AWS IAM 설정하기

AWS에서 root 사용자는 강력한 권한을 가지고 있기에 탈취를 당한다면 많은 고통을 받게 된다. 따라서 최대한 Root 계정을 보호 하고자 IAM 사용자를 따로 만들어 사용하게 된다. IAM 사용자를 설정하는 방법에 대해 알아보자

 

Root 사용자

• 계정을 생성할때 같이 생성되는 사용자
• 계정의 모든 권한을 가지고 있으며 계정 권한을 제한할 방법이 없음
  • 루트 계정은 모든 권한을 가지고 있으며 루트 계정을 제한할 다른 계정이 없기에 탈취당했을 때 복구가 매우 어렵다.
  • 따라서 루트 계정이 탈취 당한다면 악의적인 사용자가 비트코인 채굴등 악의 적으로 사용하면 막을 방법이 없다.
  • 따라서 MFA는 필수 적으로 설정해야 한다.
    • OTP 또는 보안키 사용
• Root 사용자만 사용 가능한 작업
  • AWS 계정 설정 변경(매인 이메일 주소, 계정 이름, 연락처 정보 등)
  • 요금 관련 설정(IAM 유저에게 위임 가능)
  • AWS Support Plan(지원 플랜) 구독, 변경, 취소
  • AWS 계정 삭제
• Root 사용자만 사용 가능한 작업을 제외 하고는 Root 사용자를 사용할 필요가 없다. 그 대신 IAM 사용자를 사용하자.

IAM 사용자

• IAM(Identity and Access Managerment)을 통해 생성한 사용자
• 생성 시 권한이 따로 부여되어 있지 않으며 정책 혹은 그룹을 통해 권한을 부여받아 활동
  • 관리자 IAM User, 개발자 IAM User, 디자이너 IAM User 등 나누어 권한을 관리 할 수 있다.
• 계정이 탈취당하더라도 정책이나 권한을 박탈하면 되기에 IAM 사용자로 발생하는 피해를 멈출 수 있다. 

 

IAM 설정하기

검색창에 IAM을 검색 한 후 IAM 대시보드에 들어가 주자

대시보드에 들어가면 AWS 계정이 보일것이다. 먼저 AWS 별칭을 설정해 줄것이다. 계정의 ID가 있지만 앞으로 AWS 계정을 사용함에 있어 ID를 일일이 외우거나 구별하기 힘들기 때문에 따로 별칭을 설정해 주는것이다.

 

별칭 생성이 완료되었다면 사용자를 설정해 줄것이다. 왼쪽 베너의 사용자를 클릭해 주고 사용자를 생성해 주자

 

 

사용자 세부정보

사용자 이름을 설정해 주고 IAM 사용자 생성을 클릭한다. 그리고 사용자가 사용할 암호를 입력하면 된다. 이 계정은 우리가 계속 사용할 계정이기에 다음 로그인 시에 새 암호를 생성할 필요는 없다.

 

권한 설정

그후 권한 설정을 해줘야 하는데 admin 계정으로 생성하였으니 관리자 권한을 주었다.

 

 

그 후 생성된 사용자의 csv파일을 다운로드 해 주자

 

 

사용자 목록으로 돌아가 admin 계정도 MFA 설정을 해주자. admin의 권한을 주었기에 강력한 권한을 가지고 있다. 이 계정 역시 탈취를 당한다면 많은 고통을 받을 수 있다.

 

 

admin 계정도 MFA 설정이 완료 되었다면 로그아웃 하고 좀전에 다운받은 csv파일을 url을 검색해 보자 그럼 IAM으로 로그인 할수 있는 창이 나온다. 우리가 설정한 admin 과 비밀번호를 입력하고 MFA 인증까지 마쳐주자

 

이렇게 로그인 된 admin 계정은 root 계정의 기능 몇가지를 제외하고는 거의 모든 기능을 사용할 수 있다. 여기서 우리가 따로 설정해 주어야 하는 것은 비용 및 사용량에 대한 정보가 액세스 거부 되어 있다. 이것은 우리가 root 계정으로 로그인 한 후 다시 권한을 설정 해 주어야 한다.

 

 

IAM계정 비용 및 사용량 권한

다시 admin 계정을 로그아웃 한 후 root 계정으로 로그인 해 주자 그 후 우축 상단의 계정을 클릭해 주고 아래로 내려가 보면 결제 정보에 대한 IAM 사용자 및 역할 엑세스를 확인 할 수 있다.

편집을 통해 IAM 액세스 활성화를 클릭해 주고 업데이트를 해주면 이제 권한이 있는 IAM은 비용 및 사용량을 확인 할 수 있게 된다. admin 계정은 당연히 비용을 볼 수 있는 권한이 포함되어 있다.

 

다시 admin 계정으로 로그인 해 보면 이제는 액세스 거부가 아니라 아직 사용 데이터가 없어 데이터 이용 불가 라고 나오는 것을 확인 할 수 있다.