- 개요 https://happyengine.tistory.com/174에서 다룬 내용을 응용해서 IAM User를 리전별로 제어하는 방법은 여러 가지가 있지만, 간단히 하는 방법은 IAM permission boundary를 설정하는 방법이다. - policy { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "cloudfront:*", "route53:*", "iam:*", "support:*", "access-analyzer:*", "route53domains:*", "sso:*", "sso-directory:*", "rolesanywhere:*", "rds-db:*", "elemental-support-cases:..

- 개요 Lambda를 실행하기 위한 IAM role기본 template - IAM Role & STS { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "logs:CreateLogGroup", "Resource": "aws:logs:::*" }, { "Effect": "Allow", "Action": [ "logs:CreateLogStream", "logs:PutLogEvents" ], "Resource": [ "arn:aws:logs:::log-group:/aws/lambda/function_name:*" ] } ] } { "Version": "2012-10-17", "Statement": [ { "Effect": "Al..

- 개요 Cloudtrail을 통해 AWS Web Console login 이력을 확인하는 방법에 대해 정리 했다. - cloudtrail console login event가 저장되는 region 사용중인 region US East (N. Virginia) us-east-1 US West (Oregon) us-west-2 - 비고 3개 리전을 전부 확인해야 제대로된 IAM 로그를 확인 가능 - 참고 https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-concepts.html#cloudtrail-concepts-global-service-events

- 개요 Codepipeline을 생성한 경험이 있다면 다들 IAM policy 구성에 큰 어려움을 느꼈을 거라고 생각한다. 나 또한 그랬는데, 이번에 Managed Policy로 출시하면서 상당히 수월해졌다. 또한 Policy 갯수 제한으로 관리가 필요했던 부분까지 해소가 되었다. - 참고 https://docs.aws.amazon.com/codepipeline/latest/userguide/managed-policies.html

- 개요 CloudFront에서 S3 object에 대한 cache를 invalidation 하는 IAM policy 예제 이다. - IAM Policy { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "s3:ListBucket" ], "Resource": "arn:aws:s3:::test" }, { "Effect": "Allow", "Action": [ "s3:PutObject", "s3:GetObject", "s3:DeleteObject" ], "Resource": "arn:aws:s3:::test/*" }, { "Effect": "Allow", "Action": [ "cloudfront:CreateInvalidat..

- 개요 AWS를 운영하면서 기본적으로 지켜야할 보안 그라운드 룰에 대해서 간단히 정리 했다. - 그라운드 룰 Root 계정 사용 금지 및 모든 작업은 IAM 계정을 사용하여 처리 Root 계정 패스워드 최소 50자 이상 + MFA 적용(임원이 관리) + U2F Device 권장 IAM 계정은 회사 이메일 주소와 동일하게 생성 IAM 계정 비밀번호 최소 15자 IAM 계정 비밀번호 만료 180일 IAM 계정 이전 비밀번호 사용 금지 IAM 계정 MFA 적용 IAM 계정의 Console Login과 Accesskey 방식을 동시에 사용 금지 IAM 계정이나 AccessKey를 여러 사람이 공용으로 사용 금지 사용하지 않는 IAM 계정이나 AccessKey는 즉시 정지 후 삭제 - 비고 180일, 15자, ..

- 개요 Administrator 권한이라고 하더라도 IAM 계정이 바로 Billing Page에 접근이 불가하다. - IAM의 Billing 접근 활성화 방법 Root Login >> My Account >> IAM User and Role Access to Billing Information >> choose Edit >> Activate IAM Access >> Update - 참고 https://docs.aws.amazon.com/awsaccountbilling/latest/aboutv2/control-access-billing.html