Google은 AI 기술을 사용하여 콘텐츠를 사용자의 기본 언어로 번역합니다. AI 번역에는 오류가 있을 수 있습니다.

AWS Identity and Access Management (IAM)를 Google SecOps와 통합

이 문서에서는 AWS Identity and Access Management를 Google Security Operations와 통합하는 방법을 설명합니다.

사용 사례

AWS IAM 통합은 Google SecOps 기능을 사용하여 다음 사용 사례를 지원합니다.

도용된 사용자 차단: 사고 대응 워크플로 중에 인라인 거부 정책을 적용하여 도용된 것으로 의심되는 IAM 사용자의 액세스 권한을 자동으로 취소합니다.
액세스 취소 및 권한 조정: 비정상적인 동작이 감지되면 민감한 IAM 그룹에서 사용자를 삭제하여 중요한 AWS 리소스에 대한 액세스를 즉시 제한합니다.
정책 및 그룹 관리: 관리형 IAM 정책 및 그룹의 생성 및 연결을 자동화하여 최소 권한 액세스 제어를 적용합니다.
ID 감사 및 보안 상황 검색: 사용자, 그룹, 관리 정책 목록을 검색하여 보안 알림을 강화하고 AWS 환경 전반에서 IAM 구성을 감사합니다.
자동 ID 프로비저닝: 자동 온보딩 또는 봉쇄 수정 작업의 일부로 IAM 사용자를 만들고 사전 정의된 기능 그룹에 할당합니다.

시작하기 전에

Google SecOps에서 AWS IAM 통합을 구성하기 전에 네트워크 환경과 AWS 사용자 인증 정보가 모든 운영 필수 요건을 충족하는지 확인하세요.

통합을 위해 환경을 준비하려면 다음을 완료해야 합니다.

Google SecOps와 AWS IAM 전역 서비스 엔드포인트 (iam.amazonaws.com) 간의 네트워크 가시성을 확인합니다.
적절한 IAM 권한이 있는 AWS 프로그래매틱 API 사용자 인증 정보 (액세스 키 ID 및 보안 비밀 액세스 키)를 획득합니다.
Google SecOps 내에서 통합 인스턴스를 구성하고 테스트합니다.

네트워크 요구사항

Google SecOps는 HTTPS REST API와 AWS Python SDK (boto3)를 사용하여 AWS IAM 서비스 엔드포인트와 직접 통신합니다.

네트워크 환경이 다음 연결 규칙을 충족하는지 확인하세요.

아웃바운드 HTTPS 액세스: 포트 443/TCP을 통해 Google SecOps 인스턴스 또는 원격 에이전트에서 AWS IAM 전역 엔드포인트 (iam.amazonaws.com)로 아웃바운드 HTTPS 통신을 사용 설정합니다.

AWS 엔드포인트에 대한 자세한 내용은 AWS 문서의 AWS 서비스 엔드포인트를 참고하세요.
프록시 구성: 조직에서 HTTP/HTTPS 프록시를 통해 아웃바운드 트래픽을 라우팅하는 경우 Google SecOps 서버 또는 원격 에이전트 호스트에서 표준 환경 프록시 변수(HTTP_PROXY, HTTPS_PROXY, NO_PROXY)를 구성합니다.

인증 및 사용자 인증 정보

AWS IAM 통합에는 AWS 서명 버전 4를 사용하여 요청을 인증하기 위한 프로그래매틱 API 사용자 인증 정보가 필요합니다.

AWS 환경이 다음 인증 요구사항을 충족하는지 확인합니다.

프로그래매틱 사용자 인증 정보: AWS IAM 사용자 또는 역할과 연결된 유효한 AWS 액세스 키 ID 및 AWS 보안 비밀 키를 가져옵니다.

IAM ID를 만들고 사용자 인증 정보를 생성하는 방법은 AWS 문서의 IAM 사용자의 액세스 키 관리 및 IAM ID를 참고하세요.
최소 권한: 자동화된 워크플로에 필요한 작업으로만 권한을 제한하고 사용자 인증 정보를 주기적으로 순환합니다.

보안 권장사항에 관한 자세한 내용은 AWS 문서의 IAM의 보안 권장사항을 참고하세요.

작업 권한 구성

인증된 AWS IAM ID에 Google SecOps 플레이북이 실행하는 작업에 필요한 특정 권한을 부여합니다.

다음 표에서 AWS IAM 작업에 필요한 최소 권한을 참고하세요.

