 수동으로 서비스 연결 역할을 만들려면 작업을 수행하는 주도자에게 서비스 연결 역할을 만들 수 있는 권한이 있어야 합니다. *자세한 내용은 사용 설명서의 [서비스 연결 역할](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) 권한을 참조하십시오. IAM* ## Resource Explorer에 대한 서비스 연결 역할 생성 서비스 링크 역할은 수동으로 생성할 필요가 없습니다. 에서 리소스 탐색기를 켜거나 또는 를 사용하여 계정의 첫 AWS 리전 번째 탐색기를 실행하면 [CreateIndex](https://docs.aws.amazon.com/resource-explorer/latest/apireference/API_CreateIndex.html)리소스 탐색기가 서비스 연결 역할을 자동으로 생성합니다. AWS Management Console AWS CLI AWS API 이 서비스 연결 역할을 삭제한 다음 다시 생성해야 하는 경우 동일한 프로세스를 사용하여 계정에서 역할을 다시 생성할 수 있습니다. 계정의 첫 번째 지역을 방문하면 [RegisterResourceExplorer](https://docs.aws.amazon.com/resource-explorer/latest/apireference/API_RegisterResourceExplorer.html)리소스 탐색기가 서비스 연결 역할을 다시 생성합니다. ## Resource Explorer에 대한 서비스 연결 역할 편집 Resource Explorer에서는 `AWSServiceRoleForResourceExplorer` 서비스 연결 역할을 편집하도록 허용하지 않습니다. 서비스 연결 역할을 생성한 후에는 다양한 엔터티가 역할을 참조할 수 있기 때문에 역할 이름을 변경할 수 없습니다. 하지만 를 사용하여 역할에 대한 설명을 편집할 수 있습니다. IAM 자세한 내용은 사용 *IAM설명서의* [서비스 연결 역할 편집을](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) 참조하십시오. ## Resource Explorer에 대한 서비스 연결 역할 삭제 IAM콘솔 AWS CLI, 또는 를 사용하여 서비스 연결 역할을 수동으로 삭제할 수 있습니다. AWS API 이렇게 하려면 먼저 계정의 모든 AWS 리전 계정에서 리소스 탐색기 색인을 제거한 다음 서비스 연결 역할을 수동으로 삭제해야 합니다. **참고** 리소스를 삭제하려 할 때 Resource Explorer 서비스가 해당 역할을 사용 중이면 삭제에 실패할 수 있습니다. 그런 경우 모든 리전의 모든 인덱스가 삭제되었는지 확인한 다음 몇 분 기다렸다가 작업을 다시 시도하세요. **를 사용하여 서비스 연결 역할을 수동으로 삭제하려면 IAM** IAM콘솔 AWS CLI, 또는 를 AWS API 사용하여 `AWSServiceRoleForResourceExplorer` 서비스 연결 역할을 삭제합니다. *자세한 내용은 사용 설명서의 [서비스 연결 역할 삭제를](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role) 참조하십시오. IAM* ## Resource Explorer 서비스 연결 역할을 지원하는 리전 Resource Explorer에서는 서비스를 사용할 수 있는 모든 리전에서 서비스 연결 역할 사용을 지원합니다. 자세한 내용은Amazon Web Services 일반 참조**의 [AWS 서비스 엔드포인트](https://docs.aws.amazon.com/general/latest/gr/rande.html)를 참조하세요. # AWS 리소스 탐색기 권한 문제 해결 권한 문제 해결 다음 정보를 사용하면 리소스 탐색기 및 AWS Identity and Access Management (IAM) 작업 시 발생할 수 있는 일반적인 문제를 진단하고 해결하는 데 도움이 됩니다. **Topics** + [ ## Resource Explorer에서 작업을 수행할 권한이 없음 ](#security_iam_troubleshoot-no-permissions) + [ ## 외부 사용자가 내 리소스 탐색기 리소스에 액세스할 AWS 계정 수 있도록 허용하고 싶습니다. ](#security_iam_troubleshoot-cross-account-access) ## Resource Explorer에서 작업을 수행할 권한이 없음 작업을 수행할 권한이 없다는 AWS Management Console 메시지가 표시되면 관리자에게 도움을 요청해야 합니다. 관리자는 이 작업을 시도하는 데 사용한 보안 인증 정보를 제공한 사람입니다. 