20150109 - AWS BlackBelt - IAM (Korean)

AWS Identity and Access Management
AWS Black Belt Tech Webinar 2014 (Old Meister)
Written by:
Amazon Data Services Japan Ltd.
Security consultant : Takada Tomomi
Translated by:
Amazon Corporate Services Korea LLC
Solutions Architect : Younjin Jeong

Agenda
• IAM overview
• IAM policy
• IAM role
• AWS Security Token Service
• 정리

AWS Identity and Access Management (IAM)
• AWS 를 안전하게 사용하기 위한 인증/허가 시스템
• AWS 사용자 인증 및 접근 정책 관리
 AWS 관리를 위한 그룹, 사용자 및 role (역할) 생성 가능
 그룹별 제한된 권한의 부여가 가능
 사용자별 인증 및 권한 부여가 가능
개발팀 운영팀

IAM 동작 방식
API 및 관리 콘솔에서 접근 권한을 설정/확인
모든 작업
가능
S3에 대해
모든 작업
가능
S3 읽기만
가능
관리자
개발자
사용자
IAM
O
O
O
X
X

IAM 사용자
• AWS account 를 통한 관리 작업을 위해 생성 가능한 사용자
– AWS 1개의 계정 (account) 에 5000 명까지 생성 가능
• 사용자별 설정 가능 정보
– 사용자 이름
• IAM 식별 관리 및 관리 콘솔 로그인에 사용하는 ID
• 최장 64 까지의 알파벳, 숫자, +=,.@-_
– 경로 （옵션）
• 사용자 옵션으로 넣을 수 있는 정보
• 경로를 바탕으로 사용자의 검색이 가능
• 조직 계층이나 프로젝트 구성등을 설정하는데 사용 예）/aws/sa/
• 512자 까지 Basic Latin 문자(알파벳, 숫자, 다음과 같은 특수기호, !"#$%&'()=~|-^@`{[}]*:+;?_)
• 시작과 끝이 ‘/’
– 소속 그룹
• 사용자당 10개의 그룹에 소속 가능
– 권한
• AWS 서비스에 대한 접근 권한을 API 레벨에서 설정 가능
• JSON 형식으로 권한을 설정
– 세부 내용은 계속

IAM 그룹
• IAM 사용자를 그룹화 하여 관리 가능
– AWS 1개의 계정 (account) 에서 100 개의 그룹까지 생성 가능
• 그룹에 설정 가능한 정보
– 그룹 이름
• 그룹의 식별에 사용
– 경로（옵션）
• 조직의 계층 등을 묘사하는데 사용 예）/aws/
– 권한
• 그룹에 설정된 권한은 IAM 사용자에게 설정된 권한과 상충 되는지 체크
• 체크의 방법은 이후에 계속
Group

IAM에서 사용하는 인증 도구（１）
 엑세스키 ID / 비밀 엑세스키 (Access Key ID / Secret Access Key)
 REST,Query 형식의 API 인증에 사용
 2개까지 생성 가능
 Active/Inactive 상태의 전환 가능
 키의 노출에 매우 주의가 필요
 GitHUB
 AMI 에 포함
 문서로 작성, 배포
 암호화되지 않은 메일에 기입
 X.509 Certificate
 SOAP 방식의 API 요청 인증에 사용
 OpenSSL 등의 도구로 인증서를 생성, 업로드

IAM에서 사용하는 인증 도구 （２）
 AWS 관리 콘솔 로그인 암호
 기본값은 설정되지 않음 （로그인 불가）
 128 문자까지 Basic Latin 타입을 사용
 암호 변경을 강제하는 정책 설정이 가능
 AWS 계정별로 생성 가능
 최소 암호 길이, 대소문자 구분 등
 MFA (Multi-Factor Authentication)
 하드웨어 기반의 MFA 또는 소프트웨어 기반의 MFA 중 택일
 하드웨어 MFA
 Gemalto 사에서 AWS 용 장치를 구입
 Token 유형
 카드 유형 (NEW! 2014/5/29)
 http://onlinenoram.gemalto.com/
 소프트웨어 기반 MFA
 스마트 폰 또는 PC에 설치
 Google Authenticator 등 TOTP가 구현된 소프트웨어 사용가능
New！

관리 콘솔 로그인 방법
• IAM 사용자는 AWS 계정에 마련된 별도의 URL 에서 로그인 가능
• 기본 URL + 계정 이름의 형태
• 「Account Alias」사용자가 쉽게 인식 가능한 URL 사용 가능
– S3 bucket 이름과 마찬가지로 Global unique

AWS 계정의 비밀 엑세스키에 대해
• 보안성 강화 정책으로 인해 AWS root account 계정에 대한 “기존의” 비밀
키를 확인하는 것이 2014년 4월 21일 부터 불가능 합니다.
• 만약 현재 사용중인 키를 분실하였다면, 새로운 키를 발급하여 사용해야
합니다.
• root account 의 사용자 키를 만들어서 사용하는 방법은 권고되지 않으며,
모든 작업에 대해 IAM 사용자를 만들어 사용하는 것이 좋습니다.