액션명	필요한 AWS IAM 권한 (`ActionName:Permission`)	필수 권한	설명 / 리소스 범위
그룹에 사용자 추가	`iam:AddUserToGroup`	`iam:GetAccountSummary`	IAM 그룹에 IAM 사용자를 추가합니다. 리소스: 타겟 IAM 그룹 ARN입니다.
정책 첨부	`iam:AttachUserPolicy` `iam:AttachGroupPolicy` `iam:AttachRolePolicy`	`iam:ListPolicies`	관리 정책을 IAM 사용자, 그룹 또는 역할에 연결합니다. 이름으로 정책 ARN을 조회하려면 `iam:ListPolicies`이 필요합니다.
그룹 만들기	`iam:CreateGroup`	`iam:GetAccountSummary`	새 IAM 그룹을 만듭니다. 리소스: 타겟 IAM 그룹 ARN입니다.
정책 만들기	`iam:CreatePolicy`	`iam:GetAccountSummary`	새 고객 관리 정책을 만듭니다. 리소스: 타겟 IAM 정책 ARN입니다.
사용자 만들기	`iam:CreateUser`	`iam:GetAccountSummary`	새 IAM 사용자를 만듭니다. 리소스: 타겟 IAM 사용자 ARN입니다.
사용자 액세스 권한 사용 중지	`iam:PutUserPolicy`	—	사용자 액세스를 취소하기 위해 인라인 거부 정책 (`DisableUserAccessPolicy`)을 연결합니다. 리소스: 타겟 IAM 사용자 ARN입니다.
그룹 나열	`iam:ListGroups`	`iam:GetAccountSummary`	계정의 IAM 그룹을 나열합니다. 리소스: `*`
정책 나열	`iam:ListPolicies`	`iam:GetAccountSummary`	계정의 관리 정책을 나열합니다. 리소스: `*`
사용자 목록	`iam:ListUsers`	`iam:GetAccountSummary`	계정의 IAM 사용자를 나열합니다. 리소스: `*`
Ping	`iam:GetAccountSummary`	—	통합 연결을 검증합니다. 리소스: `*`
그룹에서 사용자 삭제하기	`iam:RemoveUserFromGroup`	`iam:GetAccountSummary`	IAM 그룹에서 IAM 사용자를 삭제합니다. 리소스: 타겟 IAM 그룹 ARN입니다.

빠른 참조 (`ActionName:Permission`)

다음 빠른 참조를 사용하여 각 작업에 필요한 권한을 검토하세요.

Ping: iam:GetAccountSummary
Add a User to a Group: iam:AddUserToGroup, iam:GetAccountSummary
Attach a Policy: iam:ListPolicies, iam:AttachUserPolicy, iam:AttachGroupPolicy, iam:AttachRolePolicy
Create a Group: iam:CreateGroup, iam:GetAccountSummary
Create a Policy: iam:CreatePolicy, iam:GetAccountSummary
Create a User: iam:CreateUser, iam:GetAccountSummary
Disable User Access: iam:PutUserPolicy
List Groups: iam:ListGroups, iam:GetAccountSummary
List Policies: iam:ListPolicies, iam:GetAccountSummary
List Users: iam:ListUsers, iam:GetAccountSummary
Remove a User from a Group: iam:RemoveUserFromGroup, iam:GetAccountSummary

샘플 IAM 정책 (최소 권한)

다음 예시 정책은 Google SecOps에서 모든 AWS IAM 작업을 실행하는 데 필요한 권한을 보여줍니다.

IAM 정책을 만들고 연결하는 방법은 AWS 문서의 IAM 정책 만들기를 참고하세요.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "SecOpsIAMDiscovery",
      "Effect": "Allow",
      "Action": [
        "iam:GetAccountSummary",
        "iam:ListUsers",
        "iam:ListGroups",
        "iam:ListPolicies"
      ],
      "Resource": "*"
    },
    {
      "Sid": "SecOpsIAMManagement",
      "Effect": "Allow",
      "Action": [
        "iam:CreateUser",
        "iam:CreateGroup",
        "iam:CreatePolicy",
        "iam:AddUserToGroup",
        "iam:RemoveUserFromGroup",
        "iam:PutUserPolicy",
        "iam:AttachUserPolicy",
        "iam:AttachGroupPolicy",
        "iam:AttachRolePolicy"
      ],
      "Resource": [
        "arn:aws:iam::*:user/*",
        "arn:aws:iam::*:group/*",
        "arn:aws:iam::*:role/*",
        "arn:aws:iam::*:policy/*"
      ]
    }
  ]
}

통합 매개변수

다음 매개변수를 사용하여 통합을 구성합니다.

매개변수 표시 이름	유형	기본값	필수 항목	설명
AWS 액세스 키 ID	문자열	해당 사항 없음	예	통합에 사용할 AWS 액세스 키 ID입니다.
AWS 보안 비밀 키	비밀번호	해당 사항 없음	예	통합에 사용할 AWS 보안 비밀 키입니다.
SSL 확인	불리언	참	아니요	선택하면 통합에서 AWS IAM 서버에 연결할 때 SSL 인증서를 검증합니다.

Google SecOps에서 통합을 구성하는 방법에 대한 안내는 통합 구성을 참고하세요.

필요한 경우 이후 단계에서 변경할 수 있습니다. 통합 인스턴스를 구성한 후 플레이북에서 사용할 수 있습니다. 여러 인스턴스를 구성하고 지원하는 방법에 관한 자세한 내용은 여러 인스턴스 지원을 참고하세요.

작업

작업에 대한 자세한 내용은 Workdesk에서 대기 중인 작업에 응답 및 직접 조치 실행을 참고하세요.

그룹에 사용자 추가

지정된 사용자를 지정된 IAM 그룹에 추가합니다. 그룹을 사용하여 여러 사용자에게 동일한 권한 정책을 한 번에 적용합니다.

