Amazon Simple Storage Service (S3)

Amazon Simple Storage Service (S3) 정보

Amazon S3 커넥터는 객체 페이로드를 읽지 않고 정책, 암호화, 버전 관리, 로깅, 알림, 퍼블릭 액세스 차단 및 관련 설정 등 버킷 구성의 인벤토리를 수집합니다. Iru는 사용자가 자신의 계정에 생성한 IAM 역할을 수임합니다(외부 ID를 사용하는 sts:AssumeRole). 이를 통해 증거는 저장된 파일 내용이 아니라 버킷이 구성된 방식에 집중됩니다.

작동 방식

Iru는 자체 AWS 계정에서 실행됩니다. S3 버킷 구성(기본적으로 객체 페이로드는 제외)의 인벤토리를 수집하려면, 신뢰 정책이 Iru의 AWS 보안 주체를 참조하고 마법사의 External ID를 필수로 요구하며, 권한 정책이 팀에서 승인한 메타데이터 읽기만 허용하는 IAM 역할을 생성합니다. AmazonS3ReadOnlyAccess 정책만 단독으로 사용하기보다는 아래의 인라인 정책을 사용하는 것이 좋습니다. 관리형 정책에는 s3:GetObject 권한이 포함되어 있으며, 많은 팀이 메타데이터 전용 통합에서는 이를 허용하지 않습니다. 그런 다음 역할의 ARN을 Iru에 붙여 넣습니다.

세부 정보	값
카테고리	스토리지
인증	교차 계정 IAM 역할

참고 자료: S3 사용 설명서, 액세스 관리.

사전 요구 사항

역할을 생성하고 인라인 정책을 연결할 수 있는 IAM 권한.
사용자의 커넥터에 표시되는 실제 보안 주체(principal) + 외부 ID 쌍 - 이전 스크린샷에 표시된 샘플 ID와 다를 수 있습니다.

Amazon S3를 Iru에 연결

Iru Compliance
AWS

여기서 시작하세요. 소스 마법사를 열고 신뢰 정책을 복사합니다(외부 ID도 기록해 두세요). AWS에서 역할을 생성할 준비가 되면 AWS 탭으로 전환하여 AWS에서 IAM 역할 생성을 따르세요. Role ARN을 확보한 후 Iru Compliance 탭으로 돌아와 아래의 Iru에서 역할 ARN 제출을 완료하세요.

Iru에서 신뢰 정책 가져오기

소스 열기

Iru Compliance의 왼쪽 탐색 모음에서 컴플라이언스를 펼치고 소스를 선택합니다.

AWS S3 켜기

AWS S3를 찾습니다(범주 또는 이름 또는 설명으로 검색 사용). 해당 카드에서 토글을 켭니다. Iru가 외부 서비스에 대한 액세스를 요청하고 있습니다 마법사 탭은 열어 둡니다.

신뢰 정책 JSON 복사

마법사에는 IAM 역할에서 사용해야 하는 신뢰 정책 JSON(Principal 및 sts:ExternalId)이 표시됩니다. 아래는 구조의 예시입니다. 계정, 보안 주체 ARN 및 외부 ID가 정확히 일치하도록 마법사에 표시된 실제 JSON을 복사하세요.

copy=false

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::753695775620:role/IruConnect"
      },
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "YOUR_EXTERNAL_ID"
        }
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

AWS로 전환하여 역할 생성

참고용으로 Iru 마법사 탭을 열어 둔 채 AWS 탭으로 전환하여 AWS에서 IAM 역할 생성을 따르세요.

Iru에서 역할 ARN 제출

새 역할의 Role ARN을 확보할 수 있도록 먼저 AWS 탭(AWS에서 IAM 역할 생성까지)을 완료하세요.

IAM Role ARN 붙여 넣기

Iru 마법사 탭으로 돌아갑니다. 커넥터가 요청하는 위치에 Role ARN을 붙여 넣습니다.

연결 완료

Submit Role을 선택합니다. 연결에 성공하면 마법사에 연결 구성됨이 표시됩니다.

소스가 활성인지 확인

Iru가 외부 서비스에 대한 액세스를 요청하고 있습니다 브라우저 탭을 닫은 다음 컴플라이언스 → 소스로 돌아가 AWS S3 카드가 활성 상태인지 확인합니다.

