Google은 AI 기술을 사용하여 콘텐츠를 사용자의 기본 언어로 번역합니다. AI 번역에는 오류가 있을 수 있습니다.

AWS Identity and Access Management (IAM)를 Google SecOps와 통합

이 문서에서는 AWS Identity and Access Management를 Google Security Operations와 통합하는 방법을 설명합니다.

사용 사례

AWS IAM 통합은 Google SecOps 기능을 사용하여 다음 사용 사례를 지원합니다.

손상된 사용자 격리: 사고 대응 워크플로 중에 인라인 거부 정책을 적용하여 손상된 것으로 의심되는 IAM 사용자의 액세스 권한을 자동으로 취소합니다.
액세스 취소 및 권한 조정: 비정상적인 동작이 감지되면 민감한 IAM 그룹에서 사용자를 삭제하여 중요한 AWS 리소스에 대한 액세스를 즉시 제한합니다.
정책 및 그룹 관리: 관리형 IAM 정책 및 그룹의 생성 및 연결을 자동화하여 최소 권한 액세스 제어를 적용합니다.
ID 감사 및 상황 검색: 사용자, 그룹, 관리형 정책 목록을 검색하여 보안 알림을 보강하고 AWS 환경 전반에서 IAM 구성을 감사합니다.
자동 ID 프로비저닝: 자동 온보딩 또는 격리 해결 태스크의 일부로 IAM 사용자를 만들고 사전 정의된 기능 그룹에 할당합니다.

시작하기 전에

Google SecOps에서 AWS IAM 통합을 구성하기 전에 네트워크 환경과 AWS 사용자 인증 정보가 모든 운영 기본 요건을 충족하는지 확인합니다.

통합을 위해 환경을 준비하려면 다음을 완료해야 합니다.

Google SecOps와 AWS IAM 전역 서비스 엔드포인트 (iam.amazonaws.com) 간의 네트워크 가시성을 확인합니다.
적절한 IAM 권한이 있는 AWS 프로그래매틱 API 사용자 인증 정보 (액세스 키 ID 및 보안 비밀 액세스 키)를 가져옵니다.
Google SecOps 내에서 통합 인스턴스를 구성하고 테스트합니다.

네트워크 요구사항

Google SecOps는 HTTPS REST API 및 AWS Python SDK (boto3)를 사용하여 AWS IAM 서비스 엔드포인트와 직접 통신합니다.

네트워크 환경이 다음 연결 규칙을 충족하는지 확인하세요.

아웃바운드 HTTPS 액세스: Google SecOps 인스턴스 또는 원격 에이전트에서 포트 443/TCP을 통해 AWS IAM 전역 엔드포인트 (iam.amazonaws.com)로의 아웃바운드 HTTPS 통신을 사용 설정합니다.

AWS 엔드포인트에 대한 자세한 내용은 AWS 문서의 AWS 서비스 엔드포인트를 참조하세요.
프록시 구성: 조직에서 HTTP/HTTPS 프록시를 통해 아웃바운드 트래픽을 라우팅하는 경우 Google SecOps 서버 또는 원격 에이전트 호스트에서 표준 환경 프록시 변수(HTTP_PROXY, HTTPS_PROXY, NO_PROXY)를 구성합니다.

인증 및 사용자 인증 정보

AWS IAM 통합에는 AWS 서명 버전 4를 사용하여 요청을 인증하기 위한 프로그래매틱 API 사용자 인증 정보가 필요합니다.

AWS 환경이 다음 인증 요구사항을 충족하는지 확인합니다.

프로그래매틱 사용자 인증 정보: AWS IAM 사용자 또는 역할과 연결된 유효한 AWS 액세스 키 ID 및 AWS 보안 비밀 키를 가져옵니다.

IAM ID를 만들고 사용자 인증 정보를 생성하는 방법은 AWS 문서의 IAM 사용자를 위한 액세스 키 관리 및 IAM ID를 참조하세요.
최소 권한: 자동화된 워크플로에 필요한 작업으로만 권한을 제한하고 사용자 인증 정보를 주기적으로 순환합니다.

보안 권장사항에 대한 자세한 내용은 AWS 문서의 IAM의 보안 권장사항을 참조하세요.

작업 권한 구성

Google SecOps 플레이북에서 실행하는 작업에 필요한 특정 권한을 인증 AWS IAM ID에 부여합니다.

다음 표에서 AWS IAM 작업에 대한 최소 권한을 참조하세요.

