[Udemy][AWS-SAA][Section-25] IAM - Advanced

#AWS Certified Solutions Architect Associate 

AWS-DVA 과정에서 나오지 않았거나, 기억이 안나는 부분 메모

 

AWS Organizations

AWS Organizations를 사용하면 AWS 리소스를 증대 및 확장할 때 환경을 중앙에서 관리할 수 있습니다. AWS Organizations를 사용하여 계정을 생성하고 리소스를 할당하며, 워크플로를 구성하도록 계정을 그룹화하고, 모든 계정에 대해 단일 결제 방법을 사용하여 결제를 간소화할 수 있습니다. AWS Organizations는 다른 AWS 서비스와 통합되므로 조직 내 계정 간 중앙 구성, 보안 메커니즘, 감사 요구 사항, 리소스 공유를 정의할 수 있습니다. AWS Organizations는 모든 AWS 고객이 추가 비용 없이 사용할 수 있습니다.

AWS Organizations

 

SCP Hierarchy

서비스 제어 정책(SCP) 예시

 

 

IAM - Resource Based Policies vs IAM Roles

첫 접근이 IAM Role 을 사용해 user A 가 버킷으로 접근하는 방법

두번째 접근이 S3 버킷 정책을 사용해 유저 A 의 접근을 허용하는 방법

 

https://going-to-end.tistory.com/entry/AWS-IAM-Policy%EC%A0%95%EC%B1%85-Role%EC%97%AD%ED%95%A0-%EC%97%90-%EB%8C%80%ED%95%B4-%EC%95%8C%EC%95%84%EB%B3%B4%EC%9E%90

AWS IAM Identity base 와 resource base policy 의 차이

 

Security

한 예시로 EventBridge 를 들어줬는데

리소스 기반 정책으로 허용해야 할 것은 람다, sns, sqs, cloudwatch logs, api gateway 지만

kinesis stream, ecs task 등은 iam role 을 사용해야 된다고 한다.

 

 

 

 

IAM - Policy Evaluation Logic

 

기존 s3, cloudwatch, ec2 로의 모든 작업이 가능한 정책에 iam user 를 생성하는 것을 허용하는 정책을 추가하면

적용되지 않는다.

out of boundary 라고 한다.

https://docs.aws.amazon.com/ko_kr/IAM/latest/UserGuide/access_policies_boundaries.html

IAM 엔터티의 권한 범위 - AWS Identity and Access Management

 

https://docs.aws.amazon.com/ko_kr/IAM/latest/UserGuide/reference_policies_evaluation-logic.html

정책 평가 로직 - AWS Identity and Access Management

 

 

 

AWS IAM Identity Center

https://toma0912.tistory.com/75

SSO(Single Sign-On)이란?

 

IAM Identity Center

AWS Identity Center 를 통해 aws cloud로의 접근, 기타 비즈니스 앱, 커스텀 SAML2.0 앱으로 접근할 수 있다고 한다.

 

https://docs.aws.amazon.com/ko_kr/singlesignon/latest/userguide/what-is.html?icmpid=docs_sso_console

IAM 아이덴티티 센터란 무엇입니까? - AWS IAM Identity Center

 

 

AWS Directory Service

https://blog.naver.com/quest_kor/221487945625

AD(Active Directory)란 무엇인가?

 

 

AWS Mnanged Microsoft AD

https://docs.aws.amazon.com/ko_kr/directoryservice/latest/admin-guide/directory_microsoft_ad.html?icmpid=docs_dirservices_console

AWS Managed Microsoft AD - AWS Directory Service

.AWS 에 새로운 AD를 생성하고 로컬 유저를 관리 + MFA 기능 제공

신뢰 정책을 활성화해서 온프렘 ad 와 연동이 가능하다고 함

 

AD Connector

https://docs.aws.amazon.com/ko_kr/directoryservice/latest/admin-guide/directory_ad_connector.html?icmpid=docs_dirservices_console

Active Directory Connector - AWS Directory Service

AWS 서비스를 온프렘 AD 에 연동시킬 수 있는 프록시 서비스 라고 함

 

AD Connector는 기존 자체 관리형 Microsoft AD(Active Directory)의 자격 증명을 호환 가능한 AWS 애플리케이션에서 사용할 수 있도록 지원하는 프록시입니다. 또한, AD Connector를 사용하여 Amazon EC2 instances를 AD 도메인에 조인하고, 기존 그룹 정책 객체를 사용하여 이러한 인스턴스를 관리할 수도 있습니다. 그러면 이러한 Amazon EC2 instances에서 AD 인식 애플리케이션을 배포하고, 사용자 및 그룹 권한 부여를 위해 자체 관리형 AD를 사용하는 작업을 보다 간편하게 수행할 수 있습니다.

 

 

AWS Control Tower

자동 설정

모범 사례 블루프린트를 사용하여 자동 랜딩 존을 설정합니다.

 

정책 관리

미리 패키징된 제어를 활성화하여 정책을 적용하거나 위반을 탐지합니다.

 

가시성을 제공하는 대시보드

워크로드의 제어 준수 여부를 지속적으로 확인할 수 있습니다.

 

https://docs.aws.amazon.com/ko_kr/controltower/latest/userguide/what-is-control-tower.html

AWS Control Tower TowerCon - AWS Control Tower