IAM 정책 (policy)
• AWS 접근 권한의 설정
• JSON 형태로 접근 조건을 상세하게 지정
– http://docs.aws.amazon.com/IAM/latest/UserGuide/AccessPolicyLanguage.html
{
"Statement
{
"Effect": "Allow",
"Action": [
" s3:ListBuckets ",
" s3:Get ＊ "
],
"Resource": [
" arn:aws:s3:::mybucket "
],
"Condition": {
"IpAddress": {
"aws:SourceIP": [“176.32.92.49/32“]
}
}
}
]
}
이 조건으로 AWS 접근
권한을
확인

접근 권한 설정
{
"Effect": "Allow",
"Action": [
" s3:ListBuckets ",
" s3:Get ＊ "
],
"Resource": [
"arn:aws:s3:::mybucket"
],
"Condition": {
"IpAddress": {
"aws:SourceIP":
[“176.32.92.49/32“]
}
}
}
Effect:
접근 허용 (whitelisting) ”Allow”
접근 거부 (blacklisting) ”Deny”
Action:
적용할 AWS API 를 지정
Resource:
작업 대상이 되는 AWS 리소스를 지정
Condition:
세부 조건을 지정 (대상 인스턴스, 소스
IP등)
본 정책은 “S3 mybucket 에 대해 ListBuckets 과 모든 Get API 를
요청하는 176.32.92.49/32 호스트에만 허용한다” 를 정의 한다.

Action
• 「Action」은 수행할 작업 자체에 대한 설정
 ec2:runInstances
 ec2:AttachVolume
 s3:CreateBucket
 s3:DeleteObject
 와일드카드 지정이 가능
 예）ec2:Describe*
 지정된 작업 이외에는「NotAction」을 사용
 예）“NotAction”: “iam:*” (IAM 작업 이외 허용）
"Action": [
" s3:ListBuckets",
" s3:Get*"
]

Resource
• 「Resource」은 작업 대상을 지정하는 설정
 EC2 인스턴스
 EBS 볼륨
 S3 버켓
 S3 오브젝트
• ARN(Amazon Resource Name)
 “arn:aws:” 로 시작하는 문자열
 arn:aws:service:region:account:resource
 예） arn:aws:s3:::mybucket
 http://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html
• 지정 자원 이외에는「NotResource」
– 예） “NotResource” : “arn:aws:s3:::hoge”
"Resource": [
" arn:aws:s3:::mybucket"
]

Resource로 지정할 수 있는 AWS 서비스
• AWS IAM
• Amazon EC2
• Amazon RDS
• Amazon Route53
– Hostedzone,change
• Amazon S3
– bucket,object
• Amazon Glacier
– vault
• AWS Storage Gateway
– gateway,volume,target
• AWS CloudTrail
http://docs.aws.amazon.com/IAM/latest/UserGuide/Using_SpecificProducts.html
• Amazon SimpleDB
– domain
• Amazon Redshift
• Amazon Kinesis
– stream
• Amazon SNS
– topic
• Amazon SQS
– queue
• Amazon DynamoDB
– Table, index
• Amazon SWF
– domain
• AWS Elastic Beanstalk
• AWS CloudFomration
• AWS OpsWorks
• Amazon CloudSearch
– domain
• Amazon Elastic Transcoder
• AWS Marketplace
2014/6 기준

Amazon EC2 Resource 지정
• 다음의 리소스 지정이 가능
– VPC
– VPC Peering connection
– 인스턴스 ID
– 이미지
– Key pair
– Network Interface
– Subnet
– Route table
– Placement group
• 지정 가능한 Action에 대해서는 온라인 문서를 참조
– AcceptVpcPeeringConnection, CreateVpcPeeringConnection, DeleteVpcPeeringConnection
– RebootInstances,StartInstances,StopInstances,TerminateInstaces, RunInstances
– AttachVolume,DeleteVolume,DetachVolume
– 기타 등
• Condition 을 사용한 세부 조건에 대한 명시가 가능 （이후 설명）
"Resource": [
arn:aws:ec2:::instance/i-123abc"
]
http://docs.aws.amazon.com/AWSEC2/latest/UserGuide/iam-policies-for-amazon-ec2.html
http://docs.aws.amazon.com/AWSEC2/latest/APIReference/ec2-api-permissions.html
– Security Group
– Network ACL
– Customer gateway
– Internet gateway
– DHCP Options set
– 인스턴스 프로파일 이름
– Placement group 이름
– 스냅샷 ID
– EBS 볼륨 ID
NEW! 2013/11
2014/6 기준

Condition
• Resource에 대한 Action (허용 또는 거부)별 조건을 설정
• 정책 변수 (조건키)에 대한 연산자를 사용하여 조건을 지정
http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/AccessPolicyLanguage_ElementDescriptions.html#Condition
"Condition": {
"IpAddress": {"aws:SourceIP": “176.32.92.49/32“ }
}
연산자 정책 변수 조건