액션명	필수 AWS IAM 권한 (`ActionName:Permission`)	기본 요건 권한	설명/리소스 범위
그룹에 사용자 추가	`iam:AddUserToGroup`	`iam:GetAccountSummary`	IAM 그룹에 IAM 사용자를 추가합니다. 리소스: 대상 IAM 그룹 ARN
정책 연결	`iam:AttachUserPolicy` `iam:AttachGroupPolicy` `iam:AttachRolePolicy`	`iam:ListPolicies`	관리형 정책을 IAM 사용자, 그룹 또는 역할에 연결합니다. 이름으로 정책 ARN을 조회하려면 `iam:ListPolicies`이 필요합니다.
그룹 만들기	`iam:CreateGroup`	`iam:GetAccountSummary`	새 IAM 그룹을 만듭니다. 리소스: 대상 IAM 그룹 ARN
정책 만들기	`iam:CreatePolicy`	`iam:GetAccountSummary`	새 고객 관리형 정책을 만듭니다. 리소스: 대상 IAM 정책 ARN
사용자 만들기	`iam:CreateUser`	`iam:GetAccountSummary`	새 IAM 사용자를 만듭니다. 리소스: 대상 IAM 사용자 ARN
사용자 액세스 사용 중지	`iam:PutUserPolicy`	—	인라인 거부 정책 (`DisableUserAccessPolicy`)을 연결하여 사용자 액세스를 취소합니다. 리소스: 대상 IAM 사용자 ARN
등록정보 그룹	`iam:ListGroups`	`iam:GetAccountSummary`	계정의 IAM 그룹을 나열합니다. 리소스: `*`
정책 나열	`iam:ListPolicies`	`iam:GetAccountSummary`	계정의 관리형 정책을 나열합니다. 리소스: `*`
사용자 나열	`iam:ListUsers`	`iam:GetAccountSummary`	계정의 IAM 사용자를 나열합니다. 리소스: `*`
Ping	`iam:GetAccountSummary`	—	통합 연결의 유효성을 검사합니다. 리소스: `*`
그룹에서 사용자 삭제	`iam:RemoveUserFromGroup`	`iam:GetAccountSummary`	IAM 그룹에서 IAM 사용자를 삭제합니다. 리소스: 대상 IAM 그룹 ARN

빠른 참조 (`ActionName:Permission`)

다음 빠른 참조를 사용하여 각 작업에 필요한 권한을 검토합니다.

Ping: iam:GetAccountSummary
Add a User to a Group: iam:AddUserToGroup, iam:GetAccountSummary
Attach a Policy: iam:ListPolicies, iam:AttachUserPolicy, iam:AttachGroupPolicy, iam:AttachRolePolicy
Create a Group: iam:CreateGroup, iam:GetAccountSummary
Create a Policy: iam:CreatePolicy, iam:GetAccountSummary
Create a User: iam:CreateUser, iam:GetAccountSummary
Disable User Access: iam:PutUserPolicy
List Groups: iam:ListGroups, iam:GetAccountSummary
List Policies: iam:ListPolicies, iam:GetAccountSummary
List Users: iam:ListUsers, iam:GetAccountSummary
Remove a User from a Group: iam:RemoveUserFromGroup, iam:GetAccountSummary

샘플 IAM 정책 (최소 권한)

다음 정책 예시는 Google SecOps에서 모든 AWS IAM 작업을 실행하는 데 필요한 권한을 보여줍니다.

IAM 정책을 만들고 연결하는 방법은 AWS 문서의 IAM 정책 만들기를 참조하세요.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "SecOpsIAMDiscovery",
      "Effect": "Allow",
      "Action": [
        "iam:GetAccountSummary",
        "iam:ListUsers",
        "iam:ListGroups",
        "iam:ListPolicies"
      ],
      "Resource": "*"
    },
    {
      "Sid": "SecOpsIAMManagement",
      "Effect": "Allow",
      "Action": [
        "iam:CreateUser",
        "iam:CreateGroup",
        "iam:CreatePolicy",
        "iam:AddUserToGroup",
        "iam:RemoveUserFromGroup",
        "iam:PutUserPolicy",
        "iam:AttachUserPolicy",
        "iam:AttachGroupPolicy",
        "iam:AttachRolePolicy"
      ],
      "Resource": [
        "arn:aws:iam::*:user/*",
        "arn:aws:iam::*:group/*",
        "arn:aws:iam::*:role/*",
        "arn:aws:iam::*:policy/*"
      ]
    }
  ]
}

통합 매개변수

다음 매개변수를 사용하여 통합을 구성합니다.

매개변수 표시 이름	유형	기본값	필수 항목	설명
AWS 액세스 키 ID	문자열	해당 사항 없음	예	통합에 사용할 AWS 액세스 키 ID입니다.
AWS 보안 비밀 키	비밀번호	해당 사항 없음	예	통합에 사용할 AWS 보안 비밀 키입니다.
SSL 확인	불리언	참	아니요	선택하면 통합에서 AWS IAM 서버에 연결할 때 SSL 인증서를 검증합니다.

Google SecOps에서 통합을 구성하는 방법에 대한 안내는 통합 구성을 참조하세요.

필요한 경우 이후 단계에서 변경할 수 있습니다. 통합 인스턴스를 구성한 후 플레이북에서 사용할 수 있습니다. 여러 인스턴스를 구성하고 지원하는 방법에 관한 자세한 내용은 다중 인스턴스 지원을 참고하세요.

작업

작업에 대한 자세한 내용은 Workdesk의 대기 중인 작업에 응답 및 케이스에서 수동 작업 실행을 참고하세요.

그룹에 사용자 추가

지정된 사용자를 지정된 IAM 그룹에 추가합니다. 그룹을 사용하여 여러 사용자에게 동일한 권한 정책을 한 번에 적용합니다.

