치트시트
한 번 이해한 뒤 다시 꺼내 볼 표 세 개.
권한 평가 8단계
| # | 관문 | 판단 |
|---|---|---|
| 01 | 명시적 Deny? | 모든 적용 정책을 모아 명시적 Deny가 하나라도 있으면 즉시 거부. SCP · RCP 안의 Deny도 여기서 걸린다. |
| 02 | RCP | 리소스가 조직 계정 소속이면, 그 계정 경로의 RCP가 이 동작을 허용해야 한다. 기본 RCPFullAWSAccess. |
| 03 | SCP | 요청한 principal 계정 경로(Root → OU → 계정)의 SCP가 모두 허용해야 한다. 관리 계정 principal은 예외. |
| 04 | Resource-based | 버킷 정책 · 키 정책 · 트러스트 정책 등. 같은 계정이면 여기 Allow만으로도 허용될 수 있다(KMS는 키 정책 필수). |
| 05 | Identity-based | Role/User/Group에 붙은 정책. 크로스 어카운트 요청에서는 반드시 Allow가 있어야 한다. |
| 06 | Boundary | Boundary가 붙어 있으면 그 범위 안이어야 한다. Allow를 주지 않는다. |
| 07 | Session policy | AssumeRole 때 넘긴 세션 정책 등. 세션 권한을 더 좁힐 뿐. |
| 08 | 최종 판정 | 명시적 Deny 없음 + 모든 상한 통과 + 어딘가에 Allow → 허용. 하나라도 빠지면 기본 거부(implicit deny). |
유효 권한 = (Identity ∪ Resource Allow)
∩ SCP ∩ RCP ∩ Boundary ∩ Session
− 명시적 Deny
※ 같은 계정 기준. 크로스 어카운트는 ∪ 대신 ∩
∩ SCP ∩ RCP ∩ Boundary ∩ Session
− 명시적 Deny
※ 같은 계정 기준. 크로스 어카운트는 ∪ 대신 ∩
건물 비유로 외우기
조직 = 건물, 계정 = 층. Allow를 "주는" 건 Identity · Resource 정책뿐이고, 나머지는 전부 "깎거나 고정"하는 장치다.
| 구성요소 | 사는 곳 | 효과 | 무엇에 작용 | 건물 비유 |
|---|---|---|---|---|
| AWS Organizations | 관리 계정 | 설정 | 계정 트리·상속 | 건물 관리사무소 + 층 배치도 |
| SCP | 관리 계정 → Root/OU/계정 | 상한 | 조직 안 principal | 층별 "출입 금지 구역" 규정 |
| RCP | 관리 계정 → Root/OU/계정 | 상한 | 조직 안 리소스 (외부 요청자 포함) | 금고실 문에 붙은 "외부인 불가" 규정 |
| 선언적 정책 | 관리 계정 → Root/OU/계정 | 설정 고정 | 서비스 설정 자체 | 창문을 아예 용접 |
| 중앙 루트 관리 | IAM (관리 계정) | 설정 | 멤버 계정 루트 | 층별 마스터키 회수, 필요할 때만 대여 |
| IAM Identity Center | 관리 계정 (또는 위임 관리자) | 신원 | 사람 → 계정 접근 | 로비 안내데스크 |
| Permission Set | Identity Center | 부여 (템플릿) | 계정마다 Role 생성 | 출입증 디자인 원본 |
| Account Assignment | Identity Center | 부여 (연결) | 그룹 × 권한 × 계정 | "이 사람에게 이 층 이 출입증" 발급 대장 |
| STS | AWS 공용 | 신원 전환 | Role 세션 발급 | 시간제 출입증 발급기 |
| IAM Role | 각 계정 | 신원 | assume하는 누구나 | 출입증 그 자체 (빌려 쓰는 모자) |
| IAM User | 각 계정 | 신원 (장기) | 사람·프로그램 | 복사된 열쇠 — 잃어버리면 끝 |
| Identity-based 정책 | Role/User/Group | 부여 | principal | 출입증에 적힌 출입 가능 목록 |
| Resource-based 정책 | S3·KMS·SQS 등 | 부여 | 리소스 | 방 문에 붙은 출입 허용 명단 |
| Trust 정책 | Role | 부여 (assume만) | 누가 Role을 빌리나 | 출입증을 받을 자격 조건 |
| Permissions Boundary | Role/User | 상한 | 개별 principal | 출입증 등급 상한 도장 |
| Session 정책 | AssumeRole 호출 | 상한 | 이번 세션만 | 오늘만 붙이는 축소 스티커 |
2024–2026 바뀐 것
예전 자료에 없을 수 있는 항목들. 관계도에도 반영돼 있다.
2024.11RCP (Resource Control Policy)SCP의 리소스 버전. 조직 밖 principal까지 상한을 걸 수 있는 조직 정책.
2024.11중앙 루트 관리멤버 계정 루트 자격증명 삭제, 필요 시 관리 계정에서 AssumeRoot로 단기 세션.
2024.12선언적 정책API 권한이 아니라 서비스 설정을 control plane에서 고정. 새 API가 나와도 유지.
2026.02Identity Center 멀티 리전 복제다른 리전에 복제해 리전 장애에도 계정 접근·앱 사용 유지.
2026.06고객 관리형 앱의 계정 접근외부 IdP를 신뢰 토큰 발급자로 쓰는 앱이 재로그인 없이 사용자 대신 계정 Role 자격증명을 받음.
2026.08계정 접근 관리 선택화새 조직 인스턴스는 앱 접근만 쓰고 계정 관리를 끌 수 있음. 끄면 멤버 계정에 서비스 연결 역할이 배포되지 않음.