[AWS] AWS IAM 설정하기

IAM

IAM(Identify and Access Management)는 회사 차원에서 AWS 계정 접근에 대한 권한을 관리하는 서비스이다. 보통 보안적인 이유로 루트 계정(Root Account)를 사용하지 않기 때문에 사용자나 사용자 그룹을 통해 AWS 계정에 접근하여 사용한다. 루트 계정은 주로 백업 용도로만 사용한다. 만약 AWS를 가입하지 않았다면 처음 생성하는 경우엔 완전한 접근 권한을 지닌 단일 로그인 자격 증명을 하게 된다. 이 자격 증명을 루트 사용자라고 한다.

IAM을 조회하게 되면 현재 접속 계정의 보안 상태를 확인할 수 있다. AWS에 처음 계정을 생성했을 때는 모든 권한에 접근할 수 있다. 루트 계정은 모든 권한을 쥐고 있는 중요한 계정이니 패스워드만으로 로그인이 가능하면 보안에 취약성을 갖게된다. MFA(Multi-Factor Authorization)을 통해 인증을 하게 되면, 좀 더 안전하게 계정을 관리할 수 있다. MFA로 인증하는 방식은 다양하며 원하는 방식을 사용하면 된다.

권한? 정책?

IAM에 대표적인 주요 기능으로는 다음과 같이 나눌 수 있다.

그룹 : 사용자 그룹의 권한을 지정할 수 있다.
사용자 : AWS를 사용하기 위해 계정 접근에 대한 자격을 증명한다.
역할 : 단기간 동안 유효한 자격 증명을 가진 특정 권한을 말한다.
정책 : 사용자나 그룹에게 권한을 줄 때 권한을 정의하는 AWS의 객체를 의미한다. `JSON` 형식으로 필요할 때 마다 더해서 사용한다.

{
  "Version" : "2012-10-17",
  "Statement" : [
    {
    "Effect" : "Allow",
    "Action" : "s3:GetObject",
    "Resource" : "arn:aws:s3:::example-bucket/*"
   },
    {
    "Effect" : "Allow",
    "Action" : [
      "s3:PostObject",
      "s3:PutObject"
    ]
    "Resource" : "arn:aws:s3:::example-bucket"
   },
    {
    "Effect" : "Deny",
    "Action" : "s3:*",
    "Resource" : "arn:aws:s3:::example-bucket/senstive-data/*",
    "Condition" : {
      "IPAddress": {
        "aws:SourceIp":"192.168.1.0/24"
      }
   }
  }
 ]
}

가장 좋은 관리 방법

루트 계정은 최대한 사용하지 않고 Backup 용도로 둔다.
한 사람이 항상이 무조건 1:1 매핑으로 사용해야한다.
User를 그룹에 넣고 정책을 넣는 게 관리하는게 좋다. 개개인 관리하기엔 어렵기 때문이다.
MFA를 사용하는게 보안상 좋다.
AWS 서비스를 사용할 때 항상 역할을 업데이트해야 한다.
IAM 유저와 접근 키는 공유해선 안된다.

MFA 활성화하기

처음엔, IAM에 접속을 해서 보안 권장사항에 MFA를 추가할 필요 있다고 메세지가 있는데 해당 문구에 MFA 추가를 선택하여 진행한다.

이 방법 외에도 [보안 자격 증명] - [MFA 디바이스 할당]을 통해 들어갈 수 있다.

그 다음에는 MFA 디바이스를 선택하는 창이 나오는데 다음 그림에 나오는 세가지가 다양한 방법으로 인증하는 방식이다. 가격면에서 `Authenticator app`은 Google에서 제공하는 authenticator 앱을 다운 받으면 되기 때문에 이 방식을 사용하기로 했다.

그럼 앱스토어에서 Google Authenticator↗을 설치한다음, 앱에서 [Add a code] - [Scan a QR code]로 다음 그림의 QR을 찍고 MFA 코드를 입력한다.

개인 IAM 사용자 생성

그룹, 사용자 생성

이번엔 루트 계정이 아닌 개인 계정을 생성할 예정이다. AWS는 각 서비스에 대해 IAM 계정을 생성하여 필요한 권한만 사용자에게 부여할 수 있다. 우선, IAM 대시보드에 들어가서 [사용자] 탭을 선택한다. 그다음, [사용자 생성]을 선택해 사용자를 생성한다.

사용자를 생성하기 위해 우선, 사용자의 세부 정보를 지정해야한다는 페이지를 볼 수 있을 것이다. 아래와 같이 사용자 정보를 입력하고 Identity Center에서 사용자 지정으로 해서 [다음]을 누르면 Identify Center로 이동하게 된다.

User name(사용자 이름)을 입력한다.
AWS Management Console access 체크 박스를 선택하고 사용자 유형을 선택한다.
1. 만약 다음 그림이 아닌 I want to create an IAM user(IAM 사용자 생성)을 클릭한다면 생성할 계정의 비밀번호를 입력한다.