매개변수

매개변수 표시 이름	유형	기본값	필수 항목	설명
그룹 이름	문자열	해당 사항 없음	예	업데이트할 그룹의 이름입니다. 참고: 그룹 이름에는 공백을 포함할 수 없으며 영숫자 문자 또는 +=.@_-만 포함해야 합니다.
사용자 이름	문자열	해당 사항 없음	예	추가할 사용자의 이름입니다. 참고: 사용자 이름에는 공백을 포함할 수 없으며 영숫자 및/또는 +=.@_-만 포함해야 합니다. 쉼표로 구분된 값입니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우: '사용자 <사용자 이름>이(가) IAM 그룹 <그룹 이름>에 추가되었습니다.'를 출력합니다. 오류 - 그룹이 없거나 사용자가 없는 경우: *그룹이 없는 경우:* '<UserName>을(를) <Group name>에 추가할 수 없습니다. <group name> 그룹을 찾을 수 없습니다.'를 출력합니다. 사용자가 없는 경우/둘 다 없는 경우: '<UserName>을(를) <Group name>에 추가할 수 없습니다. <user name> 사용자를 찾을 수 없습니다.'를 출력합니다. 오류가 있는 경우 사용자 제한 - IAM 사용자는 10개 그룹의 구성원일 수 있음 그룹 제한 - 그룹에 5,000명의 사용자가 있을 수 있음 '현재 AWS 계정 한도를 초과하는 리소스를 생성하려고 했기 때문에 <UserName>을(를) <Group name>에 추가할 수 없습니다.'를 출력합니다. 작업이 실패하고 플레이북 실행을 중지합니다. 성공하지 못한 경우 (잘못된 사용자 인증 정보, 연결 없음, 기타 SDK 오류): '그룹에 사용자 추가 ' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우: '사용자 <사용자 이름>이(가) IAM 그룹 <그룹 이름>에 추가되었습니다.'를 출력합니다.
오류 - 그룹이 없거나 사용자가 없는 경우:
그룹이 없는 경우: '<UserName>을(를) <Group name>에 추가할 수 없습니다. <group name> 그룹을 찾을 수 없습니다.'를 출력합니다.
사용자가 없는 경우/둘 다 없는 경우: '<UserName>을(를) <Group name>에 추가할 수 없습니다. <user name> 사용자를 찾을 수 없습니다.'를 출력합니다.
오류가 있는 경우
사용자 제한 - IAM 사용자는 10개 그룹의 구성원일 수 있음
그룹 제한 - 그룹에 5,000명의 사용자가 있을 수 있음
'현재 AWS 계정 한도를 초과하는 리소스를 생성하려고 했기 때문에 <UserName>을(를) <Group name>에 추가할 수 없습니다.'를 출력합니다.

작업이 실패하고 플레이북 실행을 중지합니다.

성공하지 못한 경우 (잘못된 사용자 인증 정보, 연결 없음, 기타 SDK 오류): '그룹에 사용자 추가 ' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}

일반

정책 연결

지정된 관리 정책을 ID (사용자, 그룹, 역할)에 연결합니다.

매개변수

매개변수 표시 이름	유형	기본값	필수 항목	설명
ID 유형	DDL (User, Group, Role)	그룹	예	IAM ID 유형입니다.
ID 이름	문자열	해당 사항 없음	예	정책을 연결할 ID의 이름 (ARN이 아닌 친숙한 이름)입니다. ID 이름에는 공백이 포함될 수 없으며 영숫자 및/또는 +=.@_-만 포함해야 합니다.
정책 이름	문자열	해당 사항 없음	예	정책을 연결할 정책의 이름 (ARN이 아닌 친숙한 이름)입니다. 정책 이름에는 공백이 포함될 수 없으며 영숫자 문자 또는 +=.@_-만 포함해야 합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우: '정책이 <ID 유형>: <ID 이름>에 연결되었습니다.' 출력 작업이 실패하고 플레이북 실행을 중지합니다. 오류가 있는 경우: '<정책 이름> 정책을 만들 수 없습니다. 정책 이름은 계정 내에서 고유해야 합니다. 오류가 발생한 경우 - ID 이름이 잘못됨: '<정책 이름>을 <ID 유형>: <ID 이름>에 연결할 수 없습니다. 이름에는 영숫자 및 +=,.@_-만 포함해야 합니다.'를 출력합니다. 성공하지 못한 경우 (잘못된 사용자 인증 정보, 서버 연결 없음, 기타 서버 오류): '정책 연결' 작업을 실행하는 중에 오류가 발생했다고 출력합니다. 이유: {exception.stacktrace}	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우: '정책이 <ID 유형>: <ID 이름>에 연결되었습니다.' 출력

작업이 실패하고 플레이북 실행을 중지합니다.

오류가 있는 경우: '<정책 이름> 정책을 만들 수 없습니다. 정책 이름은 계정 내에서 고유해야 합니다.
오류가 발생한 경우 - ID 이름이 잘못됨: '<정책 이름>을 <ID 유형>: <ID 이름>에 연결할 수 없습니다. 이름에는 영숫자 및 +=,.@_-만 포함해야 합니다.'를 출력합니다.
성공하지 못한 경우 (잘못된 사용자 인증 정보, 서버 연결 없음, 기타 서버 오류): '정책 연결' 작업을 실행하는 중에 오류가 발생했다고 출력합니다. 이유: {exception.stacktrace}

일반

그룹 만들기

AWS 계정의 새 IAM 그룹을 만듭니다. 그룹을 설정하려면 그룹을 만들어야 합니다. 그런 다음 그룹의 사용자가 수행할 작업 유형에 따라 그룹에 권한을 부여합니다. 마지막으로 사용자를 그룹에 추가합니다.

