[AWS] IAM Identity Center란?

 

 

 

1. AWS IAM Identity Center란?

AWS IAM Identity Center는 AWS에서 제공하는 중앙 집중형 인증 및 권한 관리 솔루션입니다. 이전 명칭은 AWS SSO였으며, 2022년 7월부터 현재 이름으로 변경되었습니다. 이 서비스는 기업에서 여러 AWS 계정과 외부 SaaS 애플리케이션에 대해 **싱글 사인온(SSO)**을 제공하고, 역할 기반 액세스 제어(RBAC)를 쉽게 설정할 수 있도록 도와줍니다.

주요 키워드: AWS IAM Identity Center, AWS SSO, SSO 연동, 멀티 계정 관리, IAM 권한 관리, SCIM, SAML

---

2. 주요 기능 및 특징

2.1 사용자 및 그룹 관리

• Identity Center 내 자체 사용자 디렉터리를 사용할 수 있고
• Microsoft Entra ID(Azure AD), Okta, Google Workspace 등 외부 IdP와 연동 가능
• SCIM 프로토콜을 통해 사용자 및 그룹 자동 동기화 가능

2.2 싱글 사인온(SSO) 지원

• AWS 콘솔, CLI, SDK, 그리고 Salesforce, Box, Microsoft 365 같은 외부 SaaS 앱과 SSO 연동 가능
• 사용자는 포털에서 로그인 후 할당된 리소스에 바로 접속 가능

2.3 멀티 계정 권한 할당

• AWS Organizations를 통해 조직 내 다수의 계정에 **Permission Set(권한 세트)**를 배포 가능
• 각 사용자 또는 그룹에 다양한 역할(Role)을 설정 가능

2.4 임시 권한(JIT: Just-in-Time)

• Microsoft Entra PIM과 연동하여 필요한 시점에만 권한 부여
• 권한은 일정 시간이 지나면 자동으로 회수

2.5 신뢰 기반 세션(TIP)

• 사용자 ID를 Amazon Redshift, QuickSight 등과 연동하여 추적 가능
• 분석 및 감사에 적합

---

3. 보안 기능

3.1 MFA(다단계 인증)

• FIDO 보안키, 지문, TOTP 앱 등 다양한 인증 방식 지원
• 조직 정책에 따라 MFA 필수 적용 가능

3.2 세션 제어

• 세션 지속 시간 최소 15분~최대 90일까지 설정 가능
• 관리자 콘솔에서 세션 중지 및 모니터링 가능

3.3 CloudTrail 통합

• 사용자 로그인, 권한 할당, 자격 증명 이벤트를 CloudTrail에 기록
• 2025년 7월부터 이벤트 필드가 변경되어 userName, principalId 필드가 제거될 예정 → userId, credentialId로 대체

---

4. 최신 업데이트 (2025년 기준)

4.1 CloudTrail 이벤트 구조 변경

• 2025년 7월 14일부터 IAM Identity Center 이벤트는 IdentityCenterUser 타입 사용
• 보안 시스템에서 기존 필드로 필터링하고 있다면 조속히 수정 필요

4.2 SCIM 오류 로깅 개선

• CloudTrail에 프로비저닝 실패 메시지를 추가해 자동화된 모니터링 가능

4.3 Just-in-Time 권한 연동

• Microsoft Entra PIM과의 통합으로 사용자가 요청하면 관리자가 승인 후 임시 권한 부여 가능
• 권한은 자동 회수되어 보안 리스크 최소화

4.4 Trusted Identity Propagation 적용 확대

• Redshift, Athena 등 분석 서비스에서 세션 기반 사용자 ID 추적 가능
• 데이터 거버넌스 및 분석 보안에 적합

---

5. 구성 예시

plaintext

 

[사용자 또는 외부 IdP]

           │

          ▼

IAM Identity Center (SSO + 역할 관리)

           │

┌─────┼────────────┬──────────────┐

│             ▼                             ▼                                   ▼

AWS 계정 A                  AWS 계정 B                    Salesforce 등 SaaS 앱

(Admin)                         (ReadOnly)                         (SAML 연동)

---

6. 구축 및 연동 방법

6.1 기본 설정 절차

1. AWS Organizations의 관리 계정에서 Identity Center 활성화
2. Identity Source(기본 저장소 또는 외부 IdP) 설정
3. 사용자 및 그룹 생성 또는 외부 IdP와 동기화
4. AWS 계정 및 애플리케이션과 연결
5. Permission Set 생성 후 사용자/그룹에 할당
6. SSO 포털 및 CLI/SDK 설정

6.2 CLI 연동 예시

bash

 

aws configure sso

# 포털 URL, 계정, 역할 선택 후

aws s3 ls --profile sso-profile

---

7. IAM과 IAM Identity Center 비교

항목	IAM	IAM Identity Center
사용자 관리	개별 계정 별 생성	중앙 집중식 또는 외부 IdP 연동
접근 제어 방식	정책 기반	Permission Set 기반 역할 할당
SSO 지원	제한적	전체 지원
외부 연동	수동 설정 필요	SCIM, SAML 기본 지원
CLI 지원	자격 증명 필요	SSO 기반 로그인 가능

 

---

8. 활용 사례

8.1 기업 전사 사용자 관리

• Entra ID 또는 Okta와 연동하여 사용자 생성/삭제 자동화
• 퇴사자 계정 자동 비활성화 → 보안 리스크 제거

8.2 팀 단위 권한 분리

• 개발팀: Dev 계정 Admin
• 운영팀: Prod 계정 ReadOnly
• 관리팀: 모든 계정 재무 보고 권한

8.3 SaaS 통합 로그인

• 마케팅팀은 Salesforce, 광고팀은 Google Workspace 등에 SSO 적용
• 로그인 이력 및 감사 로그 통합 관리

8.4 임시 권한 요청

• 개발자가 EC2 시작 권한을 임시 요청
• 관리자가 승인 시 1시간 권한 부여 후 자동 종료

---

9. 보안 강화 전략

9.1 최소 권한 원칙 적용

• Permission Set마다 불필요한 권한 제거
• 업무에 필요한 범위 내에서만 부여

9.2 감사 로그 관리

• CloudTrail을 통해 모든 이벤트 추적
• 새 이벤트 필드 구조에 맞춰 SIEM 시스템 업데이트 필요

9.3 MFA 강제 적용

• 사용자의 모든 AWS 접근 시 MFA 인증 필수화
• FIDO 기반 보안 키로 피싱 방지

---

10. 결론 및 요약

AWS IAM Identity Center는 2025년 기준으로 AWS 멀티 계정과 SaaS 애플리케이션에 대한 접근을 중앙에서 통제할 수 있는 최적의 솔루션입니다. 특히 SSO, 권한 관리, 보안성, 자동화 측면에서 뛰어난 기능을 제공하여, 엔터프라이즈 환경에 매우 적합합니다.

✅ 핵심 요약

• 멀티 계정 운영을 위한 중앙 인증 및 권한 관리
• 외부 IdP와의 완전한 통합 가능
• 강력한 보안 기능과 감사 로깅 제공
• 최신 업데이트 반영: JIT, TIP, CloudTrail 구조 변경 등

---

11. SEO 최적화를 위한 키워드 요약

• AWS IAM Identity Center
• AWS SSO 2025
• SSO 인증 시스템
• AWS 멀티 계정 통합
• SCIM SAML 연동
• AWS 권한 관리 자동화
• MFA 정책 적용
• Microsoft Entra PIM 연동
• AWS 보안 아키텍처
• IAM vs Identity Center