Condition 연산자
• 문자열
– 완전일 치 또는 부분 일치의 여부
• 수치
– 부등식
• 날짜 및 시간
– 지정한 날짜 이전 또는 이후
• Boolean
• IP 주소
– 지정된 주소의 범위
• Amazon 리소스 이름
– 완전 일치 또는 부분 일치
• ...IfExists
– 위 연산자들에 조건을 부여, 변수가 없으면 무시
• 조건키의 유무
http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/AccessPolicyLanguage_ElementDescriptions.html#Condition
"Condition": {
"StringEquals":
{"ec2:ResourceTag/stack":
“prod"}
}
"Condition": {
“streq":
{"ec2:ResourceTag/stack":
“prod"}
}

정책 변수
• 모든 요청에 유효한 변수
– aws:CurrentTime
– aws:EpochTime
– aws:TokenIssueTime
– aws:principaltype
– aws:SecureTransport
– aws:SourceIp
– aws:UserAgent
– aws:userid
– aws:username
• AWS 서비스 관련 변수
– s3:prefix
– sns:Protocol
– ec2:ResourceTag/tag 이름 등
"Condition": {
"IpAddress":
{"aws:SourceIP":
“176.32.92.49/32“}
}
예를 들어, API / 콘솔에 대한 사용을 지정된
IP 에만 허용하려는 경우 사용

EC2 리소스에 대한 정책 변수
• ec2:AccepterVpc
• ec2:AvailabilityZone
• ec2:EbsOptimized
• ec2:ImageType
• ec2:InstanceProfile
• ec2:InstanceType
• ec2:Owner
• ec2:Public
• ec2:ParentSnapshot
• ec2:PlacementGroup
• ec2:PlacementGroupStrategy
• ec2:Region
• ec2:RequesterVpc
• ec2:ResourceTag/tag-key
• ec2:RootDeviceType
• ec2:Tenancy
• ec2:VolumeIops
• ec2:VolumeSize
• ec2:VolumeType
http://docs.aws.amazon.com/AWSEC2/latest/UserGuide/iam-policies-for-amazon-ec2.html
2014/6 기준
"Condition": {
"StringEquals":
{“ec2:ResourceTag/Name":
“webserver“}
}

여러개의 Condition 사용, ”OR” 및 ”AND”
• Condition 아래의 블록에서는 AND, 블럭 내에서 배열로 지정되면 OR
• 이 경우, 「2013/7/16 일 12:00 부터 15:00사이에 소스 IP
192.168.176.0/24 또는 192.168.143.0/24 네트워크에서의 엑세스 요청」을
의미한다
"Condition" : {
"DateGreaterThan" : {
"aws:CurrentTime" : "2013-07-16T12:00:00Z"
},
"DateLessThan": {
"aws:CurrentTime" : "2013-07-16T15:00:00Z"
},
"IpAddress" : {
"aws:SourceIp" : ["192.168.176.0/24","192.168.143.0/24"]
}
} OR
AND
AND

AWS 서비스 Action Resource tag
IAM ○ ○
Amazon CloudFront ○
Amazon CloudWatch ○
AWS Data Pipeline ○
Amazon EC2 ○ ○ ○
Amazon ElastiCache ○
Amazon Elastic MapReduce ○
Amazon Elastic Transcoder ○ ○
Amazon RDS ○ ○ ○
Amazon Route 53 ○ ○
Amazon S3 / Glacier ○ ○
Amazon Redshift ○ ○
AWS OpsWorks ○ ○
AWS Storage Gateway ○ ○
Amazon SimpleDB ○ ○
Amazon SES ○
Amazon DynamoDB ○ ○
AWS 서비스 Action Resource tag
Amazon SNS ○ ○
Amazon SQS ○ ○
Amazon VPC ○ ○ ○
Amazon Direct Connect ○
Auto Scaling ○
AWS CloudFormation ○ ○
AWS Elastic Beanstalk ○ ○
AWS CloudHSM
Elastic Load Balancing ○ ○
Amazon WorkSpaces
AWS Import/Export ○
Amazon Kinesis ○ ○
Amazon AppStream ○
Amazon CloudSearch ○ ○
Amazon SWF ○ ○ ○
Amazon CloudTrail ○ ○
IAM을 지원하는 AWS 서비스
http://docs.aws.amazon.com/IAM/latest/UserGuide/Using_SpecificProducts.html 2014/6 기준

IAM 정책 생성기 (Policy generator)
• IAM 관리 콘솔 또는 아래의 링크를 통해 사용 가능
– http://awspolicygen.s3.amazonaws.com/policygen.html
JSON 문법 검사 도구를 사용하면 편리합니다.
예）
http://pro.jsonlint.com/
https://github.com/zaach/jsonlint

IAM 정책 샘플 (1)
{"Version":"2012-10-17",
"Statement": [
{
"Action": [ "ec2:CreateSnapshot",
"ec2:DeleteSnapshot",
"ec2:DescribeSnapshotAttribute",
"ec2:DescribeSnapshots" ],
"Effect": "Allow",
"Resource": "*"
} ]
}
EBS백업만 가능
Version은 별도로 부여하지
않으면, 2012-10-17이
자동으로 추가 됨

{
"Statement": [
{
"Action": [
"ec2:PurchaseReservedInstancesOffering"
],
"Effect": "Deny",
"Resource": [
"*"
]
}
]
}
RI 구매 제한