매개변수

매개변수 표시 이름	유형	기본값	필수 항목	설명
그룹 이름	문자열	해당 사항 없음	예	만들려는 그룹의 이름입니다. 쉼표로 구분된 값입니다. 참고: 그룹 이름에는 공백을 포함할 수 없으며 영숫자 및 +=.@_-만 포함해야 합니다. 이름은 계정 내에서 고유해야 합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

JSON 결과

[{
   "Arn":"arn:aws:iam::582302349248:group/ZivGroup",
   "CreateDate":"2020-12-05 16:18:36+00:00",
   "Path":"/",
   "GroupId":"'AGPAYPE7MW7AMKCWMJPMX",
   "GroupName":"ZivGroup"
}]

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우 (일부/모든 그룹 이름이 유효한 경우): '다음 그룹을 IAM에 추가했습니다. <그룹 이름>'을 출력합니다. 오류 - 그룹이 이미 있는 경우: '다음 그룹을 IAM에 추가할 수 없습니다. <그룹 이름>. 이름은 계정 내에서 고유해야 합니다. 오류가 있는 경우 (잘못된 그룹 이름이 몇 개 있음): '다음 그룹을 IAM에 추가할 수 없습니다. <그룹 이름>. 그룹 이름에는 영숫자 및/또는 +=,.@_-만 포함해야 합니다.'라고 출력합니다. 오류가 있는 경우 (제한을 발생시킵니다. 계정당 최대 500개 그룹): '다음 그룹을 IAM에 추가할 수 없습니다. AWS 계정의 그룹 제한에 도달했습니다. 작업이 실패하고 플레이북 실행을 중지해야 합니다. 실패한 경우 (모든 이름이 잘못됨, 잘못된 사용자 인증 정보, 연결 없음, 기타 오류): '그룹 만들기 ' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우 (일부/모든 그룹 이름이 유효한 경우): '다음 그룹을 IAM에 추가했습니다. <그룹 이름>'을 출력합니다.
오류 - 그룹이 이미 있는 경우: '다음 그룹을 IAM에 추가할 수 없습니다. <그룹 이름>. 이름은 계정 내에서 고유해야 합니다.
오류가 있는 경우 (잘못된 그룹 이름이 몇 개 있음): '다음 그룹을 IAM에 추가할 수 없습니다. <그룹 이름>. 그룹 이름에는 영숫자 및/또는 +=,.@_-만 포함해야 합니다.'라고 출력합니다.
오류가 있는 경우 (제한을 발생시킵니다. 계정당 최대 500개 그룹): '다음 그룹을 IAM에 추가할 수 없습니다. AWS 계정의 그룹 제한에 도달했습니다.

작업이 실패하고 플레이북 실행을 중지해야 합니다.

실패한 경우 (모든 이름이 잘못됨, 잘못된 사용자 인증 정보, 연결 없음, 기타 오류): '그룹 만들기 ' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}

일반

정책 만들기

AWS 계정에 대한 IAM 고객 관리 정책을 만듭니다. 이 작업은 버전 식별자가 v1인 정책 버전을 만들고 v1을 정책의 기본 버전으로 설정합니다.

매개변수

매개변수 표시 이름	유형	기본값	필수 항목	설명
정책 이름	문자열	해당 사항 없음	예	만들려는 정책의 이름입니다. 정책 이름에는 공백이 포함될 수 없으며 영숫자 문자 또는 +=.@_-만 포함해야 합니다. 정책 이름은 계정 내에서 고유해야 합니다.
정책 문서	문자열	해당 사항 없음	예	새 정책의 콘텐츠로 사용할 JSON 정책 문서입니다.
설명	문자열	해당 사항 없음	아니요	정책에 대한 설명입니다.일반적으로 정책에 정의된 권한에 관한 정보를 저장하는 데 사용됩니다. 예를 들어 '프로덕션 DynamoDB 테이블에 대한 액세스 권한을 부여합니다.' 정책 설명은 변경할 수 없습니다. 값이 할당된 후에는 변경할 수 없습니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

JSON 결과

{
    "PolicyName": "S3-read-only-bucket",
    "PolicyId": "ANPAYPE7MW7AFKUDK3HD7",
    "Arn": "arn:aws:iam::582302349248:policy/S3-read-only-bucket",
    "Path": "/",
    "DefaultVersionId": "v1",
    "AttachmentCount": 0,
    "PermissionsBoundaryUsageCount": 0,
    "IsAttachable": true,
    "CreateDate": "2020-12-6T17:16:45",
    "UpdateDate": "2020-12-6T17:16:45"
}

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우: '<정책 이름> 정책이 생성되었습니다'를 출력합니다. 작업이 실패하고 플레이북 실행을 중지해야 합니다. 오류 - 정책이 이미 있는 경우: '<정책 이름> 정책을 만들 수 없습니다. 정책 이름은 계정 내에서 고유해야 합니다. 오류가 발생한 경우(정책 이름이 잘못됨): '<정책 이름> 정책을 만들 수 없습니다. 정책 이름에는 영숫자 문자 또는 다음 문자만 포함해야 합니다. +=,.@_-. 오류가 발생한 경우 - 정책 문서가 잘못된 형식임 : '<정책 이름> 정책을 만들 수 없습니다. 정책 문서의 형식이 잘못되었습니다.이유: {exception.stacktrace} 실패한 경우 (LimitExceededException, 잘못된 사용자 인증 정보, 연결 없음, 기타 오류): '정책 만들기' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우: '<정책 이름> 정책이 생성되었습니다'를 출력합니다.

