DEVOCEAN

AWS를 운영하면서 가장 중요한 것중 하나가 보안이며, VPC부터 Managed Service까지 모든 영역에 보안적 요소가 빠지지 않는 부분이 없습니다.

하지만 정작 해당 서비스를 컨트롤 할 수 있는 AWS Management Console은 기본적으로 인터넷이 가능한 모든 환경에서 접속이 가능합니다.

때문에, IAM 권한을 부여받은 사용자는 외부에서 AWS Account 내 주요 데이터를 조작하거나 추출할 수 있습니다.

이를 간단하게 통제할 수 있는 방법중에 하나가 IAM 단에서 Source IP 기반으로 Management Console의 권한을 제한하는 것입니다.

VDI 업무 환경에서 Proxy 혹은 NAT를 구성하여 해당 IP 기반으로 통제함으로써 Management Console의 접근 권한을 제어할 수 있습니다.

(혹은 서비스나 자원 레벨의 권한 분리도 가능하겠죠)

또한 필요에 따라서 AWS SSO를 구성하여 Proxy에서 해당 SSO URL만 접근 가능하도록 통제한다면, 개인 AWS Management Console로의 접근도 막을 수 있습니다. 

1. 구성도

2. IAM JSON Policy 예문

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Deny",
        "Action": "*",
        "Resource": "*",
        "Condition": {
            "NotIpAddress": {
                "aws:SourceIp": [
                    "3.x.x.x"
                ]
            },
            "Bool": {"aws:ViaAWSService": "false"}
        }
    }
}

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": "*",
        "Resource": "*",
        "Condition": {
            "IpAddress": {
                "aws:SourceIp": [
                    "3.x.x.x"
                ]
            },
            "Bool": {"aws:ViaAWSService": "false"}
        }
    }
}

3. 테스트

S3 Bucket List를 불러오는 것에 대해서는 별도의 제한을 두지 않고,

S3 Object에 대한 권한은 Proxy IP를 통해서만 부여받을 수 있도록 적용하였습니다.

그리고 Proxy가 적용되어 있지 않은 제 개인 PC에서, 위 IAM Policy를 가진 User로 AWS Management Console 접속 후 S3 서비스 접근을 시도해보겠습니다.

-> S3 Bucket 리스트는 추출이 되나,

-> Object 다운로드 등을 시도할 경우 브라우저에서 Access Deny 에러가 발생합니다.

이런식으로 활용한다면 Proxy IP 기반으로 서비스나 자원 레벨의 권한 분리를 통해 보다 안전한 AWS 업무 환경을 구성할 수 있습니다.