{"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowGroupToSeeBucketListInTheConsole",
"Action": ["s3:ListAllMyBuckets", "s3:GetBucketLocation"],
"Effect": "Allow",
"Resource": ["arn:aws:s3:::*"] },
{
"Sid": "AllowRootAndHomeListingOfCompanyBucket",
"Action": ["s3:ListBucket"],
"Effect": "Allow",
"Resource": ["arn:aws:s3:::my-company"],
"Condition":{"StringEquals":{"s3:prefix":["","home/"],"s3:delimiter":["/"]}} },
{
"Sid": "AllowListingOfUserFolder",
"Action": ["s3:ListBucket"],
"Effect": "Allow",
"Resource": ["arn:aws:s3:::my-company"],
"Condition":{"StringLike":{"s3:prefix":["home/Bob/*"]}} },
{
"Sid": "AllowAllS3ActionsInUserFolder",
"Action":["s3:*"],
"Effect":"Allow",
"Resource": ["arn:aws:s3:::my-company/home/Bob/*"] }
]
}
IAM정책 샘플 (3)
“my-company” 버켓
내의 ”home/Bob”을 포함하는
하위key 만 사용 가능
Statement 에서 여러
정책을 사용하는 경우
Sid 를 다른 사용자와
겹치지 않도록 설정

{"Version":"2012-10-17",
"Statement": [
{
"Sid": “StrictBucketLocation",
"Action": ["s3:CreateBucket"],
"Condition": {
"StringEquals": {
"s3:LocationConstraint": "ap-northeast-1"
}
},
"Resource": ["*"],
"Effect": "Allow"
},
{
"Sid": "AllowListBucket",
"Action": ["s3:ListAllMyBuckets", "s3:GetBucketLocation"],
"Effect": "Allow",
"Resource": ["arn:aws:s3:::*"]
}]
}
지정된 region 이외의
리전에서 버켓 생성 불가능

{"Version": "2012-10-17",
"Statement": [
{
"Action": ["ec2:StartInstances“,"ec2:StopInstances"],
"Resource": [
"arn:aws:ec2:*:*:instance/*"
],
"Effect": "Allow",
"Condition":{
"StringEquals":{
"ec2:ResourceTag/project":"myapp"
}
}]
}
지정된 태그가 붙어 있는 (키：project, 값:myapp）
인스턴스만 시작 /중지 가능

{ "Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Action": "rds:CreateDBInstance",
"Resource":"arn:aws:rds:us-east-1:1234567890:db:test*",
"Condition":{"streq":{"rds:DatabaseEngine":"mysql"}},
"Condition":{"streq":{"rds:DatabaseClass": "db.t1.micro"}}
}]
}
Mysql 과 t1.micro, “test” 로 시작하는 RDS 만 생성 가능

Support 및 결재 정보 관련 접근 제어
• AWS 지원 및 비용 청구 화면에도 IAM 을 통한 권한 할당이 가능
• 지원의 경우 ”support” Action 을 허용
– 사용권한을 배제하는 경우 Deny 를 사용
• 비용 청구 화면은 다음과 같이 설정
– 루트 계정으로 로그인, 보안 질문을 설정
– 비용 관련 화면에 대한 접근을 활성화
– IAM 사용자에게 ”aws-portal” 에 대한 접근 권한을 부여
https://aws.amazon.com/jp/premiumsupport/iam/
http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/ControllingAccessWebsite.html
{“Statement”: [{
“Action”: [ “support:*” ],
“Effect”: “Allow”,
“Resource”: “*”
}]
}
{"Statement":[{
"Effect":"Allow",
"Action":
[ "aws-portal:ViewBilling",
"aws-portal:ViewUsage"]
"Resource":"*"
}]
}

사용자 Statement사용자 Statement
엑세스 가/부 결정 로직
• 엑세스 제어 조건은 여러개를 설정 가능
– 사용자 그룹별로 다수의 상반되는 조건을 설정하는 것도 가능
• 기본적으로 모든 접근은 거부 ( 기본 Deny)
– 접근 권한에 “Allow”가 있는 경우에만 허용
– 그러나 다수의 조건중 하나에라도 “Deny”가 있는 경우 접근 거부 (명시적 Deny)
– 기본 Deny < Allow < 명시적 Deny
그룹 Statement
Allow
해당 없음
（기본 Deny)
결과 ：Allow
Allow
결과：Deny
그룹 Statement
Deny

IAM 정책 시뮬레이터
• IAM 웹 콘솔에서, IAM 사용자 Permission tab 또는 다음의
링크에서 사용 가능
https://policysim.aws.amazon.com/home/index.jsp?
• 프로덕션 서비스에 적용하기 전에 정책을 테스트 가능
– 권한 문제의 해결
– Condition 조건을 적용한 테스트
– 정책 변수를 적용한 테스트

사용자 기반과 리소스 기반
• 정책은 사용자, 그룹, 그리고 AWS 리소스에도 적용이 가능
• S3 버킷, SQS 큐 등에 대한 정책의 적용이 가능
– 「특정 IP 주소에서만 버켓에 엑세스」설정이 가능
사용자 기반 리소스 기반

