기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
# Amazon VPC Lattice의 자격 증명 기반 정책
기본적으로 사용자 및 역할은 Amazon VPC Lattice 리소스를 생성하거나 수정할 수 있는 권한이 없습니다. 사용자에게 사용자가 필요한 리소스에서 작업을 수행할 권한을 부여하려면 IAM 관리자가 IAM 정책을 생성하면 됩니다.
이러한 예제 JSON 정책 문서를 사용하여 IAM ID 기반 정책을 생성하는 방법을 알아보려면 *IAM 사용 설명서*의 [IAM 정책 생성(콘솔)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)을 참조하세요.
각 리소스 유형에 대한 ARN 형식을 포함하여 VPC Lattice에서 정의한 작업 및 리소스 유형에 대한 자세한 내용은 *서비스 인증 참조*에서 [Amazon VPC Lattice에 대한 작업, 리소스 및 조건 키](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonvpclattice.html)를 참조하세요.
**Topics**
+ [정책 모범 사례](#security_iam_service-with-iam-policy-best-practices)
+ [전체 액세스에 필요한 추가 권한](#security_iam_id-based-policy-additional-permissions)
+ [VPC Lattice에 대한 자격 증명 기반 정책 예시](#security_iam_id-based-policy-examples)
## 정책 모범 사례
자격 증명 기반 정책에 따라 계정에서 사용자가 VPC Lattice 리소스를 생성, 액세스 또는 삭제할 수 있는지 여부가 결정됩니다. 이 작업으로 인해 AWS 계정에 비용이 발생할 수 있습니다. ID 기반 정책을 생성하거나 편집할 때는 다음 지침과 권장 사항을 따르세요.
+ ** AWS 관리형 정책을 시작하고 최소 권한으로 전환 -** 사용자 및 워크로드에 권한 부여를 시작하려면 많은 일반적인 사용 사례에 대한 권한을 부여하는 *AWS 관리형 정책을* 사용합니다. 에서 사용할 수 있습니다 AWS 계정. 사용 사례에 맞는 AWS 고객 관리형 정책을 정의하여 권한을 추가로 줄이는 것이 좋습니다. 자세한 내용은 *IAM 사용 설명서*의 [AWS 관리형 정책](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) 또는 [AWS 직무에 대한 관리형 정책](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)을 참조하세요.
+ **최소 권한 적용** – IAM 정책을 사용하여 권한을 설정하는 경우, 작업을 수행하는 데 필요한 권한만 부여합니다. 이렇게 하려면 *최소 권한*으로 알려진 특정 조건에서 특정 리소스에 대해 수행할 수 있는 작업을 정의합니다. IAM을 사용하여 권한을 적용하는 방법에 대한 자세한 정보는 *IAM 사용 설명서*에 있는 [IAM의 정책 및 권한](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)을 참조하세요.
+ **IAM 정책의 조건을 사용하여 액세스 추가 제한** – 정책에 조건을 추가하여 작업 및 리소스에 대한 액세스를 제한할 수 있습니다. 예를 들어, SSL을 사용하여 모든 요청을 전송해야 한다고 지정하는 정책 조건을 작성할 수 있습니다. AWS 서비스와 같은 특정를 통해 사용되는 경우 조건을 사용하여 서비스 작업에 대한 액세스 권한을 부여할 수도 있습니다 CloudFormation. 자세한 내용은 *IAM 사용 설명서*의 [IAM JSON 정책 요소: 조건](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)을 참조하세요.
+ **IAM Access Analyzer를 통해 IAM 정책을 확인하여 안전하고 기능적인 권한 보장** - IAM Access Analyzer에서는 IAM 정책 언어(JSON)와 모범 사례가 정책에서 준수되도록 새로운 및 기존 정책을 확인합니다. IAM Access Analyzer는 100개 이상의 정책 확인 항목과 실행 가능한 추천을 제공하여 안전하고 기능적인 정책을 작성하도록 돕습니다. 자세한 내용은 *IAM 사용 설명서*의 [IAM Access Analyzer에서 정책 검증](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)을 참조하세요.
