IAM으로Role Switch하기

이번에는 Role Switch에 대해서 입니다. 자신의 계정에서 Role Switch를 하는 방법 다른 계정끼리 Role Switch를 하는 2가지의 방법을 준비해 보았습니다.

#IAM Role

#한국어블로그

#AWS IAM

#AWS

Seungyeon Kim

2020.05.20

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

이번에는 IAM의 Role Switch에 대해서

자신의 계정에서 Role Switch를 하는 방법,다른 계정끼리 Role Switch를 하는 2가지의 방법을 해보았습니다.

IAM이란

AWS Identity and Access Management(IAM)는AWS의 리소스를 안전하게 관리할 수 있도록 도와주는 서비스 입니다.

- 왜root계정으로 관리하면 안되는가

root 사용자 자격 증명을 사용하면 AWS 계정의 모든 리소스에 완전히 무제한으로 액세스할 수 있습니다. 여기에는 결제 정보에 대한 액세스 및 암호 변경 권한이 포함됩니다. 이러한 수준의 액세스는 계정을 처음 설정했을 때 필요합니다. 그러나 일상적인 액세스에는 루트 사용자 자격 증명을 사용하지 않는 것이 좋습니다. 특히 루트 사용자 자격 증명을 타인과 공유하면 타인이 내 계정에 무제한으로 액세스할 수 있으므로 공유하지 않는 것이 좋습니다. -AWS-

- Access방법

AWS Management Console
AWS CLI
AWS SDK
IAM HTTPS API

이번에는 이방법중 AWS Management Console를 이용해 보았습니다.

RBAC(Role-based Access Control)란

잠시 RoleSwitch를 하기전에 RBAC에 관해서 설명하겠습니다. 이 내용을 이해하시면 왜 Role Switch가 필요한지 더욱 이해가 될것 같아서 넣어 보았습니다.

RBAC(Role-based access control)란

역할(Role)에 권한을 부여해서 관리하는 방법

RBAC가 필요한 이유

예를 들어 설명해 보겠습니다.

개발부Group
- 시니어엔지니어　⇒　서버 액세스 권한 필요
- 엔지니어　⇒　서버 액세스 권한 필요없음

가장 간단한 해결 방법 입니다.

개발부 시니어엔지니어Gruop
- 시니어엔지니어　⇒　서버 액세스 권한 있음
개발부 엔지니어Gruop
- 엔지니어　⇒　서버 액세스 권한 없음

이와 같이 하나의 Group이지만 필요한 권한에 따라서 Group을 나눌 필요가 있습니다. 이때마다 Group을 나누어 관리하는 것은 수가 많아질 수록 힘들게 될 것입니다.

그럼RBAC으로 관리한다면?

예를들면 이렇게

개발부
시니어엔지니어　⇒　시니어엔지니어역할
엔지니어　⇒　엔지니어역할

이와같이Group을 늘릴 필요없이 간단하게 역할을 붙여서 관리하기만 하면 됩니다.

screen

RBAC에 해당하는 구성도 입니다.

Demo

준비
- 사용자를 만들어 주세요
- 타계정에 사용자를 만들어 주세요.

자신의 계정에서

먼저 Roles로가서 Create Role을 눌러주세요.

아래의 화면대로 선택해 주세요. Options선택은 생략하고 진행하도록 하겠습니다.

screen

AccountID 는 MyAccount에서확인 하실 수 있습니다.

screen

다음으로는 원하시는 정책을 선택해서 만들어 주시면 됩니다.

screen

만들어 졌다면 아래의 페이지로 가서

Role ARN 정보와
Give this link to users who 의 링크를

기억해 두세요.

screen

자이제 거의 마지막입니다.

Users든 Groups이든 자신이 SwitchRole하고 싶은 유저가 포함된 곳에 가서 만들어 줍니다.
- Policies에서 만들어 Users나 Groups 에 들어가 해당하는 유저가 포함된 곳에 등록해도 괜찮습니다.
- 직접 Users나Groups에 들어가 inline policy로 등록해도 괜찮습니다.

여기에서는 inline policy로 만들겠습니다.

inline policy: User, Group, Role에 1대1로 할당되는 정책입니다.

screen

처음 가면 이런 모습입니다.

{
    "Version": "2012-10-17",
    "Statement": []
}

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect":"Allow",
        "Action":"sts:AssumeRole",
        "Resource":"arn:aws:iam::myAccount:role/만든Role"
    }
}

Resource에 방금 기억해 두라고 했던 Role ARN 정보를 넣으시면 됩니다.

그럼 끝입니다.

inline policy로 등록을했다면 연결해둔 Groups의 User나 Users에들어가서 등록했다면 등록한 User로 로그인합니다.

그리고 방금 기억두라고 했던 2번째 URL로 접속해줍니다.

screen