AWS Identity and Access Management (IAM)

AWS Identity and Access Management (IAM) 정보

IAM 커넥터는 사용자, 역할, 그룹, 정책, 액세스 키, MFA 디바이스 및 자격 증명 보고서의 인벤토리를 수집합니다. 액세스 검토 증거에 사용되는 매우 민감한 데이터입니다. 이 통합은 sts:AssumeRole 방식을 사용합니다. IAMReadOnlyAccess 정책이 가장 간단하며, 아래의 인라인 JSON은 범위를 Get* / List* 및 GenerateCredentialReport / GenerateServiceLastAccessedDetails 작업으로 좁힙니다. 교차 계정 역할 ARN은 인프라 시크릿처럼 취급하고, 신뢰 관계를 편집할 수 있는 사용자를 제한하세요.

작동 방식

Iru는 자체 AWS 계정에서 실행됩니다. 사용자 계정의 IAM 데이터를 읽으려면, 마법사의 External ID로 보호되는 상태에서 Iru의 보안 주체가 sts:AssumeRole 작업을 호출할 수 있도록 허용하는 신뢰 정책과, IAM 리소스에 대한 읽기 전용 액세스를 부여하는 권한 정책(예: IAMReadOnlyAccess 또는 AWS 탭의 더 좁은 인라인 JSON)이 있는 IAM 역할을 생성합니다. 그런 다음 역할의 ARN을 Iru에 붙여 넣습니다. IAMReadOnlyAccess 정책은 설계상 ID, 정책 문서 및 액세스 키 메타데이터를 노출하므로 역할과 해당 ARN을 민감한 정보로 취급하세요.

세부 정보	값
카테고리	보안
인증	교차 계정 IAM 역할

사전 요구 사항

증거를 수집하려는 IAM 영역과 동일한 계정의 IAM 관리자 권한.

AWS IAM을 Iru에 연결

Iru Compliance
AWS

여기서 시작하세요. 소스 마법사를 열고 신뢰 정책을 복사합니다(외부 ID도 기록해 두세요). AWS에서 역할을 생성할 준비가 되면 AWS 탭으로 전환하여 AWS에서 IAM 역할 생성을 따르세요. Role ARN을 확보한 후 Iru Compliance 탭으로 돌아와 아래의 Iru에서 역할 ARN 제출을 완료하세요.

Iru에서 신뢰 정책 가져오기

소스 열기

Iru Compliance의 왼쪽 탐색 모음에서 컴플라이언스를 펼치고 소스를 선택합니다.

AWS IAM 켜기

AWS IAM을 찾습니다(범주 또는 이름 또는 설명으로 검색 사용). 해당 카드에서 토글을 켭니다. Iru가 외부 서비스에 대한 액세스를 요청하고 있습니다 마법사 탭은 열어 둡니다.

신뢰 정책 JSON 복사

마법사에는 IAM 역할에서 사용해야 하는 신뢰 정책 JSON(Principal 및 sts:ExternalId)이 표시됩니다. 아래는 구조의 예시입니다. 계정, 보안 주체 ARN 및 외부 ID가 정확히 일치하도록 마법사에 표시된 실제 JSON을 복사하세요.

copy=false

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::753695775620:role/IruConnect"
      },
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "YOUR_EXTERNAL_ID"
        }
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

AWS로 전환하여 역할 생성

참고용으로 Iru 마법사 탭을 열어 둔 채 AWS 탭으로 전환하여 AWS에서 IAM 역할 생성을 따르세요.

Iru에서 역할 ARN 제출

새 역할의 Role ARN을 확보할 수 있도록 먼저 AWS 탭(AWS에서 IAM 역할 생성까지)을 완료하세요.

IAM Role ARN 붙여 넣기

Iru 마법사 탭으로 돌아갑니다. 마법사에서 제공하는 필드에 Role ARN을 붙여 넣습니다.

연결 완료

Submit Role을 선택합니다. 연결에 성공하면 마법사에 연결 구성됨이 표시됩니다.

소스가 활성인지 확인

Iru가 외부 서비스에 대한 액세스를 요청하고 있습니다 브라우저 탭을 닫은 다음 컴플라이언스 → 소스로 돌아가 AWS IAM 카드가 활성 상태인지 확인합니다.

이 역할을 생성하기 전에 Iru Compliance 탭에서 Iru에서 신뢰 정책 가져오기를 완료하세요. Trusted entity를 구성할 때는 실제 마법사의 외부 ID와 신뢰 정책을 사용하세요.

AWS에서 IAM 역할 생성

역할 생성 워크플로 시작

IAM 데이터가 필요한 계정에서 IAM → Roles → Create role을 엽니다.

신뢰할 수 있는 엔터티 설정

AWS account → Another AWS account를 선택합니다. 753695775620(또는 Iru에 표시된 계정 ID)을 입력합니다. Require external ID를 활성화하고 Iru의 값을 붙여 넣습니다.

읽기 전용 IAM 권한 연결

IAMReadOnlyAccess 정책을 연결하거나, 관리형 정책을 사용할 수 없는 경우 또는 다음 인라인 정책을 추가합니다. 아래 JSON은 예시이며, 보안 팀에서 요구하는 경우 작업 범위를 더 좁히세요.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:Get*",
        "iam:List*",
        "iam:GenerateCredentialReport",
        "iam:GenerateServiceLastAccessedDetails"
      ],
      "Resource": "*"
    }
  ]
}

역할 이름 지정 및 ARN 복사

역할 이름을 지정하고(예: IruIAMReadOnly) 역할을 생성한 다음 역할 요약에서 Role ARN을 복사합니다. Iru Compliance 탭으로 다시 전환하여 Iru에서 역할 ARN 제출을 완료하세요.

신뢰 관계 확인

Trust relationships에서 JSON이 Iru 마법사와 정확히 일치하는지 확인합니다.

Iru Compliance 탭에서 계속 진행하여 Role ARN을 붙여 넣고 마법사를 완료하세요(Iru에서 역할 ARN 제출).

문제 해결

소스를 켰을 때 아무것도 열리지 않음

Iru 사이트의 팝업 차단 설정을 확인한 후 다시 시도하세요.

자격 증명 보고서가 비어 있음

콘솔/CLI를 통해 GenerateCredentialReport 작업을 수동으로 한 번 실행하세요.

ID 누락

와일드카드가 예상하는 각 리소스 유형에 대해 Get* / List* 작업을 포함해야 합니다.

고려 사항

IAM은 계정 내에서 글로벌이므로 한 번의 스캔으로…

IAM은 계정 내에서 글로벌이므로 한 번의 스캔으로 모든 리전의 IAM API를 포함합니다.

Sources 관리

모든 Compliance 소스를 찾아보고 관리합니다.

Compliance 시작하기

프레임워크, 작업 및 아티팩트.

Iru 개요

Endpoint, Compliance 및 Identity가 함께 작동하는 방식.

Artifacts 관리

소스 및 작업에서 수집한 증거를 업로드, 검토 및 정리합니다.

시작하기

작업

프레임워크

아티팩트

소스

정책

트러스트 센터

워크플로

AWS Identity and Access Management (IAM)