+ **다중 인증(MFA) 필요 -**에서 IAM 사용자 또는 루트 사용자가 필요한 시나리오가 있는 경우 추가 보안을 위해 MFA를 AWS 계정켭니다. API 작업을 직접적으로 호출할 때 MFA가 필요하면 정책에 MFA 조건을 추가합니다. 자세한 내용은 *IAM 사용 설명서*의 [MFA를 통한 보안 API 액세스](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)를 참조하세요.
IAM의 모범 사례에 대한 자세한 내용은 *IAM 사용 설명서*의 [IAM의 보안 모범 사례](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)를 참조하세요.
## 전체 액세스에 필요한 추가 권한
VPC Lattice가 통합된 다른 AWS 서비스와 전체 VPC Lattice 기능 제품군을 사용하려면 특정 추가 권한이 있어야 합니다. [혼동된 대리자](https://docs.aws.amazon.com//IAM/latest/UserGuide/confused-deputy.html) 권한 에스컬레이션 위험 때문에 이러한 권한은 `VPCLatticeFullAccess` 관리형 정책에 포함되지 않습니다.
다음 정책을 역할에 연결하고 `VPCLatticeFullAccess` 관리형 정책과 함께 사용해야 합니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"firehose:TagDeliveryStream",
"lambda:AddPermission",
"s3:PutBucketPolicy"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"logs:PutResourcePolicy"
],
"Resource": "*",
"Condition": {
"ForAnyValue:StringEquals": {
"aws:CalledVia": [
"vpc-lattice.amazonaws.com"
]
}
}
},
{
"Effect": "Allow",
"Action": [
"iam:AttachRolePolicy",
"iam:PutRolePolicy"
],
"Resource": "arn:aws:iam::*:role/aws-service-role/vpc-lattice.amazonaws.com/AWSServiceRoleForVpcLattice"
},
{
"Effect": "Allow",
"Action": [
"iam:AttachRolePolicy",
"iam:PutRolePolicy"
],
"Resource": "arn:aws:iam::*:role/aws-service-role/delivery.logs.amazonaws.com/AWSServiceRoleForLogDelivery*"
}
]
}
```
------
이 정책은 다음과 같은 추가 권한을 제공합니다.
+ `iam:AttachRolePolicy`: 지정된 관리형 정책을 지정된 IAM 역할에 연결하도록 허용합니다.
+ `iam:PutRolePolicy`: 지정된 IAM 역할에 포함된 인라인 정책 문서를 추가 또는 업데이트하도록 허용합니다.
+ `s3:PutBucketPolicy`: Amazon S3 버킷에 버킷 정책을 적용하도록 허용합니다.
+ `firehose:TagDeliveryStream`: Firehose 전송 스트림에 태그를 추가 또는 업데이트하도록 허용합니다.