예를 들어, IAM 역할 `MyExampleRole`가 콘솔을 사용하여 뷰에 대한 세부 정보를 보려고 하지만 `resource-explorer-2:GetView` 권한이 없는 경우 다음 오류가 발생합니다. ``` User: arn:aws:iam::123456789012:role/MyExampleRole is not authorized to perform: resource-explorer-2:GetView on resource: arn:aws:resource-explorer-2:us-east-1:123456789012:view/EC2-Only-View/1a2b3c4d-5d6e-7f8a-9b0c-abcd11111111 ``` 이 경우 역할을 사용하는 사용자는 관리자에게 `resource-explorer-2:GetView` 작업을 사용하여 뷰에 액세스할 수 있도록 역할의 권한 정책을 업데이트하도록 요청해야 합니다. ## 외부 사용자가 내 리소스 탐색기 리소스에 액세스할 AWS 계정 수 있도록 허용하고 싶습니다. 다른 계정의 사용자 또는 조직 외부의 사람이 리소스에 액세스할 때 사용할 수 있는 역할을 생성할 수 있습니다. 역할을 수임할 신뢰할 수 있는 사람을 지정할 수 있습니다. 리소스 기반 정책 또는 액세스 제어 목록(ACL)을 지원하는 서비스의 경우 이러한 정책을 사용하여 다른 사람에게 리소스에 대한 액세스 권한을 부여할 수 있습니다. 자세히 알아보려면 다음을 참조하십시오. + Resource Explorer에서 이러한 기능을 지원하는지 여부를 알아보려면 [리소스 탐색기의 작동 방식 IAM](security_iam_service-with-iam.md)를 참조하세요. + *소유한 리소스에 대한 액세스 권한을 AWS 계정 부여하는 방법을 알아보려면 IAM 사용 설명서의 [다른 AWS 계정 IAM 사용자에게 액세스 권한 제공을](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html) 참조하십시오.* + [제3자에게 리소스에 대한 액세스 권한을 제공하는 방법을 알아보려면 *IAM* 사용 설명서의 타사 AWS 계정AWS 계정 소유에 대한 액세스 제공을](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html) 참조하십시오. + ID 페더레이션을 통해 액세스 권한을 제공하는 방법을 알아보려면 *IAM 사용 설명서*의 [외부에서 인증된 사용자에게 액세스 권한 제공(자격 증명 페더레이션)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)을 참조하십시오. + 크로스 계정 액세스에 대한 역할과 리소스 기반 정책 사용의 차이점을 알아보려면 **IAM 사용 설명서의 [IAM의 크로스 계정 리소스 액세스](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)를 참조하세요. # 의 데이터 보호 AWS 리소스 탐색기 데이터 보호 AWS [공동 책임 모델](https://aws.amazon.com/compliance/shared-responsibility-model/) 의 데이터 보호에 적용됩니다 AWS 리소스 탐색기. 이 모델에 설명된 대로 AWS 는 모든 를 실행하는 글로벌 인프라를 보호할 책임이 있습니다 AWS 클라우드. 사용자는 인프라에서 호스팅되는 콘텐츠를 관리해야 합니다. 사용하는 AWS 서비스 의 보안 구성과 관리 작업에 대한 책임도 사용자에게 있습니다. 데이터 프라이버시에 대한 자세한 내용은 [데이터 프라이버시 섹션을 FAQ](https://aws.amazon.com/compliance/data-privacy-faq/)참조하세요. 유럽의 데이터 보호에 대한 자세한 내용은 *AWS 보안 블로그*의 [AWS 책임 공유 모델 및 GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 블로그 게시물을 참조하세요. 데이터 보호를 위해 자격 증명을 보호하고 AWS 계정 AWS IAM Identity Center 또는 AWS Identity and Access Management ()를 사용하여 개별 사용자를 설정하는 것이 좋습니다IAM. 이렇게 하면 개별 사용자에게 자신의 직무를 충실히 이행하는 데 필요한 권한만 부여됩니다. 