기본 콘텐츠로 건너뛰기

AWS IAM 권한 실수 방지 가이드 (백엔드 개발자를 위한)

AWS IAM 권한 실수 방지 가이드 (백엔드 개발자를 위한)

안녕하세요! 오늘은 AWS IAM(Identity and Access Management) 권한을 안전하게 관리하는 방법에 대해 알아보겠습니다. 특히 백엔드 개발자들이 자주 실수하는 부분들을 중심으로 설명드리겠습니다.

1. IAM 기본 원칙

1.1 최소 권한 원칙

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::your-bucket/your-prefix/*"
        }
    ]
}

1.2 권한 분리

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::read-only-bucket/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::write-only-bucket/*"
        }
    ]
}

2. 자주 발생하는 실수와 해결법

2.1 과도한 권한 부여

# 나쁜 예시
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": ["s3:*"],
            "Resource": "*"
        }
    ]
}

# 좋은 예시
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::your-bucket/your-prefix/*"
        }
    ]
}

2.2 조건부 권한 미사용

# 나쁜 예시
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": ["s3:PutObject"],
            "Resource": "arn:aws:s3:::your-bucket/*"
        }
    ]
}

# 좋은 예시
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": ["s3:PutObject"],
            "Resource": "arn:aws:s3:::your-bucket/*",
            "Condition": {
                "StringEquals": {
                    "s3:x-amz-server-side-encryption": "AES256"
                }
            }
        }
    ]
}

3. 권한 관리 모범 사례

3.1 IAM 역할 생성

def create_iam_role():
    iam = boto3.client('iam')

    assume_role_policy = {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Principal": {
                    "Service": "ec2.amazonaws.com"
                },
                "Action": "sts:AssumeRole"
            }
        ]
    }

    response = iam.create_role(
        RoleName='EC2S3AccessRole',
        AssumeRolePolicyDocument=json.dumps(assume_role_policy)
    )

    return response['Role']['Arn']

3.2 권한 정책 연결

def attach_policy_to_role():
    iam = boto3.client('iam')

    policy_document = {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": [
                    "s3:GetObject",
                    "s3:PutObject"
                ],
                "Resource": "arn:aws:s3:::your-bucket/*"
            }
        ]
    }

    response = iam.create_policy(
        PolicyName='S3AccessPolicy',
        PolicyDocument=json.dumps(policy_document)
    )

    iam.attach_role_policy(
        RoleName='EC2S3AccessRole',
        PolicyArn=response['Policy']['Arn']
    )

4. 권한 모니터링

4.1 CloudTrail 로깅 설정

def enable_cloudtrail():
    cloudtrail = boto3.client('cloudtrail')

    response = cloudtrail.create_trail(
        Name='IAMActivityTrail',
        S3BucketName='your-logging-bucket',
        IncludeGlobalServiceEvents=True,
        IsMultiRegionTrail=True
    )

    cloudtrail.start_logging(
        Name='IAMActivityTrail'
    )

    return response['TrailARN']

4.2 IAM 액세스 분석기 설정

def enable_access_analyzer():
    accessanalyzer = boto3.client('accessanalyzer')

    response = accessanalyzer.create_analyzer(
        analyzerName='IAMAnalyzer',
        type='ACCOUNT'
    )

    return response['arn']

5. 권한 검토 및 정리

5.1 미사용 권한 검사

def check_unused_permissions():
    iam = boto3.client('iam')

    # 사용자 목록 가져오기
    users = iam.list_users()['Users']

    for user in users:
        # 사용자의 정책 목록 가져오기
        policies = iam.list_attached_user_policies(
            UserName=user['UserName']
        )['AttachedPolicies']

        # 미사용 정책 확인
        for policy in policies:
            last_used = iam.get_policy_last_used(
                PolicyArn=policy['PolicyArn']
            )

            if not last_used['LastUsed']:
                print(f"Unused policy found: {policy['PolicyName']}")

5.2 권한 정리

def clean_up_permissions():
    iam = boto3.client('iam')

    # 사용자 목록 가져오기
    users = iam.list_users()['Users']

    for user in users:
        # 사용자의 정책 목록 가져오기
        policies = iam.list_attached_user_policies(
            UserName=user['UserName']
        )['AttachedPolicies']

