[AWS] IAM Policies

IAM Policies

• 그룹 내 정책으로 사용자는 권한을 승계받는다
• 인라인 정책을 생성하여 사용자가 그룹에 속해있든 아니든 원하는 사용자에게 적용 가능

policies 구조

• Version : 정책 언어 버전 ex) "2012-10-17"
• Id : 정책을 식별하는 ID으로 선택 사항
• Statement :[] --> 하나일 수도 여러 개일 수도 있다.
  • [] 안에 {}로 구별하여 문장 작성
  • Sid : 문장 ID로 문장 식별자로 선택 사항
  • Effect : 문장이 특정 API에 접근하는 것을 허용(Allow)할지 거부할지(Deny)에 대한 내용
  • Principal : 특정 정책이 적용 될 사용자, 계정 혹은 역할로 구성됨, {}안에 작성
  • Action : Effect에 기반해 허용 및 거부되는 API 호출 목록
  • Resource : 적용될 Action의 Resource 목록
  • Condition : 해당 Statement가 언제 적용될 지 결정

사용자에게 정책 부여

• IAM - Access management - Users - 부여할 사용자 이름 클릭 - Permissions - add Permissions
  • 그룹 정책 상속받아 연결
  • 바로 직접 사용자에게 연결 : Attach existing policies directly
• 인라인 정책 부여 : IAM - Access management - Users - 부여할 사용자 이름 클릭 - Permissions - add Permissions
• IAM - Access management - Users - 사용자 이름 - Permissions
  • Attached directly : 직접 연결
  • Attached from group : 그룹 상속을 통한 연결

종류

• IAMReadOnlyAccess : IAM에 읽기 전용 권한만 부여하는 정책

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "iam:GenerateCredentialReport",
                  "iam:GenerateServiceLastAccessedDetails",
                  "iam:Get*",
                  "iam:List*",
                  "iam:SimulateCustomPolicy",
                  "iam:SimulatePrincipalPolicy"
              ],
              "Resource": "*"
          }
      ]
  }

• AdministratorAccess : 관리자 권한 부여

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "*",
              "Resource": "*"
          }
      ]
  }

정책 작동 방식

• IAM - Access management - policies : AWS 내에서 가능한 모든 정책 나옴
• policy summary : 어떤 서비스들을 허용하고 있는 지 보여줌
• 정책 이름 누르고 json 파일 형식 선택 누르면 json 파일 형태로 정책 볼 수 있음
  • json 문서에서 *는 모든을 뜻함
• 정책 직접 생성 : - IAM - Access management - policies - create policy
  • Visual editor : 비주얼 에디터를 통해 json 작성
    • Services : IAM을 검색해 선택
    • Actions : 검색 - 작업 선택 ex)ListUsers, GetUser
    • Resources : 특정(specific), 또는 전체(All resource) resource 지정 가능
    • Request conditions : 요청 조건도 지정 가능
  • JSON : 빈 json 문서에 직접 작성