AWS LearnAWS 접근 권한 지도
유즈케이스 05 · DevOps 운영

Permission Set 수정 → 전 계정 전파

권한 템플릿 하나를 고치면 할당된 모든 계정의 Role이 바뀐다.

DevOps 관리자개발자
STEP 1 / 5DevOps 관리자

정책 수정

DevPowerUser에 인라인 정책 추가. 예: app- 으로 시작하는 Role만 PassRole 허용.

단계단계를 누르면 위 관계도가 그 단계로 바뀐다

  1. DevPowerUser에 인라인 정책 추가. 예: app- 으로 시작하는 Role만 PassRole 허용.

    {
  "Effect": "Allow",
  "Action": "iam:PassRole",
  "Resource": "arn:aws:iam::*:role/app-*"
}

  2. 수정만 해서는 계정에 반영되지 않는다. 콘솔에서 업데이트를 실행하거나 API로 ProvisionPermissionSet 호출.

    aws sso-admin provision-permission-set \
  --instance-arn arn:aws:sso:::instance/ssoins-xxxx \
  --permission-set-arn arn:aws:sso:::permissionSet/ssoins-xxxx/ps-xxxx \
  --target-type ALL_PROVISIONED_ACCOUNTS

  3. 이 Permission Set이 걸린 계정마다 AWSReservedSSO Role의 정책이 덮어써진다. IAM 콘솔에서 Role을 직접 고쳐도 다음 프로비저닝 때 되돌아간다.

  4. Permission Set이 고객 관리형 정책이나 Boundary를 "이름"으로 참조하면, 대상 계정마다 같은 이름·경로의 정책이 먼저 있어야 프로비저닝이 성공한다.

  5. Role 정책은 요청 시점에 평가되므로 이미 로그인한 세션도 다음 API 호출부터 새 권한이 적용된다. "아까 되던 게 갑자기 안 된다"의 흔한 원인.

관련 FAQ