매개변수

매개변수 표시 이름	유형	기본값	필수 항목	설명
그룹 이름	문자열	해당 사항 없음	예	업데이트할 그룹의 이름입니다. 참고: 그룹 이름에는 공백을 포함할 수 없으며 영숫자 문자 또는 +=.@_-.만 포함해야 합니다.
사용자 이름	문자열	해당 사항 없음	예	추가할 사용자의 이름입니다. 참고: 사용자 이름에는 공백을 포함할 수 없으며 영숫자 문자 또는 +=.@_-.만 포함해야 합니다. 쉼표로 구분된 값입니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우: '<사용자 이름> 사용자를 IAM 그룹(<그룹 이름>)에 추가했습니다.' 출력 오류가 발생한 경우 - 그룹이 존재하지 않거나 사용자가 존재하지 않음: *그룹이 존재하지 않음:* '<UserName>을(를) <Group name>에 추가할 수 없습니다. <group name> 그룹을 찾을 수 없습니다. 사용자가 존재하지 않음/둘 다: '<UserName>을(를) <Group name>에 추가할 수 없습니다. <user name> 사용자를 찾을 수 없습니다. 오류가 발생한 경우 사용자 제한 - IAM 사용자는 10개 그룹의 구성원이 될 수 있습니다. 그룹 제한 - 5,000명의 사용자가 그룹에 속할 수 있습니다. '현재 AWS 계정 한도를 초과하여 리소스를 만들려고 시도했기 때문에 <UserName>을(를) <Group name>에 추가할 수 없습니다.'를 출력합니다. 작업이 실패하고 플레이북 실행을 중지합니다. 성공하지 못한 경우 (잘못된 사용자 인증 정보, 연결 없음, 기타 SDK 오류): '그룹에 사용자 추가 ' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우: '<사용자 이름> 사용자를 IAM 그룹(<그룹 이름>)에 추가했습니다.' 출력
오류가 발생한 경우 - 그룹이 존재하지 않거나 사용자가 존재하지 않음:
그룹이 존재하지 않음: '<UserName>을(를) <Group name>에 추가할 수 없습니다. <group name> 그룹을 찾을 수 없습니다.
사용자가 존재하지 않음/둘 다: '<UserName>을(를) <Group name>에 추가할 수 없습니다. <user name> 사용자를 찾을 수 없습니다.
오류가 발생한 경우
사용자 제한 - IAM 사용자는 10개 그룹의 구성원이 될 수 있습니다.
그룹 제한 - 5,000명의 사용자가 그룹에 속할 수 있습니다.
'현재 AWS 계정 한도를 초과하여 리소스를 만들려고 시도했기 때문에 <UserName>을(를) <Group name>에 추가할 수 없습니다.'를 출력합니다.

작업이 실패하고 플레이북 실행을 중지합니다.

성공하지 못한 경우 (잘못된 사용자 인증 정보, 연결 없음, 기타 SDK 오류): '그룹에 사용자 추가 ' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}

일반

정책 연결

지정된 관리형 정책을 ID (사용자, 그룹, 역할)에 연결합니다.

매개변수

매개변수 표시 이름	유형	기본값	필수 항목	설명
ID 유형	DDL (사용자, 그룹, 역할)	그룹	예	IAM ID 유형입니다.
ID 이름	문자열	해당 사항 없음	예	정책을 연결할 ID의 이름 (ARN이 아닌 친숙한 이름)입니다. ID 이름에는 공백을 포함할 수 없으며 영숫자 문자 또는 +=.@_-.만 포함해야 합니다.
정책 이름	문자열	해당 사항 없음	예	정책을 연결할 정책의 이름 (ARN이 아닌 친숙한 이름)입니다. 정책 이름에는 공백을 포함할 수 없으며 영숫자 문자 또는 +=.@_-.만 포함해야 합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우: '정책이 <Identity Type>: <Identity Name>에 연결되었습니다.' 출력 작업이 실패하고 플레이북 실행을 중지합니다. 오류가 발생하면 '<정책 이름> 정책을 만들 수 없습니다. 정책 이름은 계정 내에서 고유해야 합니다. 오류가 있는 경우 - ID 이름이 잘못됨: '<정책 이름>을(를) <ID 유형>: <ID 이름>에 연결할 수 없습니다. 이름에는 영숫자 문자 또는 +=,.@_-만 포함해야 합니다. 성공하지 못한 경우 (잘못된 사용자 인증 정보, 서버 연결 없음, 기타 서버 오류): ''정책 연결' 작업을 실행하는 중에 오류가 발생했습니다.'를 출력합니다. 이유: {exception.stacktrace}	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우: '정책이 <Identity Type>: <Identity Name>에 연결되었습니다.' 출력

작업이 실패하고 플레이북 실행을 중지합니다.

오류가 발생하면 '<정책 이름> 정책을 만들 수 없습니다. 정책 이름은 계정 내에서 고유해야 합니다.
오류가 있는 경우 - ID 이름이 잘못됨: '<정책 이름>을(를) <ID 유형>: <ID 이름>에 연결할 수 없습니다. 이름에는 영숫자 문자 또는 +=,.@_-만 포함해야 합니다.
성공하지 못한 경우 (잘못된 사용자 인증 정보, 서버 연결 없음, 기타 서버 오류): ''정책 연결' 작업을 실행하는 중에 오류가 발생했습니다.'를 출력합니다. 이유: {exception.stacktrace}

일반

그룹 만들기

AWS 계정의 새 IAM 그룹을 만듭니다. 그룹을 설정하려면 그룹을 만들어야 합니다. 그런 다음 그룹의 사용자가 수행할 것으로 예상되는 작업 유형에 따라 그룹 권한을 부여합니다. 마지막으로 사용자를 그룹에 추가합니다.

