[AWS] 교차 계정 액세스란

 

 

# Master(Source) & Slave(Destination) 작업기준

교차 계정 액세스란(Corss-Accounts Access)
 - 한 AWS 계정의 IAM 사용자가 다른 AWS 계정의 IAM 사용자의 AWS 리소스에 액세스하는것.

AWS는 클라우드에서 보안을 최우선으로 하며, 다양한 보안 관련 서비스와 기능 및 선택 사항을 제공하고 있다. 특히, 사용자 권한 관리는 AWS IAM(Identity and Access Management) 이라는 서비스를 통해 구성하고 관리하게 된다. IAM은 다양한 기능을 가지고 AWS 리소스를 사용하는데, API 수준의 세부적인(fine-grained) 접근 제어를 지원한다.

IAM 서비스 및 교차 계정 접근 제어
IAM 기능을 잘 활용할 경우 고객 서비스 운영 중 특정 사용자나 관리자 또는 개발자의 권한을 모두 구분하여 제어할 수 있다. 따라서, 잘못된 운영이나 실수를 권한을 제한하여 막을 수 있고, 필요에 따라서 제한적으로 가능하게 할 수 있다.

예를 들어 네트워크 관리자에게 데이타베이스에 대한 접근 운영 권한을 주는 것은 좋은 방법이 아닐 것이다. 이러한 제한은 사고를 방지할 수도 있으며, 경우에 따라 API 권한(credential)을 획득한 악의적인 접근을 IAM을 통해 원천적으로 차단할 수도 있다.

IAM은 사용자(User)라는 개념과 역할(Role)이라는 개념을 동시에 제공한다. User는 특정 권한을 가진 사용자를 뜻하며, 별도의 URL을 통해 AWS 관리 콘솔에 직접 로그인할 수 있는 사용자를 의미한다. 역할의 경우는 특정 권한을 특정 서비스나 사용자에 부여할 수 있으며, 변경도 가능하다. 뿐만 아니다, Role은 password나 access key가 없어 상대적으로 보다 안전하게 사용이 가능하며, User는 Role의 권한을 받아 AWS 리소스에 편리하고 안전하게 접근이 가능하다.

다만, 여러 User가 복수 계정에서 서로 다른 Role을 손쉽게 이동하면서 관리해야 할 경우를 위해 지난 해 교차 계정 접근 제어(Cross-Account Access) 기능을 출시하였다. 이를 통해 AWS 관리 콘솔에서 Role 전환을 쉽게 할 수 있게 하여, User가 여러 AWS 계정환경에서 효과적으로 일을 더 쉽게 할 수 있게 된다.

또한, 관리자가 허용한 특정 User에 대해 다른 사용자 이름과 암호를 입력 없이 다른 계정을 관리하기 위해 역할을 전환할 수 있다.

 

1. Slave 작업기준

그러면 아래 순서를 통해서 AWS 교차 계정 접근(Cross-Account Access)를 적용하는 방법을 알아보자.
우선 교차 계정 접근하고 싶은 대상 계정의 ID를 확인한다.

 

그럼 이제 소스 계정으로 로그인하여 IAM으로 이동한다.

 

IAM에서 바로 역할(Role)로 이동하여 역할을 생성한다.

여기에서 Create role 버튼을 클릭하여 역할을 생성한다.

AWS account를 클릭하고 계정 관련하여 Another AWS account를 클릭하여 대상 ID를 입력한다. (

 

권한으로는 Administrator Access를 포함한다.

다음 순서로는 해당 역할의 이름을 입력한다.

 

마지막으로 Create role 버튼을 클릭하여 역할 생성을 마무리한다.

 

 

 

 

 

 

2. Master 작업

다음으로는 정책을 생성한다.

Create Policy 버튼을 클릭하여 정책 생성을 한다.

 

Service에 STS를 선택하고 Actions에 AssumeRole을 선택한다.
다음으로 Resources에 All resources를 선택하고 다음으로 넘어간다.

 

마지막으로 이름을 입력하고 최종 마무리 한다.

다음 순서로는 User로 이동하여 User에 정책을 할당한다.

 

특정 User를 선택하고

중간에 Add permissions 버튼을 클릭한다.

 

STSPolicy를 선택하고 다음으로 넘어간다.

 

그럼 이제 모든 준비가 끝났으니, STS Policy 정책을 할당한 계정으로 로그인 한다.

 

 

상단에 역할 전환 버튼을 클릭하고

계정의 ID를 입력하고 역할 전환을 클릭하면

해당 계정의 역할이 전환된것을 확인할수 있다.

역할이 전환되어 대상 계정의 환경에 모든 접근이 가능하다.

 

출처 : 

https://scbyun.com/930

[AWS] AWS 교차 계정 접근(Cross-Account Access)

https://aws.amazon.com/ko/blogs/korea/cross-account-access-in-the-aws-console/

AWS 관리 콘솔에서 교차 계정 접근(Cross-Accounts Access) 활용하기 | Amazon Web Services