버킷 정책을 수정하려고 할 때 Amazon S3 콘솔에서 “액세스 거부” 오류가 발생하는 이유는 무엇입니까?

최종 업데이트 날짜: 2020년 3월 27일

콘솔을 사용하여 Amazon Simple Storage Service(Amazon S3) 버킷의 버킷 정책을 수정하려고 하면 "액세스 거부" 오류가 발생합니다. 어떻게 해결해야 합니까? 

간략한 설명

Amazon S3 콘솔에서 버킷 정책을 보려면 AWS Identity and Access Management(IAM) 사용자 또는 역할에 s3:GetBucketPolicy 작업에 대한 권한이 있어야 합니다. 기존 버킷 정책을 편집하려면 IAM 자격 증명에 s3:PutBucketPolicy 작업을 수행할 수 있는 권한이 있어야 합니다.

"액세스 거부" 오류를 해결하려면 다음을 확인하십시오.

  • IAM 자격 증명에 s3:GetBucketPolicys3:PutBucketPolicy 모두에 대한 권한이 있습니다.
  • 버킷 정책이 s3:GetBucketPolicy 또는 s3:PutBucketPolicy에 대한 IAM 자격 증명의 권한을 거부하지 않습니다.
  • 버킷 정책이 s3:GetBucketPolicys3:PutBucketPolicy에 대한 모든 사용자의 액세스를 거부하는 경우 버킷 정책을 삭제하십시오.

​해결 방법

IAM 자격 증명에 s3:GetBucketPolicy 및 s3:PutBucketPolicy 모두에 대한 권한이 있는 경우

1.    IAM 콘솔을 엽니다.

2.    콘솔에서 버킷 정책에 액세스하는 데 사용하는 IAM 사용자 또는 역할을 엽니다.

3.    IAM 사용자 또는 역할의 [권한] 탭에서 각 정책을 확장하여 해당 JSON 정책 문서를 봅니다.

4.    JSON 정책 문서에서 Amazon S3 액세스와 관련된 정책을 검색합니다. 그런 다음, 버킷에서 s3:GetBucketPolicys3:PutBucketPolicy 작업에 대한 권한이 있는지 확인합니다.

예를 들어, 이 IAM 정책은 사용자 또는 역할이 awsexamplebucket에서 s3:GetBucketPolicys3:PutBucketPolicy 작업을 수행하는 것을 허용합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ModifyBucketPolicy",
      "Action": [
        "s3:GetBucketPolicy",
        "s3:PutBucketPolicy"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::awsexamplebucket"
    },
    {
      "Sid": "AccessS3Console",
      "Action": [
        "s3:GetBucketLocation",
        "s3:ListAllMyBuckets"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::*"
    }
  ]
}

참고: 이전 예제 IAM 정책에서 "AccessS3Console" 문은 Amazon S3 콘솔 액세스 권한을 부여하며 버킷 정책을 수정하는 것과 관련이 없습니다. 

또 다른 예제로, 이 IAM 정책은 awsexamplebucket의 모든 Amazon S3 작업에 대한 사용자 또는 역할 액세스 권한을 부여합니다. 모든 Amazon S3 작업에 대한 권한이 있는 경우 s3:GetBucketPolicy 또는 s3:PutBucketPolicy에 대한 권한을 추가하지 않아도 됩니다.. 

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "S3Permissions",
      "Action": "s3:*",
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::awsexamplebucket/*",
        "arn:aws:s3:::awsexamplebucket"
      ]
    }
  ]
}

5.    JSON 정책 문서에서 "Effect": "Deny"를 포함하는 명령문도 검색해야 합니다. 그런 다음, 해당 명령문이 버킷에서 s3:GetBucketPolicy 또는 s3:PutBucketPolicy 작업에 대한 IAM 사용자 또는 역할의 액세스 권한을 거부하지 않는지 확인합니다.

6.    버킷에서 s3:GetBucketPolicy 또는 s3:PutBucketPolicy에 대한 권한을 부여하는 정책을 찾을 수 없으면 IAM 자격 증명에 해당 권한을 부여하는 정책을 추가합니다. 버킷에서 s3:GetBucketPolicy 또는 s3:PutBucketPolicy에 대한 액세스 권한을 거부하는 정책을 찾은 경우 액세스 권한을 거부하는 문 또는 정책을 제거합니다. IAM 권한을 수정하는 방법에 대한 지침은 IAM 사용자에 대한 권한 변경을 참조하십시오.

버킷 정책이 s3:GetBucketPolicy 또는 s3:PutBucketPolicy에 대한 IAM 자격 증명의 권한을 거부하지 않는 경우

IAM 자격 증명이 사용자에게 올바른 권한을 부여하는지 확인했지만, 아직도 버킷 정책을 수정할 수 없는 경우 액세스 권한이 있는 다른 IAM 자격 증명에서 버킷 정책을 확인해야 합니다. 이 IAM 자격 증명은 정책에 액세스를 차단하는 명령문이 있는지 확인해야 합니다.

버킷 정책에 대한 액세스 권한이 있는 IAM 자격 증명을 사용하여 다음 단계를 수행합니다.

1.    Amazon S3 콘솔을 엽니다.

2.    버킷 목록에서 변경하려는 버킷 정책을 포함하는 버킷을 엽니다.

3.    [권한] 탭을 선택합니다.

4.    [버킷 정책]을 선택합니다.

5.    "Effect": "Deny"를 포함하는 명령문을 검색합니다.

6.    s3:GetBucketPolicy 또는 s3:PutBucketPolicy에 대한 IAM 사용자 또는 역할의 액세스 권한을 잘못 거부하는 "Effect": "Deny" 명령문을 편집 또는 제거하도록 버킷 정책을 수정합니다.

버킷 정책이 s3:GetBucketPolicy 및 s3:PutBucketPolicy에 대한 모든 사용자의 액세스를 거부하여 버킷 정책을 삭제하는 경우

버킷 정책을 보거나 수정할 수 있는 IAM 자격 증명이 없는 경우 AWS 계정 루트 사용자에는 항상 기존 버킷 정책을 삭제할 권한이 있습니다. 루트 사용자가 기존 정책을 삭제한 후에는 IAM 사용자 또는 역할이 새 버킷 정책을 생성할 수 있습니다.


이 문서가 도움이 되었습니까?

AWS에서 개선해야 할 부분이 있습니까?


도움이 필요하십니까?