[AWS] IAM: User, Role, Policy, STS

IAM, AWS IAM, IAM Role, IAM Policy, STS, AssumeRole, Identity Center, SSO

정의

IAM (Identity and Access Management) = AWS 의 권한 관리 전부. User, Group, Role, Policy.

객체

flowchart LR
    User["User<br/>(사람)"] -->|attach| Policy
    Group[Group] -->|attach| Policy
    Role["Role<br/>(임시 권한, EC2/Lambda/외부 등)"] -->|attach| Policy
    Policy --> Statement[Effect: Allow/Deny<br/>Action: s3:GetObject<br/>Resource: arn:...]

객체	의미
User	사람 (long-term credentials)
Group	User 묶음
Role	임시 권한 받는 entity (EC2, Lambda, 외부 계정 등)
Policy	권한 표현 (JSON)

Policy 구조

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowListBucket",
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::my-bucket"
    },
    {
      "Sid": "AllowReadObjects",
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::my-bucket/*",
      "Condition": {
        "IpAddress": { "aws:SourceIp": "10.0.0.0/8" }
      }
    }
  ]
}

Policy 종류

종류	의미
AWS Managed	AWS 가 관리 (AmazonS3ReadOnlyAccess)
Customer Managed	사용자 정의, 재사용 가능
Inline	User/Group/Role 에 직접 임베드 (재사용 불가)
Permission Boundary	최대 권한 상한
Service Control Policy (SCP)	Organization 수준
Resource-based Policy	자원에 붙음 (S3 bucket policy 등)

권한 평가 알고리즘

flowchart TD
    Q1{Explicit Deny?}
    Q1 -->|예| Deny[DENY]
    Q1 -->|아니오| Q2{Explicit Allow?}
    Q2 -->|아니오| Deny
    Q2 -->|예| Q3{SCP 차단?}
    Q3 -->|예| Deny
    Q3 -->|아니오| Q4{Permission Boundary 안?}
    Q4 -->|아니오| Deny
    Q4 -->|예| Allow[ALLOW]

Explicit Deny 가 모든 것을 이김.

Role 과 AssumeRole

sequenceDiagram
    User->>STS: AssumeRole(arn:role/admin)
    STS-->>User: temporary credentials (1h-12h)
    User->>S3: API 호출 (임시 credentials)

aws sts assume-role \
  --role-arn arn:aws:iam::123:role/admin \
  --role-session-name my-session

사용	의미
EC2 Role	EC2 가 metadata 로 자동
Lambda Role	함수 실행 권한
Cross-account	다른 계정의 role assume
외부 ID + 신뢰 관계	3rd party (SaaS) 가 우리 계정 접근
Federated (OIDC, SAML)	외부 ID provider

IRSA / Pod Identity (EKS)

자세한 건 aws-eks.

Identity Center (옛 SSO)

flowchart LR
    User --> IC[AWS Identity Center]
    IC --> Acct1[Account A]
    IC --> Acct2[Account B]
    IC --> Acct3[Account C]
    IC -.SAML.-> Okta[Okta / Azure AD]

• organization 의 통합 SSO.
• User 가 로그인 1회로 N 계정 접근.
• short-lived credentials (1시간).

Best Practice

✓ Root user 의 MFA + 일상 사용 금지
✓ User 대신 SSO (Identity Center)
✓ Role 우선 (long-term credentials 회피)
✓ Least privilege (필요한 권한만)
✓ Permission Boundary 로 *최대* 제한
✓ Access Analyzer 로 unused 권한 식별
✓ IAM Access Advisor 로 미사용 확인
✓ MFA 강제
✓ Credentials rotation 정기

흔한 함정

관련 위키

• OAuth2 (비교)
• k8s-rbac (대조)
• aws-secrets-manager
• aws-sts-assume-role