작업이 실패하고 플레이북 실행을 중지해야 합니다.

오류 - 정책이 이미 있는 경우: '<정책 이름> 정책을 만들 수 없습니다. 정책 이름은 계정 내에서 고유해야 합니다.
오류가 발생한 경우(정책 이름이 잘못됨): '<정책 이름> 정책을 만들 수 없습니다. 정책 이름에는 영숫자 문자 또는 다음 문자만 포함해야 합니다. +=,.@_-.
오류가 발생한 경우 - 정책 문서가 잘못된 형식임 : '<정책 이름> 정책을 만들 수 없습니다. 정책 문서의 형식이 잘못되었습니다.이유: {exception.stacktrace}

실패한 경우 (LimitExceededException, 잘못된 사용자 인증 정보, 연결 없음, 기타 오류): '정책 만들기' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}

일반

사용자 만들기

AWS 계정의 새 IAM 사용자를 만듭니다. 쉼표로 구분된 값을 사용하여 한 번에 여러 사용자를 추가할 수 있습니다. 이 단계에서는 정책이 적용되지 않습니다.

매개변수

매개변수 표시 이름	유형	기본값	필수 항목	설명
사용자 이름	문자열	해당 사항 없음	예	생성할 사용자의 이름입니다. 쉼표로 구분된 값입니다. 참고: 사용자 이름에는 공백을 포함할 수 없으며 영숫자 및 +=.@_-만 포함해야 합니다. 이름은 계정 내에서 고유해야 합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

JSON 결과

[{
   "Arn":"arn:aws:iam::582302349248:user/ziv",
   "CreateDate":"2020-12-03T12:12:20",
   "Path":"/",
   "UserId":"AIDAYPE7MW7AFMHK4WCHS",
   "UserName":"ziv"
}]

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우 (유효한 사용자 이름이 몇 개 있는 경우): '다음 사용자를 IAM에 추가했습니다. <사용자 이름>'을 출력합니다. 오류 - 사용자가 이미 있는 경우: '다음 사용자를 IAM에 추가할 수 없습니다. <사용자 이름>. 이름은 계정 내에서 고유해야 합니다. 오류 (일부 사용자 이름이 잘못됨): '다음 사용자를 IAM에 추가할 수 없습니다: <사용자 이름>. 사용자 이름에는 영숫자 및/또는 다음 기호만 포함해야 합니다: +=,.@-.'를 출력합니다. 오류가 있는 경우 (제한사항을 제기합니다. 계정당 최대 5,000명의 사용자): '다음 사용자를 IAM에 추가할 수 없습니다. AWS 계정의 사용자 한도에 도달했습니다. 참고: 아무 일도 일어나지 않은 경우: 모든 사용자가 무효/존재/한도 → 작업이 실패해야 함 작업이 실패하고 플레이북 실행을 중지해야 합니다. 성공하지 못한 경우 (모든 사용자 이름이 잘못됨, 잘못된 사용자 인증 정보, 연결 없음, 기타 오류): '사용자 만들기' 작업을 실행하는 중에 오류가 발생했다고 출력합니다. 이유: {exception.stacktrace} 참고: 모든 사용자 이름이 잘못된 경우 'Error executing action 'Create a User'. 이유: {invalid usernames}: 사용자 이름에는 영숫자 문자 또는 다음 문자만 포함해야 합니다. +=,.@-. {existing usernames}: 이름은 계정 내에서 고유해야 합니다.	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우 (유효한 사용자 이름이 몇 개 있는 경우): '다음 사용자를 IAM에 추가했습니다. <사용자 이름>'을 출력합니다.
오류 - 사용자가 이미 있는 경우: '다음 사용자를 IAM에 추가할 수 없습니다. <사용자 이름>. 이름은 계정 내에서 고유해야 합니다.
오류 (일부 사용자 이름이 잘못됨): '다음 사용자를 IAM에 추가할 수 없습니다: <사용자 이름>. 사용자 이름에는 영숫자 및/또는 다음 기호만 포함해야 합니다: +=,.@-.'를 출력합니다.
오류가 있는 경우 (제한사항을 제기합니다. 계정당 최대 5,000명의 사용자): '다음 사용자를 IAM에 추가할 수 없습니다. AWS 계정의 사용자 한도에 도달했습니다.

참고: 아무 일도 일어나지 않은 경우: 모든 사용자가 무효/존재/한도 → 작업이 실패해야 함

작업이 실패하고 플레이북 실행을 중지해야 합니다.

