강의 3. AWS 보안 및 AWS Identity and Access Managment (IAM)::AWSome Day Online Conference

3교시:
보안, 자격 증명 및 액세스 관리

© 2018, Amazon Web Services, Inc. or its Affiliates. All rights reserved.© 2018, Amazon Web Services, Inc. or its Affiliates. All rights reserved.
공동 책임 – AWS
AWS
클라이언트 측 데이터 암호화
및 데이터 무결성 인증
서버 측 암호화
(파일 시스템 및/또는 데이터)
네트워크 트래픽 보호
(암호화/무결성/자격 증명)
플랫폼, 애플리케이션, 자격 증명 및 액세스 관리
운영 체제, 네트워크 및 방화벽 구성
고객 데이터
고객
기초 서비스
컴퓨팅 스토리지 데이터베이스 네트워크
AWS 글로벌
인프라 리전
가용 영역
엣지 로케이션

• 연중무휴 숙련된 경비 요원
• 평범해 보이는 비공개 시설에 위치한AWS 데이터 센터
• 허가받은 직원에 대한 2팩터 인증
• 데이터 센터 액세스에 대한 권한 부여
물리적 보안

하드웨어, 소프트웨어 및 네트워크
• 자동 변경 제어 프로세스
• 모든 액세스 시도를 기록하는 배스천 서버
• 방화벽과 기타 경계 디바이스
• AWS 모니터링 도구

인증 및 인가
ISO 9001, ISO 27001, ISO 27017, ISO 27018, IRAP(호주), MLPS Level 3(중국),
MTCSTier 3 Certification(싱가포르) 등…

SSL 엔드포인트
VPC
보안 전송
SSL/TLS을 이용해 보안
통신 세션(HTTPS) 구축
인스턴스 방화벽
보안 그룹을
사용하여 인스턴스에
대한 방화벽
규칙 구성
SSL 엔드포인트 보안 그룹
네트워크 제어
Virtual Private
Cloud에서 리소스
액세스에 대한 낮은
수준의 네트워킹
제약 조건을 생성
퍼블릭 및 프라이빗
서브넷, NAT
및VPN 지원
SSL 엔드포인트

보안 그룹
SSL 엔드포인트 보안 그룹
보안 그룹을
대한 방화벽
규칙 구성
VPC
보안 전송
네트워크 제어
Virtual Private
서브넷, NAT
및VPN 지원

AWS 멀티 티어 보안 그룹
HTTP
SSH/RDP
80 및 443 포트만
인터넷에 개방
엔지니어링 직원은 배스천
호스트에 대한 SSH/RDP 액세스
권한 보유
다른 모든 인터넷 포트는 기본적으로 차단됨
배스천

AmazonVirtual Private Cloud(VPC)
VPCSSL 엔드포인트 보안 그룹
네트워크 제어
Virtual Private
서브넷, NAT
및VPN 지원
보안 그룹을
대한 방화벽
규칙 구성
보안 전송

AWS Identity and Access Management (IAM)
AWS IAM
3
자격 증명 연동 사용자
및 권한 관리
2
AWS IAM 역할
및 권한 관리
1
AWS IAM 사용자
및 액세스 관리

AWS IAM 인증
인증
AWS Management Console
• 사용자 이름 및 암호
IAM 사용자

AWS IAM 인증
액세스 키 ID: AKIAIOSFODNN7EXAMPLE
비밀 액세스 키: wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
Java Python .NET
AWS SDK 및 APIAWS CLI
인증
AWS CLI 또는 SDK API
• 액세스 키와 비밀 키
IAM 사용자

AWS IAM 사용자 관리 – 그룹
사용자 D
개발 운영 그룹
사용자 C
AWS 계정
테스트 개발 그룹
사용자 B사용자 A

AWS IAM 권한 부여
권한 부여
정책:
• 권한을 설명하는 JSON
문서입니다.
• 사용자, 그룹 또는 역할에
지정됩니다.
IAM 사용자 IAM 그룹
IAM 역할

AWS IAM 정책 요소
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Stmt1453690971587",
"Action": [
"ec2:Describe*",
"ec2:StartInstances",
"ec2:StopInstances”
],
"Effect": "Allow",
"Resource": "*",
"Condition": {
"IpAddress": {
"aws:SourceIp": "54.64.34.65/32”
}
}
},
{
"Sid": "Stmt1453690998327",
"Action": [
"s3:GetObject*”
],
"Effect": "Allow",
"Resource": "arn:aws:s3:::example_bucket*”
}
]
}

AWS IAM 정책 요소
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Stmt1453690971587",
"Action": [
"ec2:Describe*",
"ec2:StartInstances",
"ec2:StopInstances”
],
"Effect": "Allow",
"Resource": "*",
"Condition": {
"IpAddress": {
"aws:SourceIp": "54.64.34.65/32”
}
}
},
{
"Sid": "Stmt1453690998327",
"Action": [
"s3:GetObject*”
],
"Effect": "Allow",
"Resource": "arn:aws:s3:::example_bucket*”
}
]
}
IAM 정책

AWS IAM 정책 지정
IAM 사용자
IAM 그룹
지정됨 지정됨
IAM 정책

IAM 사용자
IAM 그룹
IAM 역할
지정됨 지정됨
지정됨
IAM 정책

AWS IAM 역할
• IAM 역할은 정책을 사용합니다.
• IAM 역할에는 연결된 자격 증명이 없습니다.
• IAM 사용자, 애플리케이션 및 서비스는 IAM 역할을 맡을
수 있습니다.
IAM 역할