## VPC Lattice에 대한 자격 증명 기반 정책 예시
**Topics**
+ [예제 정책: 서비스 네트워크에 대한 VPC 연결 관리](#security_iam_id-based-policy-examples-vpc-to-service-network-association)
+ [예제 정책: 서비스 네트워크에 대한 서비스 연결 생성](#security_iam_id-based-policy-examples-service-to-service-network-association)
+ [예제 정책: 리소스에 태그 추가](#security_iam_id-based-policy-examples-tag-resources)
+ [예제 정책: 서비스 연결 역할 생성](#security_iam_id-based-policy-examples-service-linked-role)
### 예제 정책: 서비스 네트워크에 대한 VPC 연결 관리
다음 예시는 이 정책의 사용자에게 서비스 네트워크에 대한 VPC 연결을 생성, 업데이트, 삭제할 수 있는 권한을 부여하는 정책을 보여줍니다. 단, 조건에 지정된 VPC와 서비스 네트워크에 한합니다. 조건 키 지정에 대한 자세한 내용은 [VPC Lattice에 사용되는 정책 조건 키](security_iam_service-with-iam.md#security_iam_service-with-iam-id-based-policies-conditionkeys) 섹션을 참조하세요.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"vpc-lattice:CreateServiceNetworkVpcAssociation",
"vpc-lattice:UpdateServiceNetworkVpcAssociation",
"vpc-lattice:DeleteServiceNetworkVpcAssociation"
],
"Resource": [
"*"
],
"Condition": {
"StringEquals": {
"vpc-lattice:ServiceNetworkArn": "arn:aws:vpc-lattice:us-west-2:123456789012:servicenetwork/sn-903004f88example",
"vpc-lattice:VpcId": "vpc-1a2b3c4d"
}
}
}
]
}
```
------
### 예제 정책: 서비스 네트워크에 대한 서비스 연결 생성
조건 키를 사용하여 VPC Lattice 리소스에 대한 액세스를 제어하지 않는 경우 `Resource` 요소에 리소스의 ARN을 지정하여 대신 액세스를 제어할 수 있습니다.
다음 예시는 이 정책의 사용자가 `CreateServiceNetworkServiceAssociation` API 작업에 사용할 수 있는 서비스 및 서비스 네트워크의 ARN을 지정하여 서비스 연결을 서비스 네트워크로 제한하는 정책을 보여줍니다. ARN 값을 지정하는 방법에 대한 자세한 내용은 [VPC Lattice를 위한 정책 리소스](security_iam_service-with-iam.md#security_iam_service-with-iam-id-based-policies-resources) 섹션을 참조하세요.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"vpc-lattice:CreateServiceNetworkServiceAssociation"
],
"Resource": [
"arn:aws:vpc-lattice:us-west-2:123456789012:servicenetworkserviceassociation/*",
"arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-04d5cc9b88example",
"arn:aws:vpc-lattice:us-west-2:123456789012:servicenetwork/sn-903004f88example"
]
}
]
}
```
------
### 예제 정책: 리소스에 태그 추가
다음 예시는 이 정책의 사용자에게 VPC Lattice 리소스에 태그를 생성할 수 있는 권한을 부여하는 정책을 보여줍니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"vpc-lattice:TagResource"
],
"Resource": "arn:aws:vpc-lattice:us-west-2:123456789012:*/*"
}
]
}
```
------
### 예제 정책: 서비스 연결 역할 생성
VPC Lattice에는의 사용자가 VPC Lattice 리소스를 처음 생성할 때 서비스 연결 역할을 AWS 계정 생성할 수 있는 권한이 필요합니다. 서비스 연결 역할이 아직 존재하지 않으면 VPC Lattice에서 해당 역할을 계정에 생성합니다. 서비스 연결 역할은 사용자를 대신하여 다른를 호출할 수 있도록 VPC Lattice AWS 서비스 에 권한을 부여합니다. 자세한 내용은 [Amazon VPC Lattice에 서비스 연결 역할 사용](using-service-linked-roles.md) 단원을 참조하십시오.
역할 자동 생성이 성공하려면 사용자가 `iam:CreateServiceLinkedRole` 작업에 대한 권한을 보유해야 합니다.
```
"Action": "iam:CreateServiceLinkedRole"
```
다음 예시는 이 정책의 사용자에게 VPC Lattice에 대한 서비스 연결 역할을 생성할 수 있는 권한을 부여하는 정책을 보여줍니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "iam:CreateServiceLinkedRole",
"Resource": "arn:aws:iam::*:role/aws-service-role/vpc-lattice.amazonaws.com/AWSServiceRoleForVpcLattice",
"Condition": {
"StringLike": {
"iam:AWSServiceName":"vpc-lattice.amazonaws.com"
}
}
}
]
}
```
------
자세한 내용은 *IAM 사용 설명서*의 [서비스 연결 역할 권한](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)을 참조하세요.