매개변수

매개변수 표시 이름	유형	기본값	필수 항목	설명
그룹 이름	문자열	해당 사항 없음	예	만들려는 그룹의 이름입니다. 쉼표로 구분된 값입니다. 참고: 그룹 이름에는 공백을 포함할 수 없으며 영숫자 문자 또는 +=.@_-만 포함해야 합니다. 이름은 계정 내에서 고유해야 합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

JSON 결과

[{
   "Arn":"arn:aws:iam::582302349248:group/ZivGroup",
   "CreateDate":"2020-12-05 16:18:36+00:00",
   "Path":"/",
   "GroupId":"'AGPAYPE7MW7AMKCWMJPMX",
   "GroupName":"ZivGroup"
}]

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우 (일부/모든 그룹 이름이 유효함): 'IAM에 다음 그룹을 추가했습니다. <그룹 이름>'을 출력합니다. 그룹이 이미 존재한다는 오류가 발생하는 경우: 'IAM에 다음 그룹을 추가할 수 없습니다. <그룹 이름>. 이름은 계정 내에서 고유해야 합니다. 오류가 있는 경우 (일부 그룹 이름이 잘못됨): 'IAM에 다음 그룹을 추가할 수 없습니다. <그룹 이름>. 그룹 이름에는 영숫자 문자 또는 +=,.@_-만 포함해야 합니다. 오류가 있는 경우 (제한을 상향 조정합니다. 계정당 최대 500개 그룹): 'IAM에 다음 그룹을 추가할 수 없습니다. <그룹 이름>. AWS 계정의 그룹 제한에 도달했습니다. 작업이 실패하고 플레이북 실행을 중지해야 합니다. 성공하지 못한 경우 (모든 이름이 잘못됨, 잘못된 사용자 인증 정보, 연결 없음, 기타 오류): '그룹 만들기 ' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우 (일부/모든 그룹 이름이 유효함): 'IAM에 다음 그룹을 추가했습니다. <그룹 이름>'을 출력합니다.
그룹이 이미 존재한다는 오류가 발생하는 경우: 'IAM에 다음 그룹을 추가할 수 없습니다. <그룹 이름>. 이름은 계정 내에서 고유해야 합니다.
오류가 있는 경우 (일부 그룹 이름이 잘못됨): 'IAM에 다음 그룹을 추가할 수 없습니다. <그룹 이름>. 그룹 이름에는 영숫자 문자 또는 +=,.@_-만 포함해야 합니다.
오류가 있는 경우 (제한을 상향 조정합니다. 계정당 최대 500개 그룹): 'IAM에 다음 그룹을 추가할 수 없습니다. <그룹 이름>. AWS 계정의 그룹 제한에 도달했습니다.

작업이 실패하고 플레이북 실행을 중지해야 합니다.

성공하지 못한 경우 (모든 이름이 잘못됨, 잘못된 사용자 인증 정보, 연결 없음, 기타 오류): '그룹 만들기 ' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}

일반

정책 만들기

AWS 계정에 대한 IAM 고객 관리형 정책을 만듭니다. 이 작업은 버전 식별자가 v1인 정책 버전을 만들고 v1을 정책의 기본 버전으로 설정합니다.

매개변수

매개변수 표시 이름	유형	기본값	필수 항목	설명
정책 이름	문자열	해당 사항 없음	예	만들려는 정책의 이름입니다. 정책 이름에는 공백을 포함할 수 없으며 영숫자 문자 또는 +=.@_-만 포함해야 합니다. 정책 이름은 계정 내에서 고유해야 합니다.
정책 문서	문자열	해당 사항 없음	예	새 정책의 콘텐츠로 사용할 JSON 정책 문서입니다.
설명	문자열	해당 사항 없음	아니요	정책에 대한 설명입니다.일반적으로 정책에 정의된 권한에 대한 정보를 저장하는 데 사용됩니다. 예를 들어 '프로덕션 DynamoDB 테이블에 대한 액세스 권한을 부여합니다.' 정책 설명은 변경할 수 없습니다. 값이 할당된 후에는 변경할 수 없습니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

JSON 결과

{
    "PolicyName": "S3-read-only-bucket",
    "PolicyId": "ANPAYPE7MW7AFKUDK3HD7",
    "Arn": "arn:aws:iam::582302349248:policy/S3-read-only-bucket",
    "Path": "/",
    "DefaultVersionId": "v1",
    "AttachmentCount": 0,
    "PermissionsBoundaryUsageCount": 0,
    "IsAttachable": true,
    "CreateDate": "2020-12-6T17:16:45",
    "UpdateDate": "2020-12-6T17:16:45"
}

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우: '<정책 이름> 정책이 생성되었습니다.'를 출력합니다. 작업이 실패하고 플레이북 실행을 중지합니다. 오류가 발생한 경우 - 정책이 이미 있음: '<정책 이름> 정책을 만들 수 없습니다. 정책 이름은 계정 내에서 고유해야 합니다. 오류가 발생한 경우 - 정책 이름이 잘못됨: '<정책 이름> 정책을 만들 수 없습니다. 정책 이름에는 영숫자 문자 또는 +=,.@_-만 포함해야 합니다. 오류가 있는 경우 - 정책 문서 형식이 잘못됨 : '<정책 이름> 정책을 만들 수 없습니다. 정책 문서 형식이 잘못되었습니다.이유: {exception.stacktrace} 성공하지 못한 경우 (LimitExceededException, 잘못된 사용자 인증 정보, 연결 없음, 기타 오류): ''정책 만들기' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우: '<정책 이름> 정책이 생성되었습니다.'를 출력합니다.