리소스 기반 정책에 의한 Account 간의 접근
• AWS 의 계정을 넘어선 권한 설정
– S3,SQS,SNS 등의 서비스에서 이용 가능
{
"Statement" : {
"Effect":"Allow",
"Principal" : {
“AWS”:“arn:aws:iam::Account B 넘버:root"
},
"Action":"s3:*",
"Resource":"arn:aws:s3:::mybucket/*"
}
}
1.Account A 버켓에 다음과 같은 정책을 지정
2.Account B 에 mybucket 에 대한 접근 권한을 부여
Principal 에 접근을
원하는 사용자에
대한 조건을 설정

정책의 최대 길이
• IAM 사용자
– 부여한 모든 정책의 길이 합계가 2,048 자 이하
• IAM 그룹
• IAM Role
http://docs.aws.amazon.com/IAM/latest/UserGuide/LimitationsOnEntities.html

IAM role？
• AWS 서비스 및 어플리케이션등의 엔티티에 AWS 에 대한 권한을
부여하기 위한 도구
– 예를 들어 특정 EC2 인스턴스 내에서 동작중인 어플리케이션에 특정 S3 버켓에 대한 접근
권한을 부여 할 수 있다
• IAM 사용자 및 그룹이 반드시 필요하지 않음
• 설정 항목은, role 이름 또는 IAM 정책
– 최대 10,240 문자열 길이의 정책 설정이 가능
• EC2외에도 Beanstalk, Data Pipeline 등에서도 이용

사용 사례 : IAM Role for EC2 instances
프로그램
EC2 인스턴스에 지정된 역할을 부여하는 기능
 EC2 인스턴스를 시작할 때 role 을 지정하면 인증 정보가 meta data 로 설정된다
 인증 정보는 STS(Security Token Service) 에서 생성
• 각 인스턴스마다 다른 키
• 키의 유효 기간이 되면 새로운 키로 rotate
 어플리케이션에서 인증정보를 획득하고 AWS 서비스에 접근
• 인스턴스 내에서 meta data 접근
• Access key id, Secret Key id, 세션 token 을 획득
• 3가지의 인증 정보를 사용하여 API 호출
IAM Role
meta-data

meta data 에서 인증정보 취득
curl http://169.254.169.254/latest/meta-data/iam/security-credentials/EC2_Admin
{
"Code" : "Success",
"LastUpdated" : "2014-06-08T01:51:52Z",
"Type" : "AWS-HMAC",
"AccessKeyId" : "ASIAJY2YJ5S2ZYK25BLQ",
"SecretAccessKey" : "Kp1NblZ7mov/4ln7GLu8dqvN5GztXXXXXXXXXXXXXX",
"Token" : "AQoDYXdzELP//////////wEa0ANmvPx2CpTfOWjuPSMQ+/XXXXXXXXXXXXXXXX",
"Expiration" : "2014-06-08T08:17:52Z"
}
Role
STS 세션 토큰인증 유효 기간
IAM Role 을 설정한 EC2 인스턴스 내에서 검색

IAM 사용자 서비스와 비교
프로그램
IAM Role
meta-data
프로그램
meta-data
IAM role 을 사용하게 되면 인스턴스와 key 관리를 분리하여 프로그램에
key 정보를 노출하지 않으므로 더 높은 보안성을 제공할 수 있다
IAM 사용자 서비스 IAM role 사용시
인증 정보 포함

AWSCredentials credentials =
new BasicAWSCredentials(“엑세스 키 ID”,”시크릿 키ID”);
AmazonEC2 ec2 = new AmazonEC2Client(credentials);”
ec2.describeInstances();
• AWS SDK 를 사용하는 경우, 인증정보 취득 및 만료 전 자동적으로
적용
AWS CLI 는 IAM Role에 대응
• http://aws.amazon.com/jp/cli/
AmazonEC2 ec2 = new AmazonEC2Client();”
ec2.describeInstances();
IAM Role 적용시
IAM Role 적용 인스턴스에서
인증 정보의 설정이 필요

사용 사례 : IAM role 을 사용하여 다른 account 리소스
접근• 계정 사용자에게 다른 계정의 IAM 권한을 연결 하는 기능
• 예를 들어, 개발 전용의 계정을 사용하여 프로덕션에서 사용하는 S3 버켓을 업로드
http://docs.aws.amazon.com/IAM/latest/UserGuide/cross-acct-access.html
개발 계정을 위한 role
프로덕션 계정개발 계정
AssumeRole
인증 정보
개발자 계정 전용의
인증 정보를 통해 버켓 접근

IAM Team Account
Acct ID: 111122223333
s3-role
{ "Statement": [
{
"Effect": "Allow",
"Action": “s3:*",
"Resource": "*"
}
]
}
My AWS Account
Acct ID: 123456789012
Jeff 엑세스키 인증
S3-role 을 통해 임시 접근
key를 획득
할당 받은 임시 key 를 통해
S3 에 접근
{ "Statement": [{
"Effect": "Allow",
"Action": “sts:AssumeRole",
"Resource": "arn:aws:iam::111122223333:role/s3-role"
}
]
}
{ "Statement": [{
"Effect":"Allow",
"Principal":{"AWS":"arn:aws:iam::123456789012:root"},
"Action":"sts:AssumeRole"
}
]
}
IAM role 을 사용하여 다른 account 에 접근 하는 동작
S3-role 에 접근하는 다른 계정의 account id 를 설정계정 B의 s3-role 접근을 허용하는 정책을 Jeff 에 할당
Jeff (IAM User)
s3-role 에 부여되는 정책
STS

