AWS Identity and Access Management(IAM) Access Analyzer는 권한을 설정, 확인, 세분화할 수 있는 도구를 제공하여 최소 권한을 사용하도록 안내합니다. IAM Access Analyzer는 액세스 분석 조사 결과, 정책 검사, 정책 생성을 제공합니다.

IAM Access Analyzer를 활성화하면 계정 또는 AWS 조직의 외부 액세스, 내부 액세스, 미사용 액세스를 정기적으로 검사하는 분석기가 생성됩니다. 분석기는 IAM 역할, IAM 사용자, AWS 리소스에 대한 액세스 조사 결과를 생성합니다. 외부 액세스 분석기, 내부 액세스 분석기, 미사용 액세스 분석기라는 세 가지 유형의 분석기를 활성화할 수 있습니다.

• 외부 액세스 분석기는 AWS 리소스에 대한 공개 및 교차 계정 액세스 조사 결과를 생성합니다. 이 기능은 추가 비용 없이 제공됩니다.
• 내부 액세스 분석기는 비즈니스에 중요한 AWS 리소스에 액세스하는 AWS 조직 내 IAM 역할 및 사용자를 식별합니다. 이 기능은 유료 기능입니다. 활성화한 모든 내부 분석기에 대해 리전별로 모니터링되는 리소스당 월별 요금을 지불합니다.
• 미사용 액세스 분석기는 미사용 액세스를 검사하여 최소 권한을 적용하도록 안내합니다. 이 기능은 유료 기능입니다. 활성화한 모든 미사용 액세스 분석기에 대해 IAM 역할 또는 IAM 사용자당 월별 요금을 지불합니다. IAM 역할 및 사용자는 전역적이므로 파티션의 모든 리전에서 하나의 분석기만 활성화하면 됩니다.

내부 액세스 분석기 및 미사용 액세스 분석기 요금은 설정 시에 한 번 발생하고, 월별 요금은 매월 1일에 청구됩니다.

또한 IAM Access Analyzer는 두 가지 유형의 정책 검사를 제공합니다.

• IAM Access Analyzer 정책 검증의 안내에 따라 IAM 모범 사례를 기반으로 안전하고 기능적인 정책을 작성하고 검증할 수 있습니다. 이 기능은 추가 비용 없이 제공됩니다.
• IAM Access Analyzer의 사용자 지정 정책 검사는 개발자가 작성한 정책이 지정된 보안 표준을 준수하는지 배포 전에 검증합니다. 이 기능은 유료 기능입니다. 맞춤형 정책 검사는 자동 추론(수학적 증거로 뒷받침되는 입증 가능한 보안 보증)을 사용하여 보안 팀에서 정책에 대한 부적합 업데이트를 미리 탐지할 수 있도록 합니다. 사용자 지정 정책 검사의 경우, IAM Access Analyzer API를 직접적으로 호출하여 실행한 검사 횟수를 기준으로 요금이 부과됩니다.

IAM Access Analyzer의 정책 생성은 로그에 캡처된 액세스 활동을 기반으로 세분화된 정책을 생성합니다. 이 기능은 추가 비용 없이 제공됩니다.