작업이 실패하고 플레이북 실행을 중지합니다.

오류가 발생한 경우 - 정책이 이미 있음: '<정책 이름> 정책을 만들 수 없습니다. 정책 이름은 계정 내에서 고유해야 합니다.
오류가 발생한 경우 - 정책 이름이 잘못됨: '<정책 이름> 정책을 만들 수 없습니다. 정책 이름에는 영숫자 문자 또는 +=,.@_-만 포함해야 합니다.
오류가 있는 경우 - 정책 문서 형식이 잘못됨 : '<정책 이름> 정책을 만들 수 없습니다. 정책 문서 형식이 잘못되었습니다.이유: {exception.stacktrace}

성공하지 못한 경우 (LimitExceededException, 잘못된 사용자 인증 정보, 연결 없음, 기타 오류): ''정책 만들기' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}

일반

사용자 만들기

AWS 계정의 새 IAM 사용자를 만듭니다. 쉼표로 구분된 값을 사용하여 한 번에 여러 사용자를 추가할 수 있습니다. 이 단계에서는 정책이 적용되지 않습니다.

매개변수

매개변수 표시 이름	유형	기본값	필수 항목	설명
사용자 이름	문자열	해당 사항 없음	예	만들려는 사용자의 이름입니다. 쉼표로 구분된 값입니다. 참고: 사용자 이름에는 공백을 포함할 수 없으며 영숫자 문자 또는 +=.@_-만 포함해야 합니다. 이름은 계정 내에서 고유해야 합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

JSON 결과

[{
   "Arn":"arn:aws:iam::582302349248:user/ziv",
   "CreateDate":"2020-12-03T12:12:20",
   "Path":"/",
   "UserId":"AIDAYPE7MW7AFMHK4WCHS",
   "UserName":"ziv"
}]

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우 (유효한 사용자 이름이 몇 개 있음): 'IAM에 다음 사용자를 추가했습니다. <사용자 이름>'을 출력합니다. 사용자가 이미 존재한다는 오류가 발생하는 경우: 'IAM에 다음 사용자를 추가할 수 없습니다. <사용자 이름>. 이름은 계정 내에서 고유해야 합니다.'를 출력합니다. 오류가 있는 경우 (일부 사용자 이름이 잘못됨): '다음 사용자를 IAM에 추가할 수 없습니다. <Usernames>. 사용자 이름에는 영숫자 문자 및/또는 +=,.@-만 포함해야 합니다.'를 출력합니다. 오류가 있는 경우 (제한을 상향 조정합니다. 계정당 최대 5,000명): 'IAM에 다음 사용자를 추가할 수 없습니다. <사용자 이름>. AWS 계정의 사용자 제한에 도달했습니다. '를 출력합니다. 참고: 아무 일도 일어나지 않은 경우: 모든 사용자가 잘못되었거나 존재하거나 제한이 있는 경우 → 작업이 실패해야 함 작업이 실패하고 플레이북 실행을 중지해야 합니다. 성공하지 못한 경우 (모든 사용자 이름이 잘못됨, 잘못된 사용자 인증 정보, 연결 없음, 기타 오류): ''사용자 만들기' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace} 참고: 모든 사용자 이름이 잘못된 경우 'Error executing action 'Create a User'. 이유: {잘못된 사용자 이름}: 사용자 이름에는 영숫자 문자 또는 +=,.@-만 포함해야 합니다. {기존 사용자 이름}: 이름은 계정 내에서 고유해야 합니다.	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우 (유효한 사용자 이름이 몇 개 있음): 'IAM에 다음 사용자를 추가했습니다. <사용자 이름>'을 출력합니다.
사용자가 이미 존재한다는 오류가 발생하는 경우: 'IAM에 다음 사용자를 추가할 수 없습니다. <사용자 이름>. 이름은 계정 내에서 고유해야 합니다.'를 출력합니다.
오류가 있는 경우 (일부 사용자 이름이 잘못됨): '다음 사용자를 IAM에 추가할 수 없습니다. <Usernames>. 사용자 이름에는 영숫자 문자 및/또는 +=,.@-만 포함해야 합니다.'를 출력합니다.
오류가 있는 경우 (제한을 상향 조정합니다. 계정당 최대 5,000명): 'IAM에 다음 사용자를 추가할 수 없습니다. <사용자 이름>. AWS 계정의 사용자 제한에 도달했습니다. '를 출력합니다.

참고: 아무 일도 일어나지 않은 경우: 모든 사용자가 잘못되었거나 존재하거나 제한이 있는 경우 → 작업이 실패해야 함

작업이 실패하고 플레이북 실행을 중지해야 합니다.

성공하지 못한 경우 (모든 사용자 이름이 잘못됨, 잘못된 사용자 인증 정보, 연결 없음, 기타 오류): ''사용자 만들기' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}

참고: 모든 사용자 이름이 잘못된 경우 'Error executing action 'Create a User'. 이유: {잘못된 사용자 이름}: 사용자 이름에는 영숫자 문자 또는 +=,.@-만 포함해야 합니다. {기존 사용자 이름}: 이름은 계정 내에서 고유해야 합니다.

