IAM 기초

ID 및 액세스 관리(IAM)는 올바른 ID가 올바른 리소스에 올바른 시점에 올바른 접근 권한을 갖도록 보장하는 분야입니다.

조직 보안의 근간입니다.

서로 구분되는 세 가지 개념이 있습니다.

• 식별: 자신이 누구인지 주장하는 것(사용자 이름)
• 인증: 그 주장이 사실임을 증명하는 것(비밀번호 또는 키)
• 권한 부여: 무엇을 할 수 있는지 결정하는 것

ID는 사람, 서비스 계정 또는 시스템과 같은 개체를 나타냅니다.

액세스 시스템에서는 리소스에 대해 동작하는 인증된 ID를 흔히 주체라고 부릅니다.

ID는 다음과 같은 수명 주기를 거칩니다.

• 입사자: 누군가 조직에 들어올 때 계정과 권한이 부여됩니다.
• 이동자: 역할이 바뀔 때 접근 권한이 갱신됩니다.
• 퇴사자: 조직을 떠날 때 계정과 권한이 제거됩니다.

권한을 제거하지 않으면 위험한 방치 계정이 남습니다.

IAM은 인증을 중앙 집중화하여 사용자가 신뢰할 수 있는 ID 제공자를 통해 한 번만 ID를 증명하도록 합니다.

이렇게 하면 앱마다 분산되고 일관되지 않은 비밀번호 시스템을 운영할 필요가 없습니다.

인증이 완료되면 권한 부여가 권한을 결정합니다.

일반적인 모델로는 RBAC(역할 기반)와 ABAC(속성 기반)가 있으며, 다음 단원에서 다룹니다.

AAA(인증, 권한 부여, 계정 관리)의 세 번째 A인 계정 관리는 누가 무엇을 했는지 기록하는 것입니다.

감사 로그는 조사, 규정 준수 및 오용 탐지에 도움이 됩니다.

관리자 및 루트 계정은 가치가 높은 공격 대상입니다. 특권 액세스 관리(PAM)는 다음과 같은 추가 통제를 적용합니다.

• 필요할 때만 권한 상승
• 세션 기록
• 자격 증명 금고 보관

모든 ID가 사람을 나타내는 것은 아닙니다. 서비스 계정, API 클라이언트 및 워크로드에도 ID가 필요합니다.

이러한 ID는 사람보다 수가 많은 경우가 많으므로 자격 증명을 신중하게 교체하고 범위를 제한해야 합니다.

디렉터리는 ID와 그룹을 중앙에서 저장합니다. 예로 LDAP 기반 디렉터리와 클라우드 디렉터리가 있습니다.

앱은 자체 사용자 목록을 관리하는 대신 디렉터리를 조회합니다.

대부분의 침해 사고에는 도난당하거나 오용된 자격 증명이 관련되어 있습니다. 강력한 IAM은 다음을 가능하게 합니다.

• 공격 표면을 줄입니다.
• 일관된 정책을 적용합니다.
• 접근 권한을 감사하고 철회할 수 있게 합니다.

IAM의 기본 개념을 배웠습니다.

• 식별, 인증 및 권한 부여를 구분하십시오.
• 입사자·이동자·퇴사자 수명 주기를 관리하십시오.
• 특권 ID와 시스템 ID를 보호하고 감사 로그를 보관하십시오.

다음에는 RBAC와 ABAC 액세스 제어 모델을 비교합니다.