성공하지 못한 경우 (모든 사용자 이름이 잘못됨, 잘못된 사용자 인증 정보, 연결 없음, 기타 오류): '사용자 만들기' 작업을 실행하는 중에 오류가 발생했다고 출력합니다. 이유: {exception.stacktrace}

참고: 모든 사용자 이름이 잘못된 경우 'Error executing action 'Create a User'. 이유: {invalid usernames}: 사용자 이름에는 영숫자 문자 또는 다음 문자만 포함해야 합니다. +=,.@-. {existing usernames}: 이름은 계정 내에서 고유해야 합니다.

일반

사용자 액세스 권한 사용 중지

명시적 인라인 거부 정책을 추가하여 AWS에서 사용자 액세스를 사용 중지합니다.

이 작업은 제휴 사용자 또는 IAM 역할이 아닌 일반 AWS 사용자만 지원합니다.

항목

이 작업은 사용자 항목에서 실행됩니다.

작업 입력

해당 사항 없음

작업 출력

작업 출력 유형
케이스 월 연결	해당 사항 없음
케이스 월 링크	해당 사항 없음
케이스 월 테이블	해당 사항 없음
보강 테이블	해당 사항 없음
JSON 결과	사용 가능
스크립트 결과	사용 가능

JSON 결과

[
  {
    "Entity": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com",
    "EntityResult": [
      {
        "fullResourceName": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com",
        "activityType": "serviceAccountLastAuthentication",
        "observationPeriod": {
          "startTime": "2023-05-23T07:00:00Z",
          "endTime": "2023-08-20T07:00:00Z"
        },
        "activity": {
          "lastAuthenticatedTime": "2023-08-20T07:00:00Z",
          "serviceAccount": {
            "serviceAccountId": "example-account-id",
            "projectNumber": "example-project-id",
            "fullResourceName": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com"
          }
        }
      }
    ]
  }
]

스크립트 결과

스크립트 결과 이름	값
is_success	참/거짓

케이스 월

이 작업은 다음 출력 메시지를 제공합니다.

출력 메시지 메시지 설명

출력 메시지	메시지 설명
`Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST` `Action wasn't able to find the following users in AWS IAM: USERNAME_LIST` `Action wasn't able to add deny policy to the following users in AWS IAM: USERNAME_LIST`	작업이 완료되었습니다.
`Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST`	작업이 실패했습니다. 오류로 인해 제공된 사용자 중 한 명 이상에게 거부 정책을 적용할 수 없습니다.
`Error executing action "Disable User Access". Reason: ERROR_REASON`	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST

Action wasn't able to find the following users in AWS IAM: USERNAME_LIST

Action wasn't able to add deny policy to the following users in AWS IAM: USERNAME_LIST

작업이 완료되었습니다.

Successfully added deny policy to the following users in AWS
      IAM: USERNAME_LIST

작업이 실패했습니다.

오류로 인해 제공된 사용자 중 한 명 이상에게 거부 정책을 적용할 수 없습니다.

Error executing action "Disable User Access". Reason:
      ERROR_REASON

작업이 실패했습니다.

서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

그룹 나열

IAM의 모든 그룹 목록을 가져옵니다.

매개변수

매개변수 표시 이름	유형	기본값	필수 항목	설명
반환할 최대 그룹 수	정수	50	아니요	반환할 그룹 수를 지정합니다. 최대 그룹 수는 1,000개입니다. 기본값은 50입니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

JSON 결과

[{
   "Arn":"arn:aws:iam::582302349248:group/ZivGroup",
   "CreateDate":"2020-12-05 16:18:36+00:00",
   "Path":"/",
   "GroupId":"AGPAYPE7MW7AMKCWMJPMX",
   "GroupName":"ZivGroup"
}]

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우: 'AWS IAM에서 사용 가능한 그룹을 나열했습니다.' 출력 데이터가 없는 경우: 'AWS IAM에서 그룹을 찾을 수 없음'을 출력합니다. 작업이 실패하고 플레이북 실행을 중지해야 합니다. 성공하지 못한 경우 (잘못된 사용자 인증 정보, 서버 연결 없음, 기타 서버 오류, '최대 그룹'이 1,000보다 큰 경우): '그룹 목록' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}	일반
CSV 표	제목: IAM 그룹 열: 그룹 이름 그룹 ID ARN 생성일	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우: 'AWS IAM에서 사용 가능한 그룹을 나열했습니다.' 출력

데이터가 없는 경우: 'AWS IAM에서 그룹을 찾을 수 없음'을 출력합니다.

작업이 실패하고 플레이북 실행을 중지해야 합니다.

성공하지 못한 경우 (잘못된 사용자 인증 정보, 서버 연결 없음, 기타 서버 오류, '최대 그룹'이 1,000보다 큰 경우): '그룹 목록' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}

일반

CSV 표

제목: IAM 그룹

열:

그룹 이름

그룹 ID

ARN

생성일

일반

정책 나열

자체 고객 정의 관리 정책과 모든 AWS 관리 정책을 비롯하여 AWS 계정에서 사용할 수 있는 모든 관리 정책을 나열합니다. 선택사항인 Only Attached, Scope, Policy Usage 매개변수를 사용하여 반환되는 정책 목록을 필터링할 수 있습니다. 예를 들어 AWS 계정의 고객 관리 정책만 나열하려면 범위를 Local로 설정합니다. AWS 관리 정책만 나열하려면 범위를 AWS로 설정합니다.