        # 미사용 정책 제거
        for policy in policies:
            last_used = iam.get_policy_last_used(
                PolicyArn=policy['PolicyArn']
            )

            if not last_used['LastUsed']:
                iam.detach_user_policy(
                    UserName=user['UserName'],
                    PolicyArn=policy['PolicyArn']
                )

6. 보안 모범 사례

6.1 MFA 강제 설정

def enforce_mfa():
    iam = boto3.client('iam')

    mfa_policy = {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Deny",
                "Action": "*",
                "Resource": "*",
                "Condition": {
                    "BoolIfExists": {
                        "aws:MultiFactorAuthPresent": "false"
                    }
                }
            }
        ]
    }

    response = iam.create_policy(
        PolicyName='MFAPolicy',
        PolicyDocument=json.dumps(mfa_policy)
    )

    return response['Policy']['Arn']

6.2 비밀번호 정책 설정

def set_password_policy():
    iam = boto3.client('iam')

    iam.update_account_password_policy(
        MinimumPasswordLength=12,
        RequireSymbols=True,
        RequireNumbers=True,
        RequireUppercaseCharacters=True,
        RequireLowercaseCharacters=True,
        AllowUsersToChangePassword=True,
        MaxPasswordAge=90,
        PasswordReusePrevention=24,
        HardExpiry=False
    )

7. 권한 위임

7.1 권한 경계 설정

def set_permissions_boundary():
    iam = boto3.client('iam')

    boundary_policy = {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": [
                    "s3:GetObject",
                    "s3:PutObject"
                ],
                "Resource": "arn:aws:s3:::your-bucket/*"
            }
        ]
    }

    response = iam.create_policy(
        PolicyName='PermissionsBoundary',
        PolicyDocument=json.dumps(boundary_policy)
    )

    return response['Policy']['Arn']

7.2 권한 위임 설정

def delegate_permissions():
    iam = boto3.client('iam')

    delegation_policy = {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": [
                    "iam:CreateUser",
                    "iam:CreateAccessKey"
                ],
                "Resource": "*",
                "Condition": {
                    "StringEquals": {
                        "iam:PermissionsBoundary": "arn:aws:iam::account-id:policy/PermissionsBoundary"
                    }
                }
            }
        ]
    }

    response = iam.create_policy(
        PolicyName='DelegationPolicy',
        PolicyDocument=json.dumps(delegation_policy)
    )

    return response['Policy']['Arn']

결론

AWS IAM 권한을 안전하게 관리하는 것은 클라우드 보안의 핵심입니다. 이 가이드에서 설명한 모범 사례를 따르면 권한 관련 실수를 방지하고, 더 안전한 AWS 환경을 구축할 수 있습니다. 추가적인 질문이나 궁금한 점이 있으시면 댓글로 남겨주세요!

라벨:

댓글

댓글 쓰기

이 블로그의 인기 게시물

Django에서 트랜잭션 관리하기

Django에서 트랜잭션 관리하기 안녕하세요! 오늘은 Django에서 데이터베이스 트랜잭션을 효과적으로 관리하는 방법에 대해 알아보겠습니다. 1. 트랜잭션의 중요성 트랜잭션은 데이터베이스의 일관성과 무결성을 보장하는 중요한 개념입니다. Django에서는 여러 가지 방법으로 트랜잭션을 관리할 수 있습니다. 1.1 기본 개념 원자성(Atomicity) : 트랜잭션은 모두 실행되거나 모두 실행되지 않아야 합니다. 일관성(Consistency) : 트랜잭션 전후로 데이터베이스의 일관성이 유지되어야 합니다. 격리성(Isolation) : 동시에 실행되는 트랜잭션들이 서로 영향을 주지 않아야 합니다. 지속성(Durability) : 완료된 트랜잭션의 결과는 영구적으로 저장되어야 합니다. 2. Django의 트랜잭션 관리 2.1 기본 설정 # settings.py DATABASES = { 'default': { 'ENGINE': 'django.db.backends.postgresql', 'NAME': 'mydatabase', 'USER': 'myuser', 'PASSWORD': 'mypassword', 'HOST': 'localhost', 'PORT': '5432', 'ATOMIC_REQUESTS': True, # 모든 뷰를 트랜잭션으로 래핑 } } 2.2 데코레이터 사용 from django.db import transaction @transaction.atomic def create_order(user, items): order = Order.objects.create(user=...
댓글 쓰기
자세한 내용 보기