이 역할을 생성하기 전에 Iru Compliance 탭에서 Iru에서 신뢰 정책 가져오기를 완료하세요. Trusted entity를 구성할 때는 실제 마법사의 외부 ID와 신뢰 정책을 사용하세요.

AWS에서 IAM 역할 생성

역할 생성 워크플로 시작

IAM → Roles → Create role을 엽니다.

신뢰할 수 있는 엔터티 구성

AWS account → Another AWS account를 선택합니다. 753695775620(또는 Iru에 표시된 ID)을 입력합니다. Require external ID를 활성화하고 Iru의 값을 붙여 넣습니다.

광범위한 관리형 정책 건너뛰기(선택 사항)

다음 단계에서 메타데이터 전용 인라인 정책을 사용할 계획이라면 AmazonS3ReadOnlyAccess 정책을 연결하지 않고 관리형 정책 선택 화면을 넘어갑니다.

메타데이터 전용 인라인 정책 생성

필요한 경우 임시 이름으로 역할을 생성한 다음, 역할 → 권한 → Create inline policy → JSON 편집기를 엽니다. 다음을 붙여 넣습니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets",
        "s3:GetBucketLocation",
        "s3:GetBucketPolicy",
        "s3:GetBucketPolicyStatus",
        "s3:GetBucketAcl",
        "s3:GetBucketVersioning",
        "s3:GetBucketTagging",
        "s3:GetBucketLogging",
        "s3:GetBucketNotification",
        "s3:GetBucketPublicAccessBlock",
        "s3:GetEncryptionConfiguration",
        "s3:GetLifecycleConfiguration",
        "s3:GetReplicationConfiguration",
        "s3:GetBucketCORS",
        "s3:GetBucketWebsite",
        "s3:GetBucketObjectLockConfiguration"
      ],
      "Resource": "*"
    }
  ]
}

인라인 정책을 저장합니다.

이 정책은 의도적으로 s3:GetObject 및 관련 객체 읽기 API를 제외하므로 Iru는 객체 본문을 가져올 수 없으며 버킷 수준 메타데이터만 가져옵니다.

역할 ARN 복사

역할 요약 페이지에서 역할 ARN을 복사합니다. Iru Compliance 탭으로 다시 전환하여 Iru에서 역할 ARN 제출을 완료하세요.

신뢰 관계 확인

Trust relationships를 열고 JSON이 마법사와 일치하는지 확인합니다. 외부 ID 오타는 AssumeRole 실패의 일반적인 원인입니다.

Iru Compliance 탭에서 계속 진행하여 Role ARN을 붙여 넣고 마법사를 완료하세요(Iru에서 역할 ARN 제출).

문제 해결

소스를 켰을 때 아무것도 열리지 않음

Iru 사이트의 팝업 차단 설정을 확인한 후 다시 시도하세요.

AssumeRole 거부됨

외부 ID가 일치하지 않습니다. 불필요한 공백 없이 Iru에서 다시 복사하세요.

버킷 정책 행 누락

IAM에서 허용하더라도 버킷 리소스 정책이 교차 계정 읽기를 거부할 수 있습니다.

암호화 설정 없음

인라인 정책에 s3:GetEncryptionConfiguration이 남아 있는지 확인하세요.

고려 사항

버킷은 리전별이지만 ListAllMyBuckets는…

버킷은 리전별이지만 ListAllMyBuckets는 글로벌입니다. 인벤토리 수집 중에 여러 리전에 대한 후속 호출이 발생할 수 있습니다.

버킷 정책의 명시적 Deny 문은 읽기를 차단…

버킷 정책의 명시적 거부 문은 IAM 허용 여부와 관계없이 읽기를 차단합니다. 감사자와 함께 예상 동작을 문서화하세요.

Sources 관리

모든 Compliance 소스를 찾아보고 관리합니다.

Compliance 시작하기

프레임워크, 작업 및 아티팩트.

Iru 개요

Endpoint, Compliance 및 Identity가 함께 작동하는 방식.

Artifacts 관리

소스 및 작업에서 수집한 증거를 업로드, 검토 및 정리합니다.

시작하기

작업

프레임워크

아티팩트

소스

정책

트러스트 센터

워크플로

Amazon Simple Storage Service (S3)