전체 관계도
바깥(사람과 도구) → admin 관리 계정 → STS → dev 멤버 계정, 그리고 아래쪽의 권한 평가 관문. 이 다섯 영역만 기억하면 된다.
주체·도구
Principal (Role/User)
정책 문서
리소스
서비스·제어면
개발자DevOpsCI · 앱
노드나 관문을 누르면 설명이 열린다
아래 목록에서 유즈케이스를 고르면 요청이 지도 위를 단계별로 흐른다.
읽는 법
- 누가 (신원) — 개발자와 DevOps는 같은 포털로 들어와 다른 타일을 고른다. CI와 앱도 결국 STS를 거쳐 Role 세션이 된다. 장기 키(IAM User)만 예외라서 지양한다.
- 어디서 (계정 · 조직) — Organizations 트리가 계정을 묶고, SCP · RCP · 선언적 정책이 계정 경계에 상한과 고정값을 건다. Identity Center는 이 트리 위에서 "누구에게 어느 계정의 무슨 권한"을 배포한다.
- 무엇을 (정책) — 요청은 하단 8개 관문을 순서대로 지난다. Allow는 Identity · Resource 정책에서만 나온다.
유효 권한 = (Identity ∪ Resource Allow)
∩ SCP ∩ RCP ∩ Boundary ∩ Session
− 명시적 Deny
※ 같은 계정 기준. 크로스 어카운트는 ∪ 대신 ∩
∩ SCP ∩ RCP ∩ Boundary ∩ Session
− 명시적 Deny
※ 같은 계정 기준. 크로스 어카운트는 ∪ 대신 ∩