IAM 최소 권한 학습: 작업·리소스·조건을 함께 좁히기

AWS IAM 보안 모범 사례 문서를 읽으며, 최소 권한을 검토할 때 구분해야 할 네 가지를 정리했습니다. 이 글은 문서 기반 학습 노트입니다.

서비스 이름보다 작업 목록부터

최소 권한 정책은 필요한 작업(Action)을 특정 리소스(Resource)에 대해, 필요한 조건(Condition) 아래 허용하도록 좁혀 갑니다. 따라서 “이 서비스에 접근해야 한다”에서 멈추지 않고, 어떤 작업을 어느 리소스에서 수행해야 하는지 적는 것이 검토의 출발점이라고 이해했습니다. 리소스와 조건의 지원 범위도 각 작업의 권한 문서에서 확인해야 합니다.

관리형 정책의 범위 확인하기

AWS 관리형 정책은 일반적인 사용 사례에 맞춰 제공되므로 특정 작업에 필요한 권한보다 넓을 수 있습니다. 문서는 이후 사용 사례에 맞는 고객 관리형 정책으로 권한을 더 줄여 가도록 권장합니다. 관리형 정책을 연결했다는 사실과 해당 작업에 최소 권한을 부여했다는 판단은 각각 확인해야 합니다.

생성된 정책도 적용 전에 검증하기

IAM Access Analyzer는 CloudTrail에 기록된 접근 활동을 바탕으로 정책 생성을 도울 수 있습니다. 공식 문서는 생성된 정책을 프로덕션에 배포하기 전에 테스트하라고 안내합니다. 최근 사용 정보와 사용하지 않는 사용자·역할·권한도 정기적으로 검토하면, 처음 정한 권한이 계속 필요한지 점검할 수 있습니다.

권한 경계와 권한 부여 구분하기

Permissions boundary는 자격 증명 기반 정책이 부여할 수 있는 권한의 최대 범위를 정하며, 그 자체로 권한을 부여하지 않습니다. 따라서 경계가 설정되어 있는지와 필요한 작업이 실제로 허용되는지를 별도 항목으로 확인해야 합니다.

다음 정책 검토에서는 “필요한 작업 → Action → Resource → Condition → 확인 결과” 순서로 기록해 보려고 합니다. 이 메모에서 실제 계정의 정책을 변경하거나 권한 동작을 검증한 것은 아닙니다.

출처: AWS IAM — Security best practices in IAM
https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html