일반

사용자 액세스 사용 중지

명시적 인라인 거부 정책을 추가하여 AWS에서 사용자 액세스를 사용 중지합니다.

이 작업은 일반 AWS 사용자만 지원하며 제휴 사용자나 IAM 역할은 지원하지 않습니다.

항목

이 작업은 사용자 항목에서 실행됩니다.

작업 입력

해당 사항 없음

작업 출력

작업 출력 유형
케이스 월 연결	해당 사항 없음
케이스 월 링크	해당 사항 없음
케이스 월 테이블	해당 사항 없음
보강 테이블	해당 사항 없음
JSON 결과	사용 가능
스크립트 결과	사용 가능

JSON 결과

[
  {
    "Entity": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com",
    "EntityResult": [
      {
        "fullResourceName": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com",
        "activityType": "serviceAccountLastAuthentication",
        "observationPeriod": {
          "startTime": "2023-05-23T07:00:00Z",
          "endTime": "2023-08-20T07:00:00Z"
        },
        "activity": {
          "lastAuthenticatedTime": "2023-08-20T07:00:00Z",
          "serviceAccount": {
            "serviceAccountId": "example-account-id",
            "projectNumber": "example-project-id",
            "fullResourceName": "//iam.googleapis.com/projects/example/serviceAccounts/service-account@example.iam.gserviceaccount.com"
          }
        }
      }
    ]
  }
]

스크립트 결과

스크립트 결과 이름	값
is_success	참/거짓

케이스 월

이 작업은 다음 출력 메시지를 제공합니다.

출력 메시지 메시지 설명

출력 메시지	메시지 설명
`Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST` `Action wasn't able to find the following users in AWS IAM: USERNAME_LIST` `Action wasn't able to add deny policy to the following users in AWS IAM: USERNAME_LIST`	작업이 완료되었습니다.
`Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST`	작업이 실패했습니다. 오류로 인해 제공된 사용자 중 한 명 이상에게 거부 정책을 적용할 수 없습니다.
`Error executing action "Disable User Access". Reason: ERROR_REASON`	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인하세요.

Successfully added deny policy to the following users in AWS IAM: USERNAME_LIST

Action wasn't able to find the following users in AWS IAM: USERNAME_LIST

Action wasn't able to add deny policy to the following users in AWS IAM: USERNAME_LIST

작업이 완료되었습니다.

Successfully added deny policy to the following users in AWS
      IAM: USERNAME_LIST

작업이 실패했습니다.

오류로 인해 제공된 사용자 중 한 명 이상에게 거부 정책을 적용할 수 없습니다.

Error executing action "Disable User Access". Reason:
      ERROR_REASON

작업이 실패했습니다.

서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인하세요.

그룹 나열

IAM의 모든 그룹 목록을 가져옵니다.

매개변수

매개변수 표시 이름	유형	기본값	필수 항목	설명
반환할 최대 그룹 수	정수	50	아니요	반환할 그룹 수를 지정합니다. 최대 1,000개의 그룹을 만들 수 있습니다. 기본값은 50입니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

JSON 결과

[{
   "Arn":"arn:aws:iam::582302349248:group/ZivGroup",
   "CreateDate":"2020-12-05 16:18:36+00:00",
   "Path":"/",
   "GroupId":"AGPAYPE7MW7AMKCWMJPMX",
   "GroupName":"ZivGroup"
}]

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우: 'AWS IAM에서 사용 가능한 그룹을 나열했습니다.'를 출력합니다. 사용 가능한 데이터가 없는 경우: 'AWS IAM에서 그룹을 찾을 수 없음' 출력 작업이 실패하고 플레이북 실행을 중지해야 합니다. 성공하지 못한 경우 (잘못된 사용자 인증 정보, 서버 연결 없음, 기타 서버 오류, '최대 그룹 수'가 1,000개 초과): ''그룹 나열' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}	일반
CSV 표	제목: IAM 그룹 열: 그룹 이름 그룹 ID ARN 생성일	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우: 'AWS IAM에서 사용 가능한 그룹을 나열했습니다.'를 출력합니다.

사용 가능한 데이터가 없는 경우: 'AWS IAM에서 그룹을 찾을 수 없음' 출력

작업이 실패하고 플레이북 실행을 중지해야 합니다.

성공하지 못한 경우 (잘못된 사용자 인증 정보, 서버 연결 없음, 기타 서버 오류, '최대 그룹 수'가 1,000개 초과): ''그룹 나열' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}

일반

CSV 표

제목: IAM 그룹

열:

그룹 이름

그룹 ID

ARN

생성일

일반

정책 나열

자체 고객 정의 관리형 정책과 모든 AWS 관리형 정책을 포함하여 AWS 계정에서 사용할 수 있는 모든 관리형 정책을 나열합니다. 선택사항인 Only Attached, Scope, Policy Usage 매개변수를 사용하여 반환되는 정책 목록을 필터링할 수 있습니다. 예를 들어 AWS 계정의 고객 관리형 정책만 나열하려면 범위를 로컬로 설정합니다. AWS 관리형 정책만 나열하려면 범위를 AWS로 설정합니다.

