ARN 및 서비스 엔드포인트 이해

ARN(Amazon Resource Name)은 AWS의 모든 리소스를 식별하는 고유 ID입니다. 정책과 로그는 모두 ARN으로 리소스를 가리키므로 ARN을 읽는 법을 익히는 것이 중요합니다.

ARN은 콜론으로 구분된 고정 형식을 가집니다: arn:partition:service:region:account-id:resource. 각 부분이 이름 지정 범위를 좁혀 주므로 긴 ARN도 한눈에 읽을 수 있습니다. 예시를 확인하십시오.

파티션은 일반적으로 aws이며, GovCloud와 중국에는 특수 파티션이 사용됩니다. 서비스 구간은 s3 또는 iam처럼 서비스를 나타냅니다. 이 두 부분이 먼저 전체적인 맥락을 정합니다.

리전 구간은 리전을 나타내며 글로벌 서비스에서는 비어 있습니다. account-id는 12자리 소유자 계정 번호입니다. 계정 간 작업에서는 이 번호로 리소스의 소유자를 확인할 수 있습니다.

마지막 부분은 리소스 자체이며 role/ 같은 접두사가 붙기도 합니다. 하나의 정확한 대상을 지정할 수도 있고, 와일드카드를 사용해 여러 대상을 지정할 수도 있습니다. IAM 정책은 주로 이 부분을 대상으로 합니다.

IAM 정책은 Resource 필드에 ARN을 넣어 작업이 정확히 어떤 대상에 적용되는지 지정합니다. ARN을 읽으면 권한 범위가 엄격한지 위험할 정도로 넓은지 즉시 알 수 있습니다.

ARN의 와일드카드(*)는 여러 리소스와 일치합니다. bucket/*은 내부의 모든 객체를 의미합니다. 단독으로 사용된 *는 모든 대상을 의미하므로 거의 항상 지나치게 광범위합니다. 반드시 주의해서 확인하십시오.

서비스 엔드포인트는 요청이 실제로 도달하는 URL입니다. 예를 들면 s3.us-east-1.amazonaws.com이 있습니다. 대부분의 엔드포인트는 리전별이므로 서비스 적용 범위도 리전마다 설정됩니다.

VPC 엔드포인트를 사용하면 리소스가 퍼블릭 인터넷을 거치지 않고 AWS 서비스에 프라이빗하게 연결할 수 있습니다. 따라서 트래픽이 AWS 내부에 머물고 노출 범위도 줄어듭니다.

ARN은 요청의 "무엇"을 나타내고 엔드포인트는 "어디"를 정의합니다. 둘을 함께 사용하면 정밀한 정책을 작성할 수 있으며, 이는 최소 권한에 관한 시험 시나리오에서 핵심이 되는 경우가 많습니다.

ARN은 Resource 필드 외에도 정책의 조건과 CloudTrail 로그에 나타납니다. ARN을 능숙하게 읽으면 더 엄격한 규칙을 작성하고 누가 무엇을 했는지 추적하는 데 도움이 됩니다.

ARN은 모든 리소스에 고유한 이름을 부여하며, 정책은 Resource 필드에서 ARN을 대상으로 지정합니다. 광범위한 와일드카드는 최소 권한 원칙을 깨뜨립니다. VPC 엔드포인트를 사용하면 서비스에 프라이빗하게 연결할 수 있습니다.