[AWS][SAP] Question 9

 

Which of the following statements concerning delegating authorization to perform API calls is NOT accurate in the context of IAM roles for Amazon EC2?

• A. You cannot create an IAM role.
• B. You can have the application retrieve a set of temporary credentials and use them.
• C. You can specify the role when you launch your instances.
• D. You can define which accounts or AWS services can assume the role.

 

 

한글 번역

다음 중 API 호출을 수행할 수 있는 권한을 위임하는 것에 관한 문장은 Amazon EC2의 IAM 역할과 관련하여 정확하지 않은 것은 무엇입니까?

• A. IAM 역할은 생성할 수 없습니다.
• B. 응용 프로그램에서 임시 자격 증명 집합을 검색하여 사용하도록 할 수 있습니다.
• C. 인스턴스를 시작할 때 역할을 지정할 수 있습니다.
• D. 역할을 수임할 수 있는 계정 또는 AWS 서비스를 정의할 수 있습니다.

 

 

 

 

 

 

정답

• A. You cannot create an IAM role.

 

해설

애플리케이션이 사용하는 보안 자격 증명을 직접 관리할 필요 없이 인스턴스의 애플리케이션에서 안전하게 API 요청을 전송할 수 있도록 IAM 역할을 설계했습니다. AWS 자격 증명을 생성하고 배포하는 대신 다음과 같이 IAM 역할을 사용하여 API 요청 전송 권한을 위임할 수 있습니다.

1. IAM 역할 생성.
2. 역할을 수행할 수 있는 계정 또는 AWS 서비스를 정의합니다.
3. 역할을 수행하면서 애플리케이션이 사용할 수 있는 API 작업 및 리소스를 정의합니다.
4. 인스턴스를 시작할 때 역할을 지정하거나, 기존 인스턴스에 역할을 연결합니다.
5. 애플리케이션에서 임시 자격 증명 세트를 검색하여 사용하도록 합니다.

예를 들어 IAM 역할을 사용하여 인스턴스에서 실행되며 Amazon S3의 버킷을 사용해야 하는 애플리케이션에 해당 권한을 부여할 수 있습니다. JSON 형식으로 정책을 생성하여 IAM 역할에 권한을 지정할 수 있습니다. 이 방법은 IAM 사용자를 대상으로 정책을 생성할 때와 비슷합니다. 역할을 변경하면 모든 인스턴스에 변경 내용이 전파됩니다.

IAM 역할을 생성할 때, 애플리케이션에 필요한 특정 API 호출에 대한 액세스를 제한하는 최소 권한 IAM 정책을 연결합니다.

인스턴스에 하나의 IAM 역할만 연결할 수 있지만, 여러 인스턴스에 동일한 역할을 연결할 수는 있습니다. IAM 역할 생성 및 사용에 대한 자세한 내용은 IAM 사용 설명서에서 역할을 참조하십시오.

IAM 정책에 리소스 수준 권한을 적용하여 사용자가 인스턴스에 IAM 역할을 연결, 교체 또는 분리할 수 있는 권한을 제어할 수 있습니다.