[SAA-C03] 5. 자격증명 보고서와 액세스 관리자

자격 증명 보고서 ( = IAM Credentials Report )

 

제목의 둘은 IAM 보안 도구로 묶이는 도구들인데, 도구라고 해서 거창한 것은 아니고 권한을 체크하는 버튼 두 개일 뿐이다.

IAM 자격 증명 보고서 ( = IAM Credentials Report )는 계정 레벨에서 사용이 가능하며, 모든 사용자의 정보를 볼 수 있다.

보고서는 계정에 있는 사용자와 다양한 자격 증명의 상태를 포함하고 있는데, 여기에는 MFA 인증 여부 따위의 정보가 나온다.

이는 보안 관리자에게 어떤 사용자에게 주목해야 하는지 정보를 제공해준다.

IAM 대시보드 좌측 사이드에서 자격 증명 보고서를 누르고, 보안 인증 보고서 다운로드 버튼을 누르면 CSV 형태로 볼 수 있다.

 

액세스 관리자 ( = IAM Access Advisor )

 

두번째 보안도구는 IAM 액세스 관리자 ( = IAM Access Advisor ) 로 유저 레벨에서 사용이 가능하다.

액세스 관리자는 사용자에게 부여된 서비스의 권한과 해당 서비스에 마지막으로 액세스한 시간이 나온다.

이는 최소 권한의 원칙에 맞게 사용자를 관리하도록 매우 도움이 되는 도구로, 해당 도구를 사용하여 불필요한 권한을 파악할 수 있다.

 

IAM 모범 사례

마지막으로 지금까지 배운 내용에 대한 정리로, 보안을 위한 IAM 모범 사례를 나열한다.

• 사용자를 추가하거나 수정하는 것 외에는 루트 계정을 사용하지말라.
• 하나의 AWS 사용자는 하나의 사용자를 갖는 것이 옳으니 자격 증명을 공유하지 말라.
• 사용자를 그룹에 할당하여 그룹으로 권한을 주어라.
• 강한 비밀번호 정책을 사용하라.
• MFA를 사용하라.
• AWS 서비스에 권한을 줄 때마다 역할을 생성하여 사용하라. ( ex. EC2 Instance )
• AWS 프로그래밍을 할 경우, 즉, CLI, SDK를 사용할 경우 Access Key는 절대 공유하지말라.
• 계정의 권한을 감사할 때에는 IAM 자격 증명 보고서와 IAM Access Advisor를 사용하라.