AWS 기초, IAM, CLI

AWS기초

AWS REGION

• Awazon Web Service is global => 전 세계에서 제공되는 클라우드 서비스임

• AWS Region => 데이터 센터의 집합, AWS서비스를 사용 할 때 대부분의 서비스들은 특정 REGION에 연결되어 국한됨.

• 즉 => 특정 REGION에서 서비스를 사용하다 다른 REGION에서 서비스를 사용하려고 할 때 서비스를 처음 사용하는 셈이 되는 것.

AWS REGION 선택에 영향을 주는 요소

• 법률준수 => (어떤 정부는 애플리케이션을 배포하게 될 대상 국가내에 데이터가 존재하길 바란다.) 프랑스에서 어플리케이션을 배포하려고 할 때 데이터센터를 프랑스 REGION으로 선택..

• 지연시간 => 네트워크상에서 물리적 거리가 멀면 지연시간이 존재함. (서비스와 가까운 곳으로)..

• 요금, 서비스 여부.. 등등

• region마다 제공하는 서비스가 다름 => 해당 region이 어떤 서비스를 제공하는지 확인가능

ref) https://aws.amazon.com/ko/about-aws/global-infrastructure/regional-product-services/

Availability Zone

• 가용영역의 개념 => 하나의 region을 최소 3개의 가용영역이 존재함.

• 각각의 가용역역은 여분의 네트워킹, 통신기능을 갖춘 개별적인 데이터센터로 이루어짐.

• 각각의 데이터센터는 서로 분리되어 있는 형태임

IAM

• IAM = Identity and Access Management, 사용자를 생성하고 그룹에 배치하는 서비스

• root 계정 생성 후 user 생성 => IAM, 하나의 USER는 하나의 사용자

• 그룹은 사용자만 배치할 수 있다. 다른 그룹은 포함시킬 수 없다.

• 하나의 사용자가 여러가지 그룹에 속할 수도 있다.

• 사용자와 그룹을 생성하는 이유? => AWS 계정을 사용하도록 허용, 권한부여, JSON 문서 존재함.

• 사용자가 꼭 필요한 권한만 주는것이 원칙임.

• IAM에서 user와 userGroup 생성후 후 연결된 정책 설정 가능함.

• 로그인시 2가지의 option 존재함 => root 계정인지, IAM user 계정인지의 여부

• IAM USER인경우 이런식으로 IAM 사용자임을 보여줌.

• 따로 로그인하는 URL도 존재함.

IAM 정책

• Developer, Operations, 등 용도에 따라 다른 정책을 그룹별로 조정가능함.

• IAM Policy Structure

• Effect : 다른 statement가 특정 api의 접근여부를 설정함.

• Principal : 정책이 적용될 사용자 ,계정, 역할로 구성

• Action : 접근이 거부되거나 승인되었을 때 api호출되는 목록

• Resource : action이 적용되는 리소스들의 목록

IAM MFA

• 사용자 정보보호 정책 2가지

• password policy => 비밀번호 관련 정책들..(주기적변경, 재사용금지, 특정문자 숫자포함..)

• MFA(Mulit Factor Authentication) : Protect Root 계정, IAM 사용자들,,, Google Authenticator.. Authy.. Security Key 등등

AWS ACCESS 방법

• AWS Management Console(웹 interface로 접근)

• AWS CLI => ACCESS KEY 생성 필요함

• AWS SDK : 소프트웨어 개발자 키트, 애플리케이션 코드 내에서 API를 호출하고자 할때 사용하는 방식 => ACCESS KEY를 통해 접근함.

• CLI 프로그램 설치 후, aws configure 명령어로 CLI를 위한 ACCESS KEY 생성하고 등록함

• aws iam list-users를 통해 어떤 user들이 존재하는지 볼 수 있음

AWS CLOUD SHELL

• 터미널 대신 사용할 수 있는 대안 => aws 클라우드에서 사용 할 수 있는 터미널, aws cli 명령어 사용 가능, api호출 가능

• default region => 현재 로그인된 region임

• 리눅스 명렁어도 사용가능함. 파일 업로드, 다운로드 가능, split...

IAM ROLE

• AWS 서비스에 권한을 부여하기 위한 서비스임.

• 유저와 같지만, AWS 서비스에 의해 사용되도록 만들어진 것 (EC2 인스턴스를 만들고, AWSD에서 어떤 작업을 부여하려면 EC2 인스턴스에 자격을 부여해야함..)

IAM 보안도구

• IAM Credentail Report

• IAM Access Advisior