AWS S3 + CloudFront로 정적 파일 서빙 완전 가이드

AWS S3 + CloudFront로 정적 파일 서빙 완전 가이드 안녕하세요! 오늘은 AWS S3와 CloudFront를 사용하여 정적 파일을 효율적으로 서빙하는 방법에 대해 알아보겠습니다. 왜 S3와 CloudFront를 사용할까요? 높은 가용성 : AWS의 글로벌 인프라를 활용 빠른 전송 속도 : CloudFront의 CDN 기능으로 전 세계 사용자에게 빠른 전송 비용 효율성 : 사용한 만큼만 지불 보안 : AWS의 보안 기능 활용 확장성 : 트래픽 증가에 자동 대응 1. S3 버킷 설정 1.1 버킷 생성 및 설정 import boto3 def create_s3_bucket(): s3 = boto3.client('s3') # 버킷 생성 bucket_name = 'your-static-files-bucket' s3.create_bucket( Bucket=bucket_name, CreateBucketConfiguration={ 'LocationConstraint': 'ap-northeast-2' } ) # 버킷 정책 설정 bucket_policy = { "Version": "2012-10-17", "Statement": [ { "Sid": "PublicReadGetObject", "Effect": "Allow", "Principal": "*", "Action": "s3:GetObje...
댓글 쓰기
자세한 내용 보기

Python에서 asyncio 완전 정복 (await, async, gather 등)

어휴, 요즘 파이썬으로 비동기 프로그래밍 하는 재미에 푹 빠졌어요! 특히 asyncio 는 정말 마법 같더라고요. 처음엔 좀 낯설었는데, 익숙해지니까 속도 향상이 눈에 띄게 느껴져서 완전 반해버렸습니다. 이 글에선 제가 asyncio 를 배우면서 깨달은 점들을 풀어놓을게요. 혹시 비동기 프로그래밍이 뭔지 잘 모르시겠다면, 간단히 말해 여러 작업을 동시에 처리해서 프로그램 속도를 엄청나게 높이는 기술이라고 생각하시면 돼요. 마치 여러 요리사가 동시에 음식을 만들어서 손님에게 빨리 제공하는 것과 비슷하죠! 일단 async 와 await 라는 녀석들이 핵심인데요, async 는 함수 앞에 붙여서 "얘는 비동기 함수야!"라고 선언하는 거예요. 그리고 await 는 다른 비동기 함수가 끝날 때까지 기다리라고 지시하는 역할을 하죠. 예를 들어, 네트워크에서 데이터를 가져오는 함수가 있다면, await 를 사용해서 데이터가 다 가져올 때까지 기다렸다가 다음 작업을 진행할 수 있어요. 그 동안 다른 작업을 처리할 수 있으니, 마치 멀티태스킹을 하는 것처럼 느껴져요. 신기하지 않나요? 그리고 asyncio.gather 는 여러 비동기 함수를 동시에 실행하고 결과를 모아주는 아주 유용한 친구입니다. 제가 웹사이트 여러 개에서 데이터를 동시에 가져와야 할 때 정말 요긴하게 썼어요. 하나씩 순서대로 가져오는 것보다 훨씬 빠르더라고요! 마치 여러 개의 탭을 동시에 열어놓고 작업하는 것과 같다고 생각하시면 될 것 같아요. 실제로 제가 썼던 코드를 보여드릴게요. 세 개의 웹사이트에서 데이터를 가져오는 예제인데요. (아래 코드 삽입) 이 코드를 보시면, fetch_data 함수가 각 웹사이트에서 데이터를 가져오는 역할을 하고, asyncio.gather 가 이 함수들을 동시에 실행하도록 도와주는 것을 볼 수 있을 거예요. asyncio.sleep(2) 는 네트워크 지연을 시뮬레이션하기 위해 넣...
댓글 쓰기
자세한 내용 보기