특정 리소스만 만질 수 있도록 IAM Policy를 설정하는 방법

특정 리소스만 만질 수 있도록 IAM Policy를 설정하는 방법에 대해서 정리해 봤습니다.

#한국어블로그

#AWS

#AWS IAM

#IAM Policy

Kim Jaewook

2024.01.07

안녕하세요 클래스메소드 김재욱(Kim Jaewook) 입니다. 이번에는 특정 리소스만 만질 수 있도록 IAM Policy를 설정하는 방법에 대해서 정리해 봤습니다.

하고 싶은 것

사용자에게 특정 리소스에 접근할 권한만을 할당하고 싶을 때는 어떻게 해야할까요?

예를 들어, 여러 사용자가 생성되어있는 상황에서, 특정 사용자에게 특정 리소스에 대한 권한만을 할당하고 싶은 경우를 가정해서 IAM Policy를 설정하고 싶다면 어떻게 설정해야 할까요?

EC2 인스턴스 전체에 대한 접근 권한을 부여하거나, RDS 전체에 대한 접근 권한을 부여하는 방법도 존재하지만, 더 좁은 범위로 EC2 Instance B에는 접근이 불가능하지만, EC2 Instance A만 접근할 수 있도록 설정하려면 어떻게 해야하는 지 알아보았습니다.

IAM Policy 태그로 접근 권한 제어

IAM Policy에서는 태그를 지정해서 액세스를 제어할 수 있도록 하는 기능이 존재합니다.

예를 들면, EC2 Instance A 리소스에 태그 키에는 classmethod 값에는 jaewook를 넣어서 접근 권한을 제어할 수 있습니다.

보다 자세한 IAM Policy 태그 접근 권한에 대해서는 아래 공식 문서를 참고해 주세요.

IAM Policy 생성해 보기

IAM 콘솔 화면으로 들어와「정책」을 클릭합니다.
「정책 생성」을 클릭합니다.

JSON을 선택합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:Describe*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:StartInstances",
                "ec2:StopInstances"
            ],
            "Resource": "arn:aws:ec2:ap-northeast-2:AWS Account ID:instance/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/classmethod": "jaewook"
                }
            }
        }
    ]
}

테스트를 위해 태그 키가 classmethod, 값이 jaewook인 EC2 인스턴스의 리소스에 대한 시작, 중지 권한을 부여합니다.

AWS Account ID에는 숫자로 구성된 AWS 계정 ID를 입력합니다.

※ EC2 인스턴스 목록을 확인하기 위해 ec2:Describe 권한을 추가했습니다.