매개변수

매개변수 표시 이름	유형	기본값	필수 항목	설명
연결된 항목만	불리언	아니요	아니요	선택하면 IAM 사용자, 그룹 또는 역할에 연결된 정책으로만 결과가 필터링됩니다. 선택 해제하면 모든 정책이 반환됩니다.
범위	DDL (전체, AWS, 로컬)	전체	아니요	결과를 필터링하는 데 사용할 범위입니다. AWS 관리형 정책만 나열하려면 범위를 AWS로 설정합니다. AWS 계정의 고객 관리 정책만 나열하려면 범위를 로컬로 설정합니다. 기본적으로 모든 정책이 반환됩니다.
반환할 최대 정책 수	정수	100	아니요	반환할 정책 수를 지정합니다. 기본값은 100입니다. 최댓값은 1,000입니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

JSON 결과

[{
'PolicyName': 'string',
'PolicyId': 'string',
'Arn': 'string',
'Path': 'string',
'DefaultVersionId': 'string',
'AttachmentCount': 123,
'PermissionsBoundaryUsageCount': 123,
'IsAttachable': True|False,
'Description': 'string',
'CreateDate': "2020-12-6T17:16:45",
'UpdateDate':"2020-12-6T17:16:45"
}]

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우: 'AWS IAM에서 사용 가능한 정책을 나열했습니다.' 출력 '최대 정책' 값 < 필터를 기반으로 일치하는 정책인 경우: 'AWS IAM에서 사용 가능한 정책을 나열했습니다. 제공된 필터와 일치하는 추가 정책이 있습니다." 데이터가 없는 경우: 'AWS IAM에서 정책을 찾을 수 없습니다.'를 출력합니다. 작업이 실패하고 플레이북 실행을 중지해야 합니다. 성공하지 못한 경우 (잘못된 사용자 인증 정보, 서버 연결 없음, 기타 서버 오류, 최대>1000): '정책 나열 ' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}	일반
CSV 표	제목: IAM 정책 열: 정책 이름 정책 ID 생성 날짜 업데이트 날짜	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우: 'AWS IAM에서 사용 가능한 정책을 나열했습니다.' 출력
'최대 정책' 값 < 필터를 기반으로 일치하는 정책인 경우: 'AWS IAM에서 사용 가능한 정책을 나열했습니다. 제공된 필터와 일치하는 추가 정책이 있습니다."
데이터가 없는 경우: 'AWS IAM에서 정책을 찾을 수 없습니다.'를 출력합니다.

작업이 실패하고 플레이북 실행을 중지해야 합니다.

성공하지 못한 경우 (잘못된 사용자 인증 정보, 서버 연결 없음, 기타 서버 오류, 최대>1000): '정책 나열 ' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}

일반

CSV 표

제목: IAM 정책

열:

정책 이름

정책 ID

생성 날짜

업데이트 날짜

일반

사용자 표시

IAM의 모든 사용자 목록을 가져옵니다.

매개변수

매개변수 표시 이름	유형	기본값	필수 항목	설명
반환할 최대 사용자 수	정수	50	아니요	반환할 사용자 수를 지정합니다. 최대 1,000명의 사용자를 추가할 수 있습니다. 기본값은 50입니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

JSON 결과

[{
   "Arn":"arn:aws:iam::582302349248:user/ziv",
   "CreateDate":"2020-12-03T12:12:20",
   "Path":"/",
   "UserId":"AIDAYPE7MW7AFMHK4WCHS",
   "UserName":"ziv"
}]

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우: 'AWS IAM에서 사용 가능한 사용자를 나열했습니다.' 출력 사용 가능한 데이터가 없는 경우: 'AWS IAM에서 사용자를 찾을 수 없음'을 출력합니다. 작업이 실패하고 플레이북 실행을 중지해야 합니다. 성공하지 못한 경우 (잘못된 사용자 인증 정보, 서버 연결 없음, 기타 서버 오류, max>10000인 경우): ''사용자 나열' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}	일반
CSV 표	제목: IAM 사용자 열: 사용자 이름 사용자 ID ARN 생성일	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우: 'AWS IAM에서 사용 가능한 사용자를 나열했습니다.' 출력

사용 가능한 데이터가 없는 경우: 'AWS IAM에서 사용자를 찾을 수 없음'을 출력합니다.

작업이 실패하고 플레이북 실행을 중지해야 합니다.

성공하지 못한 경우 (잘못된 사용자 인증 정보, 서버 연결 없음, 기타 서버 오류, max>10000인 경우): ''사용자 나열' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}

일반

CSV 표

제목: IAM 사용자

열:

사용자 이름

사용자 ID

ARN

생성일

일반

핑

Google SecOps Content Hub 페이지의 통합 구성 페이지에서 제공된 매개변수를 사용하여 AWS IAM에 대한 연결을 테스트합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우: '제공된 연결 매개변수를 사용하여 AWS IAM 서버에 성공적으로 연결되었습니다.' 출력 작업이 실패하고 플레이북 실행을 중지합니다. 실패한 경우: 'AWS IAM 서버에 연결할 수 없습니다. 오류: {0}".format(exception.stacktrace)	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우: '제공된 연결 매개변수를 사용하여 AWS IAM 서버에 성공적으로 연결되었습니다.' 출력

작업이 실패하고 플레이북 실행을 중지합니다.