매개변수

매개변수 표시 이름	유형	기본값	필수 항목	설명
첨부된 항목만	불리언	아니요	아니요	선택하면 IAM 사용자, 그룹 또는 역할에 연결된 정책만 결과로 필터링됩니다. 선택 해제하면 모든 정책이 반환됩니다.
범위	DDL (전체, AWS, 로컬)	전체	아니요	결과를 필터링하는 데 사용할 범위입니다. AWS 관리 정책만 나열하려면 범위를 AWS로 설정합니다. AWS 계정의 고객 관리 정책만 나열하려면 범위를 '로컬'로 설정하세요. 기본적으로 모든 정책이 반환됩니다.
반환할 최대 정책 수	정수	100	아니요	반환할 정책 수를 지정합니다. 기본값은 100입니다. 최댓값은 1,000입니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

JSON 결과

[{
'PolicyName': 'string',
'PolicyId': 'string',
'Arn': 'string',
'Path': 'string',
'DefaultVersionId': 'string',
'AttachmentCount': 123,
'PermissionsBoundaryUsageCount': 123,
'IsAttachable': True|False,
'Description': 'string',
'CreateDate': "2020-12-6T17:16:45",
'UpdateDate':"2020-12-6T17:16:45"
}]

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우: 'AWS IAM에서 사용 가능한 정책을 나열했습니다.'를 출력합니다. '최대 정책' 값이 필터를 기반으로 일치하는 정책보다 작은 경우: 'AWS IAM에서 사용 가능한 정책을 나열했습니다. 제공된 필터와 일치하는 정책이 추가로 있습니다." 데이터가 없는 경우: 'AWS IAM에 정책이 없습니다'를 출력합니다. 작업이 실패하고 플레이북 실행을 중지해야 합니다. 성공하지 못한 경우 (잘못된 사용자 인증 정보, 서버 연결 없음, 기타 서버 오류, 최대>1000): '정책 나열 ' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}	일반
CSV 표	제목: IAM 정책 열: 정책 이름 정책 ID 생성 날짜 업데이트 날짜	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우: 'AWS IAM에서 사용 가능한 정책을 나열했습니다.'를 출력합니다.
'최대 정책' 값이 필터를 기반으로 일치하는 정책보다 작은 경우: 'AWS IAM에서 사용 가능한 정책을 나열했습니다. 제공된 필터와 일치하는 정책이 추가로 있습니다."
데이터가 없는 경우: 'AWS IAM에 정책이 없습니다'를 출력합니다.

작업이 실패하고 플레이북 실행을 중지해야 합니다.

성공하지 못한 경우 (잘못된 사용자 인증 정보, 서버 연결 없음, 기타 서버 오류, 최대>1000): '정책 나열 ' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}

일반

CSV 표

제목: IAM 정책

열:

정책 이름

정책 ID

생성 날짜

업데이트 날짜

일반

사용자 표시

IAM의 모든 사용자 목록을 가져옵니다.

매개변수

매개변수 표시 이름	유형	기본값	필수 항목	설명
반환할 최대 사용자 수	정수	50	아니요	반환할 사용자 수를 지정합니다. 최대 1,000명의 사용자가 참여할 수 있습니다. 기본값은 50입니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

JSON 결과

[{
   "Arn":"arn:aws:iam::582302349248:user/ziv",
   "CreateDate":"2020-12-03T12:12:20",
   "Path":"/",
   "UserId":"AIDAYPE7MW7AFMHK4WCHS",
   "UserName":"ziv"
}]

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우: 'AWS IAM에서 사용 가능한 사용자를 나열했습니다.'를 출력합니다. 사용 가능한 데이터가 없는 경우: 'AWS IAM에서 사용자를 찾을 수 없음'을 출력합니다. 작업이 실패하고 플레이북 실행을 중지해야 합니다. 성공하지 못한 경우 (잘못된 사용자 인증 정보, 서버 연결 없음, 기타 서버 오류, max>10000인 경우): '사용자 목록' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}	일반
CSV 표	제목: IAM 사용자 열: 사용자 이름 사용자 ID ARN 생성일	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우: 'AWS IAM에서 사용 가능한 사용자를 나열했습니다.'를 출력합니다.

사용 가능한 데이터가 없는 경우: 'AWS IAM에서 사용자를 찾을 수 없음'을 출력합니다.

작업이 실패하고 플레이북 실행을 중지해야 합니다.

성공하지 못한 경우 (잘못된 사용자 인증 정보, 서버 연결 없음, 기타 서버 오류, max>10000인 경우): '사용자 목록' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}

일반

CSV 표

제목: IAM 사용자

열:

사용자 이름

사용자 ID

ARN

생성일

일반

핑

Google Security Operations Marketplace 탭의 통합 구성 페이지에서 제공된 매개변수를 사용하여 AWS IAM에 대한 연결을 테스트합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우: '제공된 연결 매개변수를 사용하여 AWS IAM 서버에 연결되었습니다.' 출력 작업이 실패하고 플레이북 실행을 중지합니다. 성공하지 못한 경우: 'AWS IAM 서버에 연결할 수 없습니다. 오류: {0}".format(exception.stacktrace)	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우: '제공된 연결 매개변수를 사용하여 AWS IAM 서버에 연결되었습니다.' 출력

작업이 실패하고 플레이북 실행을 중지합니다.

