계정 루트 사용자 또는 관리자 권한을 가진 IAM 엔티티에 대한 액세스 거부 문제를 해결하려면 어떻게 해야 합니까?

간략한 설명

다음과 같은 이유로 루트 사용자 또는 관리자 권한이 있는 IAM 엔티티에 대해 Access denied 오류가 발생할 수 있습니다.

• 서비스 제어 정책(SPC)이 서비스를 제한됩니다.
• 리소스 기반 정책이 리소스에 대한 액세스를 제한합니다.
• 권한 경계는 루트 사용자 또는 IAM 엔티티가 수행할 수 있는 작업을 제한합니다.
• 세션 정책으로 인해 권한 부여 문제가 발생합니다.
• Amazon Virtual Private Cloud(Amazon VPC) 엔드포인트 정책이 액세스를 제한합니다.

해결 방법

루트 사용자의 권한 부여 문제 해결

SCP에 AWS Organizations 구성원 계정의 루트 사용자를 제한하는 값이 포함될 수 있습니다. 조직의 관리 계정에 연결된 SCP에서 제한을 제거하십시오.

다음 예시는 루트 사용자의 Amazon Simple Storage Service(Amazon S3) 액세스를 거부하는 SCP를 보여줍니다. SCP에는 arn:aws:iam::accountID:root 형식으로 aws:PrincipalArn 조건 키와 루트 ARN이 포함되어 액세스를 거부합니다.

{  
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "s3:*"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringLike": {
          "aws:PrincipalArn": [
            "arn:aws:iam::*:root"
          ]
        }
      }
    }
  ]
}

IAM 엔티티의 권한 부여 문제 해결

또 다른 정책 유형이 관리자 수준의 액세스 권한이 있는 IAM 엔티티를 제한하는 것일 수 있습니다. 자세한 내용은 Access denied 오류 메시지 문제 해결을 참조하십시오.

Amazon S3 버킷 정책과 같은 리소스 기반 정책은 IAM 엔티티의 리소스 액세스를 제한할 수 있습니다. 리소스에 연결된 리소스 기반 정책이 IAM 엔티티를 지정하는지 확인하십시오. 리소스 기반 정책을 지원하는 서비스 목록은 IAM과 함께 사용할 수 있는 AWS 서비스를 참조하십시오.

권한 경계를 사용하는 경우 엔티티는 ID 기반 정책과 권한 경계 모두에서 허용된 작업만 수행할 수 있습니다. ID 기반 정책과 동일한 작업을 허용하도록 권한 경계를 업데이트합니다.

페더레이션 사용자의 IAM 역할에 대한 임시 세션을 생성할 때 프로그래밍 방식으로 세션 정책을 전달할 수 있습니다. IAM 역할 세션에 대한 세션 정책을 전달했는지 확인하려면 AWS CloudTrail 로그에서 AssumeRole, AssumeRoleWithSAML 및 AssumeRoleWithWebIdentity API 호출을 확인하십시오. 페더레이션 사용자 세션에 대해 전달한 세션 정책을 확인하려면 GetFederationToken API 호출에 대한 CloudTrail 로그를 확인하십시오.

VPC 엔드포인트를 통해 요청을 라우팅하는 경우 관련 VPC 엔드포인트 정책에서 제한을 확인하고 제거하십시오.

Amazon S3 리소스에 대한 “Access denied” 오류 메시지 해결

Amazon S3 리소스에 대한 Access denied 오류 메시지 문제를 해결하려면 Amazon S3의 403 Access Denied 오류 문제를 해결하려면 어떻게 해야 합니까?를 참조하십시오.

Billing and Cost Management 콘솔에 액세스하여 권한 부여 문제 해결

루트 사용자 또는 IAM 엔티티에 AWS Billing and Cost Management 콘솔에 대한 액세스 권한을 부여해야 합니다. 자세한 내용은 Billing and Cost Management 콘솔의 IAM 권한 문제를 해결하려면 어떻게 해야 합니까?를 참조하십시오.

권한 부여 문제를 해결하려면 IAM 엔티티가 루트 사용자로 활성화되었는지 확인하십시오.

관련 정보

권한 및 정책이 액세스 관리를 제공하는 방법