또한 다음과 같은 방법으로 데이터를 보호하는 것이 좋습니다. + 각 계정에 다단계 인증(MFA)을 사용합니다. + SSL/TLS를 사용하여 AWS 리소스와 통신합니다. TLS 1.2가 필요하며 TLS 1.3을 권장합니다. + 를 사용하여 API 및 사용자 활동 로깅을 설정합니다 AWS CloudTrail. CloudTrail 추적을 사용하여 AWS 활동을 캡처하는 방법에 대한 자세한 내용은 *AWS CloudTrail 사용 설명서*의 [ CloudTrail 추적 작업을](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html) 참조하세요. + AWS 암호화 솔루션과 내의 모든 기본 보안 제어를 사용합니다 AWS 서비스. + Amazon S3에 저장된 민감한 데이터를 검색하고 보호하는 데 도움이 되는 Amazon Macie와 같은 고급 관리형 보안 서비스를 사용하세요. + 명령줄 인터페이스 또는 FIPS 를 AWS 통해 에 액세스할 때 140-3 검증 암호화 모듈이 필요한 경우 FIPS 엔드포인트를 API사용합니다. 사용 가능한 FIPS 엔드포인트에 대한 자세한 내용은 [연방 정보 처리 표준(FIPS) 140-3](https://aws.amazon.com/compliance/fips/)을 참조하세요. 고객의 이메일 주소와 같은 기밀 정보나 중요한 정보는 태그나 **이름** 필드와 같은 자유 양식 필드에 입력하지 않는 것이 좋습니다. 여기에는 Resource Explorer 또는 콘솔, 또는 를 사용하는 기타 AWS 서비스 에서 작업하는 경우가 포함됩니다API AWS CLI AWS SDKs. 이름에 사용되는 태그 또는 자유 형식 텍스트 필드에 입력하는 모든 데이터는 청구 또는 진단 로그에 사용될 수 있습니다. 외부 서버에 URL를 제공하는 경우 해당 서버에 대한 요청을 검증URL하기 위해 에 보안 인증 정보를 포함하지 않는 것이 좋습니다. ## 저장 중 암호화 Resource Explorer에서 저장하는 데이터에는 고객이 ARNs 사용하는 리소스 및 관련 리소스의 인덱싱된 목록과 리소스에 액세스하는 뷰가 포함됩니다. 이 데이터는 256비트 [AWS Key Management Service 키(-256-AWS KMS)를 사용하여 Galois 카운터 모드()에서 고급 암호화 표준()을 구현하는 () 대칭 암호화](https://docs.aws.amazon.com/kms/latest/developerguide/asymmetric-key-specs.html#key-spec-symmetric-default) 키를 사용하여 저장 시 암호화됩니다AESGCM. [AES](https://csrc.nist.gov/csrc/media/publications/fips/197/final/documents/fips-197.pdf) [GCM](http://csrc.nist.gov/publications/nistpubs/800-38D/SP-800-38D.pdf) ## 전송 중 암호화 고객 요청 및 모든 관련 데이터는 전송 중 [Transport Later Security(TLS) 1.2](https://datatracker.ietf.org/doc/html/rfc5246) 이상을 사용하여 암호화됩니다. 모든 Resource Explorer 엔드포인트는 전송 중인 데이터를 HTTPS 암호화할 수 있습니다. Resource Explorer 서비스 엔드포인트 목록은AWS 일반 참조**의 [AWS 리소스 탐색기 엔드포인트 및 할당량](https://docs.aws.amazon.com/general/latest/gr/resourceexplorer2.html)을 참조하세요. # AWS 리소스 탐색기의 규정 준수 확인 규정 준수 확인 AWS 서비스가 특정 규정 준수 프로그램의 범위에 포함되는지 알아보려면 [규정 준수 프로그램 제공 범위의 AWS 서비스](https://aws.amazon.com/compliance/services-in-scope/)를 참조하세요. 일반적인 정보는 [AWS규정 준수 프로그램](https://aws.amazon.com/compliance/programs/)을 참조하세요. AWS Artifact을(를) 사용하여 제3자 감사 보고서를 다운로드할 수 있습니다. 자세한 정보는 AWS Artifact 사용 설명서**의 [AWS Artifact의 보고서 다운로드](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html)를 참조하세요. Resource Explorer 사용 시 규정 준수 책임은 데이터의 민감도, 회사의 규정 준수 목표 및 관련 법률과 규정에 따라 결정됩니다. AWS는 규정 준수를 지원할 다음과 같은 리소스를 제공합니다. + [보안 및 규정 준수 빠른 시작 안내서](https://aws.amazon.com/quickstart/?awsf.quickstart-homepage-filter=categories%23security-identity-compliance): 