클라우드 보안: AWS IAM 역할과 정책 설정

8월 28, 2024

클라우드 환경에서 보안은 가장 중요한 요소 중 하나이며, AWS(Amazon Web Services)는 이를 위해 강력한 보안 관리 도구를 제공합니다. 그중에서도 AWS IAM(Identity and Access Management)은 사용자, 그룹, 역할(Role), 정책(Policy)을 관리하여 클라우드 자원에 대한 접근을 제어하는 핵심 서비스입니다. 이 글에서는 AWS IAM 역할(Role)과 정책(Policy) 설정의 기본 개념을 이해하고, 이를 통해 클라우드 보안을 강화하는 방법을 살펴보겠습니다.

AWS IAM의 기본 개념

IAM은 AWS 자원에 대한 접근을 제어하기 위한 AWS의 서비스로, 사용자, 그룹, 역할, 정책을 정의하고 관리할 수 있습니다. IAM을 사용하면 권한을 세밀하게 설정하여, 보안 및 규정 준수를 강화할 수 있습니다.

주요 요소

사용자(User): AWS 자원에 접근할 수 있는 개별 엔터티로, 사람 또는 애플리케이션을 나타냅니다.
그룹(Group): 여러 사용자를 묶어 공통의 정책을 적용할 수 있는 엔터티입니다.
역할(Role): 특정 권한을 부여받은 엔터티로, 사용자가 아닌 AWS 서비스 또는 애플리케이션에 권한을 위임할 때 사용됩니다.
정책(Policy): 특정 AWS 자원에 대한 접근 권한을 정의한 JSON 문서로, 사용자, 그룹, 역할에 적용되어 권한을 제어합니다.

IAM 역할(Role) 이해

IAM 역할은 AWS 리소스에 접근하기 위한 임시 자격 증명을 제공하며, 이는 사용자가 아닌 애플리케이션 또는 서비스에 주로 사용됩니다. 역할은 사용자의 행위를 대신하여 작업을 수행하도록 설계되었으며, 다음과 같은 상황에서 자주 사용됩니다:

AWS 서비스 간의 권한 위임: EC2 인스턴스에서 S3 버킷에 접근할 때, 해당 EC2 인스턴스에 역할을 부여하여 S3에 대한 권한을 부여할 수 있습니다.
교차 계정 접근: 여러 AWS 계정 간에 리소스를 공유할 때, 하나의 계정에서 다른 계정의 리소스에 접근할 수 있도록 역할을 사용할 수 있습니다.
SAML 2.0 기반 SSO: 조직의 사용자들이 AWS Management Console에 SSO(Single Sign-On)로 로그인할 수 있도록 역할을 설정할 수 있습니다.

역할 설정 예시:

EC2 인스턴스가 S3 버킷에 접근할 수 있도록 역할을 설정하려면 다음과 같이 IAM 역할을 생성하고, EC2 인스턴스에 연결할 수 있습니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:*",
      "Resource": "arn:aws:s3:::example-bucket/*"
    }
  ]
}

IAM 정책(Policy) 이해

정책은 특정 AWS 리소스에 대한 권한을 정의하는 JSON 문서입니다. 정책은 허용(Allow) 또는 거부(Deny) 규칙을 기반으로 동작하며, 역할, 사용자, 그룹에 연결되어 해당 엔터티가 수행할 수 있는 작업을 결정합니다.

정책의 주요 구성 요소

Effect: 권한을 허용할지(Allow) 또는 거부할지(Deny)를 결정합니다.
Action: 정책이 적용되는 특정 AWS 서비스에서 수행할 수 있는 작업을 정의합니다.
Resource: 정책이 적용되는 특정 AWS 리소스를 명시합니다.
Condition: 특정 조건에 따라 정책이 적용되는지 여부를 정의합니다.

정책 유형

관리형 정책(Managed Policies):
AWS에서 제공하거나, 사용자가 정의한 정책으로, 여러 엔터티에 쉽게 적용할 수 있습니다. AWS 관리형 정책은 기본적인 보안 요구 사항을 충족할 수 있도록 미리 정의된 정책입니다.
인라인 정책(Inline Policies):
특정 사용자, 그룹, 또는 역할에 직접 연결된 정책으로, 개별적으로 관리됩니다. 인라인 정책은 특정 요구 사항에 맞게 세밀하게 권한을 제어할 때 유용합니다.

정책 설정 예시:

특정 S3 버킷에서 읽기 작업만 허용하는 정책을 설정할 수 있습니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::example-bucket/*"
    }
  ]
}

역할과 정책 설정 모범 사례

1. 최소 권한 원칙(Principle of Least Privilege)

사용자, 그룹, 역할에 필요한 최소한의 권한만 부여하여, 잠재적인 보안 위험을 줄입니다. 모든 접근 권한은 반드시 필요한 경우에만 허용해야 합니다.

2. 정기적인 권한 검토

IAM 권한을 정기적으로 검토하고, 불필요하거나 과도한 권한을 제거합니다. 권한이 과도하면 보안 위협에 노출될 수 있습니다.

3. 멀티 팩터 인증(MFA) 활성화

중요 리소스에 접근하는 사용자와 역할에 대해 멀티 팩터 인증을 활성화하여 보안을 강화합니다. 이를 통해 자격 증명이 도난당하더라도, 접근이 제한될 수 있습니다.

4. 조건 기반 접근 제어

정책에서 조건을 설정하여 특정 시간, IP 주소, VPC에서만 접근을 허용하도록 제한합니다. 이는 보다 세밀한 보안 정책을 구현하는 데 유용합니다.

"Condition": {
  "IpAddress": {
    "aws:SourceIp": "192.0.2.0/24"
  }
}

5. 역할 위임(Role Delegation) 관리

역할을 다른 사용자나 서비스에 위임할 때, 위임받은 역할에 대한 권한을 명확히 정의하고, 불필요한 권한이 부여되지 않도록 주의합니다.

결론

AWS IAM 역할과 정책 설정은 클라우드 보안을 강화하기 위한 중요한 과정입니다. 역할을 통해 권한을 위임하고, 정책을 통해 세밀하게 접근을 제어함으로써, AWS 리소스에 대한 보안성을 크게 향상시킬 수 있습니다. 최소 권한 원칙을 준수하고, 정기적인 권한 검토와 조건 기반 접근 제어를 통해 IAM 설정을 최적화하여, 클라우드 환경에서의 보안을 더욱 강화할 수 있습니다. AWS IAM을 적절히 활용하면, 클라우드 인프라를 안전하게 관리하고, 비즈니스 연속성을 보장할 수 있습니다.

인포아카이브

Python의 GIL(Global Interpreter Lock)과 멀티스레딩의 한계