[권고] root 계정의 billing 권한을 IAM 계정에 부여

1. 개요

• root 계정은 AWS 리소스에 대한 모든 권한을 보유한 계정이지만, IAM 등을 통한 권한 제어가 불가능
• 따라서 root 계정의 이용을 최소화하기 위해, 일반적으로 root 계정에서 조회ㆍ처리하는 빌링 권한을 IAM 계정에 부여 필요

2. 취약점 판단 기준

• root 계정에서 빌링 관련 업무를 수행하는 경우 취약
• root 계정이 아닌 IAM 계정에서 빌링 관련 업무를 수행하는 경우 취약하지 않음

3. 취약점 확인 방법

• root 계정으로 관리 콘솔 로그인 후 오른쪽 상단의 계정명 클릭 → [계정] 클릭
• [결제 정보에 대한 IAM 사용자 및 역할 액세스] 항목에서 IAM 계정의 빌링 권한 비활성화 여부 확인

4. 취약점 조치 방법

• Billing 권한을 부여한 빌링 전용 IAM 계정 생성
• [결제 정보에 대한 IAM 사용자 및 역할 액세스] 항목에서 편집 클릭
• IAM 액세스 활성화 체크 후 업데이트 클릭

5. 참고

• https://docs.aws.amazon.com/awsaccountbilling/latest/aboutv2/control-access-billing.html#grantaccess