성공하지 못한 경우: 'AWS IAM 서버에 연결할 수 없습니다. 오류: {0}".format(exception.stacktrace)

일반

그룹에서 사용자 삭제

지정된 사용자를 지정된 IAM 그룹에 추가합니다. 그룹을 사용하여 여러 사용자에게 동일한 권한 정책을 한 번에 적용합니다.

매개변수

매개변수 표시 이름	유형	기본값	필수 항목	설명
그룹 이름	문자열	해당 사항 없음	예	업데이트할 그룹의 이름입니다. 참고: 그룹 이름에는 공백을 포함할 수 없으며 영숫자 문자 또는 +=.@_-만 포함해야 합니다.
사용자 이름	문자열	해당 사항 없음	예	삭제할 사용자의 이름입니다. 참고: 사용자 이름에는 공백을 포함할 수 없으며 영숫자 및/또는 +=.@_-만 포함해야 합니다. 쉼표로 구분된 값입니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우: '<사용자 이름>이(가) 그룹 <그룹 이름>에서 삭제되었습니다'를 출력합니다. 오류 - 그룹이 없거나 사용자가 없는 경우: *그룹이 없는 경우:* '<UserName>을(를) <Group name>에서 삭제할 수 없습니다. 그룹 <group name>을(를) 찾을 수 없습니다.'를 출력합니다. 사용자가 없거나 둘 다 없는 경우: '<UserName>을(를) <Group name>에서 삭제할 수 없습니다. 사용자 <user name>을(를) 찾을 수 없습니다.'를 출력합니다. 오류가 있는 경우 사용자 제한 - IAM 사용자는 10개 그룹의 구성원이 될 수 있음 그룹 제한 - 그룹에 5,000명의 사용자가 있을 수 있음 '현재 AWS 계정 한도를 초과하는 리소스를 만들려고 시도했기 때문에 <UserName>을(를) <Group name>에서 삭제할 수 없습니다.'를 출력합니다. 작업이 실패하고 플레이북 실행을 중지합니다. 성공하지 못한 경우 (잘못된 사용자 인증 정보, 연결 없음, 기타 SDK 오류): '그룹에서 사용자 삭제 ' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우: '<사용자 이름>이(가) 그룹 <그룹 이름>에서 삭제되었습니다'를 출력합니다.
오류 - 그룹이 없거나 사용자가 없는 경우:
그룹이 없는 경우: '<UserName>을(를) <Group name>에서 삭제할 수 없습니다. 그룹 <group name>을(를) 찾을 수 없습니다.'를 출력합니다.
사용자가 없거나 둘 다 없는 경우: '<UserName>을(를) <Group name>에서 삭제할 수 없습니다. 사용자 <user name>을(를) 찾을 수 없습니다.'를 출력합니다.
오류가 있는 경우
사용자 제한 - IAM 사용자는 10개 그룹의 구성원이 될 수 있음
그룹 제한 - 그룹에 5,000명의 사용자가 있을 수 있음
'현재 AWS 계정 한도를 초과하는 리소스를 만들려고 시도했기 때문에 <UserName>을(를) <Group name>에서 삭제할 수 없습니다.'를 출력합니다.

작업이 실패하고 플레이북 실행을 중지합니다.

성공하지 못한 경우 (잘못된 사용자 인증 정보, 연결 없음, 기타 SDK 오류): '그룹에서 사용자 삭제 ' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}

일반

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.

AWS Identity and Access Management (IAM)를 Google SecOps와 통합

사용 사례

시작하기 전에

네트워크 요구사항

인증 및 사용자 인증 정보

작업 권한 구성

빠른 참조 (ActionName:Permission)

샘플 IAM 정책 (최소 권한)

통합 매개변수

작업

그룹에 사용자 추가

매개변수

작업 결과

스크립트 결과

케이스 월

정책 연결

매개변수

작업 결과

스크립트 결과

케이스 월

그룹 만들기

매개변수

작업 결과

스크립트 결과

JSON 결과

케이스 월

정책 만들기

매개변수

작업 결과

스크립트 결과

JSON 결과

케이스 월

사용자 만들기

매개변수

작업 결과

스크립트 결과

JSON 결과

케이스 월

사용자 액세스 권한 사용 중지

항목

작업 입력

작업 출력

JSON 결과

스크립트 결과

케이스 월

그룹 나열

매개변수

작업 결과

스크립트 결과

JSON 결과

케이스 월

정책 나열

매개변수

작업 결과

스크립트 결과

JSON 결과

케이스 월

사용자 표시

매개변수

작업 결과

스크립트 결과

JSON 결과

케이스 월

핑

작업 결과

스크립트 결과

케이스 월

그룹에서 사용자 삭제

매개변수

작업 결과

스크립트 결과

케이스 월

빠른 참조 (`ActionName:Permission`)