Assumed-Role Session – Code Sample
public static Credentials getAssumeRoleSession(String AccessKey, String SecretKey )
{
Credentials sessionCredentials;
AmazonSecurityTokenServiceClient client = new AmazonSecurityTokenServiceClient(
Accesskey, GetSecretkey,
new AmazonSecurityTokenServiceConfig());
// Store the attributes and request a new AssumeRole session (temporary security credentials)
AssumeRoleRequest request = new AssumeRoleRequest
{
DurationSeconds = 3600,
RoleArn = "arn:aws:iam::111122223333:role/s3-role",
RoleSessionName = "S3BucketBrowser"
};
AssumeRoleResponse startSessionResponse = client.AssumeRole(request);
if (startSessionResponse != null) // Check for valid security credentials or null
{
AssumeRoleResult startSessionResult = startSessionResponse.AssumeRoleResult;
sessionCredentials = startSessionResult.Credentials;
return sessionCredentials;
}
else
{
throw new Exception("S3 Browser :: Error in retrieving temporary security creds, received NULL");
}
}

서로 다른 Account 접근의 제어를 위한 MFA 설정
• AWS 계정간의 접근을 위해 MFA 설정을 추가 하는 기능
• AWS 의 관리 콘솔에서 role 을 생성시 require MFA 의 체크 박스를 사용 하는 것으로
설정 가능
• MFA 인증 된 사용자만 인정 정보를 받을 수 있음
– AssumeRole
– GetSessionToken
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {"AWS": "Parent-Account-ID"},
"Action": "sts:AssumeRole",
"Condition": {"Null": {"aws:MultiFactorAuthAge": false}}
}
]
}
http://docs.aws.amazon.com/IAM/latest/UserGuide/MFAProtectedAPI.html

AWS Security Token Service(STS)
• 일시적으로 사용할 token 을 발급해 주는 서비스
• 동적으로 IAM 정책이 적용된 사용자를 생성
– STS는 사용자 수의 제한이 없음
• IAM Role for EC2 서비스가 STS를 이용
– Assume Role

Temporary Security Credentials
• AWS에 대한 임시 인증 정보를 생성하는 방법
– 만료 시간이 정해진 인증 정보 （인증 token）
• 사용자에게 다음 3가지의 key 를 발급
 엑세스 키 ID（ASIAJTNDEWXXXXXXX）
 비밀 엑세스 키 （HQUdrMFbMpOHJ3d+Y49SOXXXXXXX）
 세션 토큰
（AQoDYXdzEHQakAOAEHxwpf/ozF73gmp9vZDWDPkgFnzwSG/3ztBw9Z4IUslNNn503+3
SeN0nwI3wcdLR8y8Ulv9cnksMrBGjRVrJl2xg+/CRnI9nJ1tteHp6yso3sP0BVvnxLpNwyIUp
HrcTHt+8v2P6Y9/VX2zl8Hc/cy6La0r1/GuiHb9NEwqt6VIgjPWCZzHXzX8XsUObKhMnAUkY
2IdTMrNKXcqVk8VbC6BNTqWsMIIfQPz9fDjKK1ifAFmHVSWvUxio94n+ebXXpy1NuHnt5JE
GV34VPLMsrpZ86b+eulKNE1suoQ8TM5E1O66rYwizkq6w+cJovUnMxg6ESASBvolsrEioLiP
+SE7cX1i8gRrSG9/KT59GYTlhTzStjjFroCAqZu4KYplGUMCDl1g0twrdXeymsu3GG70Qwu0w
Si3WjkW8VPiajahJXCEgp6gIgXElwkrBO01H5Y9NNDEyQaq8ocOGBPVRu+DS9LMs9SHASXi
mnnVeIN+1FVkXXXXXXXXXXXXXXXXXXXXXXXX）

인증 정보를 획득하는 방법
• Self-sessions (GetSessionToken)
• Federated sessions (GetFederationToken)
• Assumed-role sessions
• AssumeRole
• AssumeRoleWithWebIdentity
• AssumeRoleWithSAML
Session
Access Key Id
Secret Access Key
Expiration
Session Token
Temporary
Security
Credentials

인증 정보 취득을 위한 API
STS에서 사용할 수 있는 API
Action
概要
GetSessionToken IAM 사용자의 임시 접근 권한을 취득하기 위한 API
GetFederationToken 인증을 받은 Federated 사용자의 temporary security
credentials을 얻기 위한 API
AssumeRole 기존 IAM 사용자의 인증 정보를 사용하여 IAM Role 의
temporary security credentials을 획득하기 위한 API
AssumeRoleWithWebIdentity Amazon, Facebook, Google 의 인증정보를 사용하여
temporary security credentials 을 획득하기 위한 API
AssumeRoleWithSAML idP 인증 및 SAML을 AWS 와 연동하여 temporary security
credentials 를 획득하기 위한 API
http://docs.aws.amazon.com/STS/latest/UsingSTS/Welcome.html

