다른 AWS 계정의 Amazon S3 버킷에 대한 액세스 권한을 Amazon EC2 인스턴스에 부여하려면 어떻게 해야 합니까?

4분 분량

Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스에서 다른 AWS 계정에 있는 Amazon Simple Storage Service(Amazon S3) 버킷에 액세스하려고 합니다. 인스턴스에 자격 증명을 저장하지 않고 이러한 액세스 권한을 부여하려면 어떻게 해야 합니까?

해결 방법

참고: Amazon S3 버킷에 대한 인스턴스 액세스 권한을 부여하는 단계는 다른 계정의 다른 AWS 리소스에 대한 액세스 권한을 부여하는 것과 유사합니다.

다음 단계에 따라 계정 A의 Amazon EC2 인스턴스에 다른 계정(계정 B)의 버킷에 액세스할 수 있는 권한을 부여합니다.

계정 B에서 IAM 역할 생성

1. 계정 B로 AWS Management Console에 로그인합니다.

2. AWS Identity and Access Management(IAM) 콘솔을 엽니다.

3. 탐색 창에서 역할을 선택합니다.

4. [Create role]을 선택합니다.

5. 신뢰할 수 있는 유형의 엔터티 선택에서 다른 AWS 계정을 선택합니다.

6. 계정 ID로 계정 A의 계정 ID를 입력합니다.

7. 다음: 권한을 선택합니다.

8. Amazon S3에 대한 액세스 권한을 위임하는 정책을 역할에 연결합니다. 예를 들어 이 정책은 버킷에 저장된 객체에 s3:GetObject 액세스 권한을 부여합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*",
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET"
            ]
        }
    ]
}

참고: 사용 사례에 필요한 Amazon S3 버킷 수준과 객체 수준 권한에 따라 IAM 정책을 수정할 수 있습니다.

9. 다음: 태그 추가를 선택합니다.

10. 역할에 선택적 태그를 추가할 수 있습니다. 아니면 이 필드를 비워 두고 다음: 검토를 선택해도 됩니다.

11. 역할 이름에 해당 역할의 이름을 입력합니다.

12. [Create role]을 선택합니다.

계정 B에서 역할의 ARN 가져오기

1. IAM 콘솔의 탐색 창에서 역할을 선택합니다.

2. 생성된 IAM 역할을 선택합니다.

3. 역할 ARN에 대해 나열된 값을 적어둡니다.

계정 A에서 다른 역할(인스턴스 프로파일)을 생성하여 인스턴스에 연결

1. 계정 A로 AWS Management Console에 로그인합니다.

2. IAM 콘솔을 엽니다.

3. 탐색 창에서 역할을 선택합니다.

4. [Create role]을 선택합니다.

5. 신뢰할 수 있는 유형의 엔터티 선택에서 AWS 서비스를 선택합니다.

6. 이 역할을 사용할 서비스 선택에서 EC2를 선택합니다.

7. 다음: 권한을 선택합니다.

8. 다음: 태그를 선택합니다.

9. 역할에 선택적 태그를 추가할 수 있습니다. 아니면 이 필드를 비워 두고 [다음: 검토(Next: Review)]를 선택할 수 있습니다.

10. 역할 이름에 해당 역할의 이름을 입력합니다.

11. [Create role]을 선택합니다.

12. 역할 목록에서 생성한 역할을 선택합니다.

13. [Add inline policy]를 선택한 다음 JSON 보기를 선택합니다.

14. 다음 정책을 입력합니다. arn:aws:iam::111111111111:role/ROLENAME을 계정 B에서 생성한 IAM 역할의 Amazon 리소스 이름(ARN)으로 변경합니다.

{
 "Version": "2012-10-17",
 "Statement": [{
  "Effect": "Allow",
  "Action": "sts:AssumeRole",
  "Resource": "arn:aws:iam::111111111111:role/ROLENAME"
 }]
}

15. [Review policy]를 선택합니다.

16. 이름에 정책 이름을 입력합니다.

17. [Create policy]를 선택합니다.

18. Amazon S3 버킷에 액세스할 때 사용하는 Amazon EC2 인스턴스에 IAM 역할을 연결(인스턴스 프로파일)합니다.

Amazon EC2 인스턴스에서 CLI 구성 파일의 역할에 대한 프로필을 생성합니다.

참고: SSH 및 세션 관리자를 사용하여 EC2 인스턴스에 연결하는 경우 ec2-사용자와 ssm-user 모두에 대해 이 단계를 수행해야 합니다.

1. Amazon EC2 인스턴스에 연결합니다. 자세한 내용은 Linux 인스턴스에 연결 또는 Windows 인스턴스에 연결을 참조하세요.

2. 인스턴스에 연결되면 디렉터리에 이미 ~/.aws 폴더가 있는지 확인합니다.

~/.aws 폴더를 찾으려면 다음 ls 명령을 실행하여 디렉터리를 나열합니다.

ls -l ~/.aws

3. ~/.aws 폴더를 찾았다면 다음 단계로 진행합니다. 디렉터리에 아직 ~/.aws 폴더가 없으면 mkdir 명령을 실행하여 폴더를 만듭니다.

mkdir ~/.aws/

4. 텍스트 편집기를 사용하여 ~/.aws 폴더에 파일을 하나 생성합니다. 파일 이름을 config로 지정합니다.

5. 파일에 다음 텍스트를 입력합니다. enterprofilename을 인스턴스에 연결된 역할의 이름으로 바꿉니다. 그런 다음 arn:aws:iam::111111111111:role/ROLENAME을 계정 B에서 생성한 역할의 ARN으로 바꿉니다.

[profile enterprofilename]
role_arn = arn:aws:iam::111111111111:role/ROLENAME

credential_source = Ec2InstanceMetadata

6. 파일을 저장합니다.

인스턴스 프로파일이 역할을 맡을 수 있는지 확인합니다.

인스턴스의 역할(인스턴스 프로파일)이 계정 B의 역할을 맡을 수 있는지 확인하려면 해당 인스턴스에 연결된 상태에서 다음 명령을 실행합니다. profilename을 인스턴스에 연결한 역할의 이름으로 바꿉니다.

$aws sts get-caller-identity --profile profilename

이 명령은 다음과 비슷한 응답을 반환합니다.

"Account": "11111111111",

"UserId": "AROAEXAMPLEID:sessionName",

"Arn": "arn:aws:sts::111111111111:assumed-role/ROLENAME/sessionName"

"Arn" 값이 계정 B에서 생성한 역할의 ARN과 일치하는지 확인합니다.

Amazon S3 버킷에 대한 액세스 확인

인스턴스가 Amazon S3 버킷에 액세스할 수 있는지 확인하려면 해당 인스턴스에 연결된 상태에서 이 나열 명령을 실행합니다. profilename을 인스턴스에 연결한 역할의 이름으로 바꿉니다.

aws s3 ls s3://DOC-EXAMPLE-BUCKET --profile profilename

인스턴스가 버킷에 액세스할 수 있는 경우, 응답으로 다음과 유사한 버킷 콘텐츠가 나열됩니다.

PRE Hello/
2018-08-15 16:16:51 89 index.html