이 배포 안내서에서는 아키텍처 고려 사항에 관해 설명하고 AWS에서 보안 및 규정 준수에 중점을 둔 기본 환경을 배포하기 위한 단계를 제공합니다. + [Amazon Web Services에서 HIPAA 보안 및 규정 준수 기술 백서 설계](https://docs.aws.amazon.com/whitepapers/latest/architecting-hipaa-security-and-compliance-on-aws/architecting-hipaa-security-and-compliance-on-aws.html) - 이 백서는 기업에서 AWS를 사용하여 HIPAA를 준수하는 애플리케이션을 만드는 방법을 설명합니다. **참고** 모든 AWS 서비스에 HIPAA 자격이 있는 것은 아닙니다. 자세한 내용은 [HIPAA 적격 서비스 참조](https://aws.amazon.com/compliance/hipaa-eligible-services-reference) 섹션을 참조하십시오. + [AWS 규정 준수 리소스](https://aws.amazon.com/compliance/resources/): 고객 조직이 속한 산업 및 위치에 적용될 수 있는 워크북 및 가이드 콜렉션입니다. + *AWS Config 개발자 가이드*의 [규칙을 사용하여 리소스 평가](https://docs.aws.amazon.com/config/latest/developerguide/evaluate-config.html): AWS Config를 사용하여 리소스 구성이 내부 사례, 업계 지침, 규정을 얼마나 잘 준수하는지 평가합니다. + [AWS Security Hub CSPM](https://docs.aws.amazon.com/securityhub/latest/userguide/what-is-securityhub.html): 이 AWS 서비스는 보안 산업 표준 및 모범 사례 규정 준수 여부를 확인하는 데 도움이 되도록 AWS 내 보안 상태를 종합적으로 보여줍니다. # AWS 리소스 탐색기의 복원성 복원성 AWS 글로벌 인프라는 AWS 리전 및 가용 영역을 중심으로 구축됩니다. 리전은 물리적으로 분리되고 격리된 다수의 가용 영역을 제공하며 이러한 가용 영역은 짧은 지연 시간, 높은 처리량 및 높은 중복성을 갖춘 네트워크를 통해 연결되어 있습니다. 가용 영역을 사용하면 중단 없이 영역 간에 자동으로 장애 조치가 이루어지는 애플리케이션 및 데이터베이스를 설계하고 운영할 수 있습니다. 가용 영역은 기존의 단일 또는 다중 데이터 센터 인프라보다 가용성, 내결함성, 확장성이 뛰어납니다. AWS 리전 및 가용 영역에 대한 자세한 내용은 [AWS 글로벌 인프라](https://aws.amazon.com/about-aws/global-infrastructure/)를 참조하세요. # 의 인프라 보안 AWS 리소스 탐색기 인프라 보안 매니지드 서비스로서 AWS 글로벌 네트워크 보안으로 AWS 리소스 탐색기 보호됩니다. AWS 보안 서비스 및 인프라 AWS 보호 방법에 대한 자세한 내용은 [AWS 클라우드 보안을](https://aws.amazon.com/security/) 참조하십시오. 인프라 보안 모범 사례를 사용하여 AWS 환경을 설계하려면 Security *Pillar AWS Well‐Architected Framework의* [인프라 보호를](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html) 참조하십시오. AWS 게시된 API 호출을 사용하여 네트워크를 통해 리소스 탐색기에 액세스할 수 있습니다. 고객은 다음을 지원해야 합니다. + 전송 계층 보안 (TLS). TLS1.2가 필요하고 TLS 1.3을 권장합니다. + (임시 디피-헬만) 또는 (타원 곡선 임시 디피-헬만PFS) 와 같이 완벽한 순방향 기밀성 DHE () 을 갖춘 암호 제품군. ECDHE Java 7 이상의 최신 시스템은 대부분 이러한 모드를 지원합니다. 또한 액세스 키 ID와 보안 주체와 연결된 비밀 액세스 키를 사용하여 요청에 서명해야 합니다. IAM 또는 [AWS Security Token Service](https://docs.aws.amazon.com/STS/latest/APIReference/welcome.html)(AWS STS)를 사용하여 임시 보안 인증을 생성하여 요청에 서명할 수 있습니다. AWS 글로벌 네트워크 보안 절차에 대한 자세한 내용은 [Amazon Web Services: 보안 프로세스 개요](https://d0.awsstatic.com/whitepapers/Security/AWS_Security_Whitepaper.pdf) 백서를 참조하십시오.