인증 정보의 유효기간
• 토큰의 유형에 따라 유효 기간은 다양 [Min/Max/Default]
• Self (Account) [15 min / 60 min / 60 min]
• Self (IAM User) [15 min / 36 hrs / 12 hrs]
• Federated [15 min / 36 hrs / 12 hrs]
• Assumed-role [15 min / 60 min / 60 min]
• 이미 발행된 티켓은 연장 또는 단축 불가
• 즉시 권한 제어가 필요한 경우 티켓 발행에 사용한 IAM 사용자 및 IAM role 의 권한을 변경
Session
Access Key Id
Secret Access Key
Expiration
Session Token

IAM 사용자AWS Account’s
Access Key ID
Temporary
Security
Credentials
호텔에 비유 한다면

AWS 계정
IAM 사용자
Temporary
Security
Credentials
IAM의 권한 계층
Permissions Example
모든 조작이 가능 Action: *
Effect: Allow
Resource: *
(implicit)
사용자 또는 그룹에 권한을
할당
Action: [‘s3:*’, ‘sts:Get*’]
Effect: Allow
Resource: *
Token 생성시에 결정 Action: [ ‘s3:Get*’ ]
Effect: Allow
Resource: ‘arn:aws:s3:::mybucket/*’

Identity Federation（ID연계）
• 기업・조직의 인증 기능과 AWS 인증을 연동
• 예를 들어, LDAP 으로 인증된 사용자에게 S3 권한을
할당
• 인증된 사용자에 대해 Temporary Security
Credentials을 발행

대표적인 사용 사례
• 임시 권한 양도
– 일시적으로 S3 에 업로드 할 수 있는 응용 프로그램
– 일시적으로 EC2 인스턴스를 시작할 수 있는 구성
• 조직 사용자별 접근 제어
– 사용자별로 사용 가능한 S3 버켓 생성
• 모든 사용자별 IAM 사용자를 만들 필요 없음
– 조직 그룹과 연동하여 접근 제어
• 모바일 응용 프로그램
– 서비스에 로그인한 모바일 앱 사용자별로 임시 인증 정보 생성
– 모바일 앱에서 S3에 직접 업로드
– 유효 기간
– 수천, 수만의 사용자 워크로드를 처리 가능

사용 사례 : API Federation 을 통한 S3 접근
(Sample - http://aws.amazon.com/code/1288653099190193)
• Identity provider
– Windows Active Directory
– AD 그룹 구성원에 권한 부여
• AWS API (S3*)에 대한 접근 권한을 부여
• GetFederationToken API 사용

5
• Access Key
• Secret Key
• Session Token
Get Federation Token
Response
AWS API Federation
Customer (Identity Provider) AWS Cloud (Relying Party)
AWS Resources
User
Application
Active
Directory
Federation
Proxy
4
Get Federation
Token Request
3
2
S3 Bucket
with Objects
Amazon
DynamoD
B
Amazon
EC2
인증 정보
요청
1
인증 정보
수신
6
APP
Federation
Proxy
• GetFederationTokenRequest()에서는
Proxy 에서 IAM 사용자 인증 정보를 사용
• 해당 IAM 사용자의 권한은 Federation
사용자의 권한을 커버 해야 함
• Proxy는 할당된 자격 증명을 안전하게
보호할 필요가 있음
AWS API
호출
7
http://aws.typepad.com/aws_japan/2011/08/aws-identity-and-access-management-now-with-identity-federation.html

사용 사례 : Console Federation
(Sample - http://aws.amazon.com/code/4001165270590826)
• Identity provider
– Windows Active Directory
– AD 그룹 구성원에 따라 권한을 부여
– AD 그룹에 따라 IAM role 선택
• AWS 관리 콘솔에 SSO
• AssumeRole API 사용

Console Federation
Customer (IdP) AWS Cloud (Relying Party)
AWS
Management
Console
Browser
interface
Corporate
directory
Federation
proxy
1 URL에 접근
3
2
콘솔 redirection
10
로그인 URL 생성9
4 List RolesRequest
8
Assume Role Response
Temp Credentials
• Access Key
• Secret Key
• Session Token
7 AssumeRole Request
role 선택
Combo box
생성
6
Federation
proxy
• AssumeRoleRequest()의 호출을 위해
Proxy 에서 IAM 사용자의 인증 정보를
요청
• IAM 사용자의 권한은 ListRoles 의
assume role 수행이 필요
• Proxy는 인증정보를 안전하게 보관할
필요가 있음
5
List RolesResponse

SAML 2.0 을 사용한 SSO Federation
• Security Token Service (STS)가 Security Assertion Markup Language
(SAML）지원을 시작
• AWS 리소스 접근에 기존의 ID 관리 소프트웨어의 사용이 가능
• AWS 관리 콘솔의 SSO 에도 사용 가능
• 새로운 assumeRoleWithSAML API에 의해 federation 이 가능
New 2013/11/11