실패한 경우: 'AWS IAM 서버에 연결할 수 없습니다. 오류: {0}".format(exception.stacktrace)

일반

그룹에서 사용자 삭제

지정된 사용자를 지정된 IAM 그룹에 추가합니다. 그룹을 사용하여 여러 사용자에게 동일한 권한 정책을 한 번에 적용합니다.

매개변수

매개변수 표시 이름	유형	기본값	필수 항목	설명
그룹 이름	문자열	해당 사항 없음	예	업데이트할 그룹의 이름입니다. 참고: 그룹 이름에는 공백을 포함할 수 없으며 영숫자 문자 또는 +=.@_-.만 포함해야 합니다.
사용자 이름	문자열	해당 사항 없음	예	삭제할 사용자의 이름입니다. 참고: 사용자 이름에는 공백을 포함할 수 없으며 영숫자 문자 또는 +=.@_-.만 포함해야 합니다. 쉼표로 구분된 값입니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과

스크립트 결과 이름	값 옵션
is_success	is_success=False
is_success	is_success=True

케이스 월

결과 유형	값 / 설명	유형
출력 메시지*	작업이 실패하거나 플레이북 실행을 중지하지 않습니다. 성공한 경우: '<사용자 이름>님이 <그룹 이름> 그룹에서 삭제되었습니다.'를 출력합니다. 오류가 발생한 경우 - 그룹이 존재하지 않거나 사용자가 존재하지 않음: *그룹이 존재하지 않음:* '<그룹 이름>에서 <사용자 이름>을 삭제할 수 없습니다. <그룹 이름> 그룹을 찾을 수 없습니다. 사용자가 존재하지 않음/둘 다: '<그룹 이름>에서 <사용자 이름>을 삭제할 수 없습니다. <사용자 이름> 사용자를 찾을 수 없습니다. 오류가 발생한 경우 사용자 제한 - IAM 사용자는 10개 그룹의 구성원이 될 수 있습니다. 그룹 제한 - 5,000명의 사용자가 그룹에 속할 수 있습니다. '현재 AWS 계정 한도를 초과하여 리소스를 만들려고 시도했기 때문에 <Group name>에서 <UserName>을 삭제할 수 없습니다.'를 출력합니다. 작업이 실패하고 플레이북 실행을 중지합니다. 실패한 경우 (잘못된 사용자 인증 정보, 연결 없음, 기타 SDK 오류): ''그룹에서 사용자 삭제' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}	일반

결과 유형

값 / 설명

유형

출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

성공한 경우: '<사용자 이름>님이 <그룹 이름> 그룹에서 삭제되었습니다.'를 출력합니다.
오류가 발생한 경우 - 그룹이 존재하지 않거나 사용자가 존재하지 않음:
그룹이 존재하지 않음: '<그룹 이름>에서 <사용자 이름>을 삭제할 수 없습니다. <그룹 이름> 그룹을 찾을 수 없습니다.
사용자가 존재하지 않음/둘 다: '<그룹 이름>에서 <사용자 이름>을 삭제할 수 없습니다. <사용자 이름> 사용자를 찾을 수 없습니다.
오류가 발생한 경우
사용자 제한 - IAM 사용자는 10개 그룹의 구성원이 될 수 있습니다.
그룹 제한 - 5,000명의 사용자가 그룹에 속할 수 있습니다.
'현재 AWS 계정 한도를 초과하여 리소스를 만들려고 시도했기 때문에 <Group name>에서 <UserName>을 삭제할 수 없습니다.'를 출력합니다.

작업이 실패하고 플레이북 실행을 중지합니다.

실패한 경우 (잘못된 사용자 인증 정보, 연결 없음, 기타 SDK 오류): ''그룹에서 사용자 삭제' 작업을 실행하는 중에 오류가 발생했습니다. 이유: {exception.stacktrace}

일반

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.

AWS Identity and Access Management (IAM)를 Google SecOps와 통합

사용 사례

시작하기 전에

네트워크 요구사항

인증 및 사용자 인증 정보

작업 권한 구성

빠른 참조 (ActionName:Permission)

샘플 IAM 정책 (최소 권한)

통합 매개변수

작업

그룹에 사용자 추가

매개변수

작업 결과

스크립트 결과

케이스 월

정책 연결

매개변수

작업 결과

스크립트 결과

케이스 월

그룹 만들기

매개변수

작업 결과

스크립트 결과

JSON 결과

케이스 월

정책 만들기

매개변수

작업 결과

스크립트 결과

JSON 결과

케이스 월

사용자 만들기

매개변수

작업 결과

스크립트 결과

JSON 결과

케이스 월

사용자 액세스 사용 중지

항목

작업 입력

작업 출력

JSON 결과

스크립트 결과

케이스 월

그룹 나열

매개변수

작업 결과

스크립트 결과

JSON 결과

케이스 월

정책 나열

매개변수

작업 결과

스크립트 결과

JSON 결과

케이스 월

사용자 표시

매개변수

작업 결과

스크립트 결과

JSON 결과

케이스 월

핑

작업 결과

스크립트 결과

케이스 월

그룹에서 사용자 삭제

매개변수

작업 결과

스크립트 결과

케이스 월

빠른 참조 (`ActionName:Permission`)