내 Amazon EC2 인스턴스에 다른 AWS 계정의 Amazon S3 버킷에 대한 액세스 권한을 부여하려면 어떻게 해야 합니까?

최종 업데이트 날짜: 2018년 12월 21일

Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스가 다른 AWS 계정의 Amazon Simple Storage Service(Amazon S3) 버킷에 액세스할 수 있도록 하고 싶습니다. 인스턴스에 자격 증명을 저장하지 않고 이 액세스 권한을 부여하려면 어떻게 해야 합니까?

해결 방법

참고: 이 예제는 Amazon S3 버킷 액세스에 특정하지만, 다른 계정의 다른 AWS 리소스에 대한 인스턴스 액세스 권한을 부여하는 단계도 비슷합니다.

다음 단계에 따라 한 계정(계정 A)의 Amazon EC2 인스턴스에 다른 계정(계정 B)의 Amazon S3 버킷에 액세스할 수 있는 권한을 부여합니다.

계정 B에서 IAM 역할 생성

1.    계정 B로 AWS Management Console에 로그인합니다.

2.    AWS Identity and Access Management(IAM) 콘솔을 엽니다.

3.    탐색 창에서 [Roles]을 선택합니다.

4.    [Create role]을 선택합니다.

5.    [Select type of trusted entity]에서 다른 AWS 계정을 선택합니다.

6.    [Account ID]에 계정 A의 계정 ID를 입력합니다.

7.    [Next: Permissions]를 선택합니다.

8.    Amazon S3에 대한 액세스 권한을 위임하는 역할에 정책을 연결합니다 . 예를 들어, 이 정책은 모든 작업에 대한 액세스 권한을 특정 버킷과 버킷에 저장된 객체에 부여합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::awsexamplebucket",
                "arn:aws:s3:::awsexamplebucket/*"
            ]
        }
    ]
}

9.    [Next: Add Tags]를 선택합니다.

10.    역할에 선택적 태그를 추가할 수 있습니다. 또는 필드를 비워 두고 [Next: Review]를 선택합니다.

11.    [Role name]에 역할 이름을 입력합니다.

12.    [Create role]을 선택합니다.

계정 B에서 역할의 ARN 가져오기

1.    IAM 콘솔의 탐색 창에서 [Roles]를 선택합니다.

2.    생성한 IAM 역할을 선택합니다.

3.    Role ARN에 대해 나열된 값을 적어 둡니다.

계정 A에서 다른 역할(인스턴스 프로파일)을 생성하여 인스턴스에 연결

1.    계정 A로 AWS Management Console에 로그인합니다.

2.    IAM 콘솔을 엽니다.

3.    탐색 창에서 [Roles]를 선택합니다.

4.    [Create role]을 선택합니다.

5.    [Select type of trusted entity]에서 [AWS Service]를 선택합니다.

6.    [Choose the service that will use this role]에서 [EC2]를 선택합니다.

7.    [Next: Permissions]를 선택합니다.

8.    [Next: Tags]를 선택합니다.

9.    역할에 선택적 태그를 추가할 수 있습니다. 또는 필드를 비워 두고 [Next: Review]를 선택합니다.

10.    [Role name]에 역할 이름을 입력합니다.

11.    [Create role]을 선택합니다.

12.    역할 목록에서 방금 생성한 역할을 선택합니다.

13.    [Add inline policy]를 선택한 다음 JSON 보기를 선택합니다.

14.    다음 정책을 입력합니다. arn: aws: iam:: 1111111111: role/ROLENAME을 계정 B에서 생성한 IAM 역할의 Amazon 리소스 이름(ARN)으로 바꿉니다.

{ 
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::111111111111:role/ROLENAME"
        }
    ]
}

15.    [정책 검토]를 선택합니다.

16.    [Name]에 정책 이름을 입력합니다.

17.    [Create policy]를 선택합니다.

18.    IAM 역할(인스턴스 프로파일)을 Amazon S3 버킷에 액세스하는 데 사용할 Amazon EC2 인스턴스에 연결합니다.

Amazon EC2 인스턴스에서 자격 증명으로 역할을 구성합니다.

1.    Amazon EC2 인스턴스에 연결합니다. 자세한 내용은 Linux 인스턴스에 연결 또는 Windows 인스턴스에 연결을 참조하십시오.

2.    인스턴스에 연결한 후 디렉터리에 이미 ~/.aws라는 폴더가 있는지 확인합니다. 이 폴더를 찾으려면 다음과 비슷한 디렉터리를 나열하는 명령을 실행하면 됩니다.

ls -l ~/.aws

3.    ~/.aws 폴더를 찾은 경우 다음 단계로 진행합니다. 디렉터리에 아직 ~/.aws 폴더가 없는 경우 다음과 비슷한 명령을 실행하여 폴더를 생성합니다.

mkdir ~/.aws/

4.    ~/.aws 폴더 내에서 텍스트 편집기를 사용하여 파일을 생성합니다. 파일 이름을 config로 지정합니다.

5.    파일에 다음 텍스트를 입력합니다. enterprofilename을 인스턴스에 연결된 역할의 이름으로 바꿉니다. 그런 다음 arn:aws:iam::111111111111:role/ROLENAME을 계정 B에서 생성한 역할의 ARN으로 바꿉니다.

[profile profilename]

role_arn = arn:aws:iam::111111111111:role/ROLENAME

credential_source = Ec2InstanceMetadata

6.    파일을 저장합니다.

인스턴스 프로파일 확인

인스턴스의 역할(인스턴스 프로파일)이 계정 B의 역할을 맡을 수 있는지 확인하려면 인스턴스에 연결된 상태에서 다음 명령을 실행합니다. profilename을 인스턴스에 연결된 역할의 이름으로 바꿉니다.

$aws sts get-caller-identity --profile profilename

이 명령은 다음과 유사한 응답을 반환합니다.

 "Account": "11111111111",

 "UserId": "AROAEXAMPLEID:sessionName",

 "Arn": "arn:aws:sts::111111111111:assumed-role/ROLENAME/sessionName"

"Arn" 값이 계정 B에서 생성한 역할의 ARN과 일치하는지 확인합니다.

Amazon S3 버킷에 대한 액세스 확인

인스턴스가 Amazon S3 버킷에 액세스할 수 있는지 확인하려면 인스턴스에 연결된 상태에서 이 list 명령을 실행합니다. profilename을 인스턴스에 연결한 역할의 이름으로 바꿉니다.

aws s3 ls s3://awsexamplebucket --profile profilename

인스턴스가 버킷에 성공적으로 액세스할 수 있는 경우 다음과 비슷한 버킷의 콘텐츠가 나열된 응답을 받게 됩니다.

PRE Hello/
2018-08-15 16:16:51 89 index.html

이 문서가 도움이 되었습니까?

AWS에서 개선해야 할 부분이 있습니까?


도움이 필요하십니까?