IAM 사용자
IAM 그룹
IAM 역할
지정됨 지정됨
지정됨
IAM 정책
IAM 사용자
맡음 맡음
AWS 리소스

© 2018, Amazon Web Services, Inc. or its Affiliates. All rights reserved.© 2018, Amazon Web Services, Inc. or its Affiliates. All rights reserved.© 2018, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

세션
액세스 키 ID
비밀 액세스 키
세션 토큰
만료
임시 보안 자격 증명
15분에서 36시간
사용 사례
교차 계정 액세스
연동
모바일 사용자
Amazon EC2 기반 앱을 위한 키 교체
임시 보안 자격 증명(AWS STS)

애플리케이션 인증
AWS IAM 애플리케이션
지원 안 됨 지원 안 됨
OS

AWS IAM 인증 및 권한 부여
인증
• AWS Management Console
• 사용자 이름 및 암호
• AWS CLI 또는 SDK API
• 액세스 키와 비밀 키
권한 부여
• 정책
IAM 사용자 IAM 그룹
IAM 역할

AWS IAM 모범 사례
• AWS 계정(루트) 액세스 키를 삭제
• 개별 IAM 사용자 생성
• 그룹을 사용하여 IAM 사용자에게 권한을 지정
• 최소한의 권한 부여
• 강력한 암호 정책 구성
• 권한 있는 사용자에 대해 MFA 활성화

AWS IAM 모범 사례(계속)
• Amazon EC2 인스턴스에서 실행되는 애플리케이션에 역할
사용
• 자격 증명을 공유하기보다는 역할을 사용하여 위임
• 자격 증명을 주기적으로 교체
• 불필요한 사용자와 자격 증명을 제거
• 보안 강화를 위해 정책 조건 사용
• AWS 계정 내 활동을 모니터링

AWS 리소스 기반 정책
• IAM에 대한 대안이며, 일부 서비스에서 지원합니다.
• 리소스에 대한 교차 계정 액세스 권한을 부여합니다.
• 보안 주체를 사용하여 정책의 계정을 고유하게
식별합니다.
• 지원되는 AWS 서비스:
 Amazon S3 버킷 정책
 Amazon SNS 주제 정책
 Amazon SQS 대기열 정책
 Amazon Glacier 저장소 정책
 AWS OpsWorks 스택 정책
 AWS Lambda 함수 정책

지식 확인 및 정답
Q: 보유한 웹 애플리케이션에서는 Amazon DynamoDB 테이블 및 Amazon S3
버킷을 읽고 써야 합니다. 이 작업에는 AWS 자격 증명과 AWS 서비스 사용에
대한 권한 부여가 필요합니다. 어떤 서비스를 사용하겠습니까?
AWS IAM 역할

감사합니다
잠시후 4교시가 시작됩니다

온라인 실습 및 교육 과정 공인 강사 교육 과정 AWS 공인 자격증
다양한 온라인 강의
자료 및 실습을 통해
AWS에 대한 기초적인
사용법 및 활용 방법을
익히실 수 있습니다.
AWS 전문 강사가
진행하는 강의를 통해
AWS 아키텍쳐 설계 및
구현에 대한 다양한
온라인 오프라인
강의가 개설되어
있습니다.
AWS 공인 인증 시험을
통해 클라우드에 대한
자신의 전문 지식 및
경험을 공인받고 개발
경력을 제시할 수
있습니다.
무료 온라인 웨비나 강의
https://bit.ly/awskr-webinar AWS 공인 유료 오프라인 강의
http://edu.supertrack.co.kr/
AWS 공인 자격증 안내
https://aws.amazon.com/k
o/certification/
더 자세한 정보: https://aws.amazon.com/ko/training
AWS 교육 관련 정보
기초 실습과정과
비디오를 통해 새로운
사용자가 AWS를 쉽게
시작할 수 있게
도와드립니다.
교육 시작하기
10분 자습서로 AWS
시작하기
https://aws.amazon.com/
ko/start-now/
AWS 시작하기

AWS 코리아 정보 채널
• 공식 블로그 https://aws.amazon.com/ko/blogs/korea
• 도움말 및 기술 백서
• https://aws.amazon.com/ko/documentation
• https://aws.amazon.com/ko/whitepapers
• 소셜 미디어 채널
@AWSKorea
AmazonWebServices
AWSKorea
AWSKorea
AWSome Day Online Conference 에 참여해 주셔서 감사합니다!
설문 조사에 참여해 주시면, 앞으로 필요한 정보를 제공해드리거나
더 나은 행사를 하는데 많은 도움이 될 것입니다.

강의 3. AWS 보안 및 AWS Identity and Access Managment (IAM)::AWSome Day Online Conference

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (20)

Similaire à 강의 3. AWS 보안 및 AWS Identity and Access Managment (IAM)::AWSome Day Online Conference

Similaire à 강의 3. AWS 보안 및 AWS Identity and Access Managment (IAM)::AWSome Day Online Conference (20)

Plus de Amazon Web Services Korea

Plus de Amazon Web Services Korea (20)

강의 3. AWS 보안 및 AWS Identity and Access Managment (IAM)::AWSome Day Online Conference

Notes de l'éditeur