SAML을 사용한 Console Federation
Enterprise (Identity Provider) AWS (Service Provider)
AWS Sign-in
Browser
interface
Corporate
identity
store
Identity
provider
1내부용 포털 접근
포털은 IdP 역할
2 인증 요청 응답
5
AWS 관리 콘솔
redirection
3
새로운 AWS login
엔드포인트에 SAML 정보를
통해 인증
4
http://aws.typepad.com/aws_japan/2013/11/aws-identity-and-access-management-using-saml.html

사용 사례 : Web Identity Federation
• AssumeRoleWithWebIdentity 의 이용
– 소셜 서비스 인증을 이용하여 AWS 접근을 제어하는 서비스
• 소셜 서비스 인증을 확인하는 서버가 필요 없음
– 예를 들어, 스마트폰 앱에서 S3에 파일을 로그인 하는 서비스를 만들 수 있음
• 현재 Google,Facebook,Amazon(Login with Amazon)을 지원
• IAM Role 을 사용

Web Identity Federation
AWS Cloud
US-EAST-1
EU-WEST-1
AP-SOUTHEAST-1
AWS Services
Amazon
DynamoDB
S3
사용자 인증
1
6
7
IAM
EC2
Instances
Token 검증4
Web identity
Provider
3
5
정책
확인
Id Token
획득
2
Mobile App
http://aws.typepad.com/aws_japan/2013/05/aws-iam-now-supports-amazon-facebook-and-google-identity-federation.html

STS 지원 서비스
2014/06 기준
AWS Products
AWS Billing and Cost Management Yes
Amazon AppStream Yes
Auto Scaling Yes
AWS CloudFormation Yes
Amazon CloudFront Yes
AWS CloudHSM No
Amazon CloudSearch Yes
AWS CloudTrail Yes
Amazon CloudWatch Yes
AWS Data Pipeline Yes
AWS Direct Connect Yes
Amazon DynamoDB Yes
AWS Elastic Beanstalk No
Amazon Elastic Compute Cloud Yes
AWS Products
Elastic Load Balancing Yes
Amazon Elastic MapReduce No
Amazon Elastic Transcoder Yes
Amazon ElastiCache Yes
Amazon Flexible Payments Service No
Amazon Fulfillment Web Service No
Amazon Glacier Yes
AWS Identity and Access Management Yes
AWS Import/Export Yes
Amazon Kinesis Yes
AWS Marketplace Yes
AWS Marketplace Management Portal No
Amazon Mechanical Turk No
AWS OpsWorks Yes
AWS Products
Amazon Redshift Yes
Amazon Relational Database Service Yes
Amazon Route 53 Yes
AWS Security Token Service Yes
Amazon Simple Email Service Yes
Amazon Simple Notification Service Yes
Amazon Simple Queue Service Yes
Amazon Simple Storage Service Yes
Amazon Simple Workflow Service Yes
Amazon SimpleDB Yes
AWS Storage Gateway Yes
AWS Support Yes
Amazon Virtual Private Cloud Yes
Amazon WorkSpaces No
http://docs.aws.amazon.com/STS/latest/UsingSTS/UsingTokens.html

Federation/SSO 제공하는 파트너 솔루션
http://www.xceedium.com/xsuite/xsuite-for-amazon-web-services
http://www.okta.com/aws/
http://www.symplified.com/solutions/single-sign-on-sso
https://www.pingidentity.com/products/pingfederate/
http://www.cloudberrylab.com/ad-bridge.aspx
http://aws.amazon.com/jp/iam/partners/

IAM 모범 사용 사례 （１）
 각 사용자에 대해 별도의 IAM 사용자를 생성
 권한 관리는 사용자가 아닌 그룹에 할당
 최소 권한 부여의 원칙
 높은 복잡도의 암호 정책
 권한이 있는 IAM 사용자 계정은 MFA 사용

IAM 모범 사용 사례 （２）
 EC2 인스턴스에서는 IAM Role 을 사용
 권한의 공유는 IAM Role 을 사용
 인증 정보는 정기적으로 업데이트
 Condition 을 사용하여 접근 권한에 대한 세부 조건을 지정
 AWS root 계정은 최대한 사용을 자제

정리
• IAM 을 사용하여 보다 안전하게 AWS 서비스의 사용
– 보안 구성 및 권한 제어를 통해 운영에 대한 실수도 미연에 방지
• STS를 활용하면 AWS 서비스를 모바일에서 백엔드로 사용하는 것도
가능
– 서버 비용 절감 가능
• IAM 자체에는 별도의 비용이 부과되지 않음

참고 자료
• IAM 제품 소개
– http://aws.amazon.com/ko/documentation/iam/
• IAM 베스트 프랙티스
– http://docs.aws.amazon.com/IAM/latest/UserGuide/IAMBestPractices.html
• AWS Security Blog
– http://blogs.aws.amazon.com/security/

20150109 - AWS BlackBelt - IAM (Korean)

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (20)

Andere mochten auch

Andere mochten auch (11)

Ähnlich wie 20150109 - AWS BlackBelt - IAM (Korean)

Ähnlich wie 20150109 - AWS BlackBelt - IAM (Korean) (20)

Mehr von Amazon Web Services Korea

Mehr von Amazon Web Services Korea (20)

20150109 - AWS BlackBelt - IAM (Korean)