한 회사에서 수백 개의 계정을 관리하기 위해 AWS Organizations를 사용합니다. 일부 계정은 교차 계정 IAM 역할 및 Amazon S3 버킷 정책을 통해 외부 AWS 보안 주체에게 액세스 권한을 부여합니다. 이 회사는 어떤 외부 보안 주체가 어떤 계정에 액세스할 수 있는지 확인해야 합니다. 어떤 솔루션이 이러한 가시성을 제공할까요?

AWS IAM Access Analyzer는 S3 버킷 정책 및 IAM 역할과 같은 리소스 정책을 분석하여 외부 엔터티가 리소스에 액세스할 수 있는 방법을 식별합니다. 조직 수준에서 활성화하고 조직을 신뢰 영역으로 구성하면 Access Analyzer가 조직 외부의 모든 액세스를 자동으로 플래그 지정합니다. 계정 ID별로 결과를 필터링하면 특정 계정에 대한 외부 액세스 권한을 가진 보안 주체를 정확히 확인할 수 있습니다. 사용자 지정 AWS Config 규칙은 IAM 역할 변경 사항을 모니터링할 수 있지만, 외부 액세스 권한을 부여하는 정책의 세부 사항을 분석하는 데는 Access Analyzer만큼 효과적이지 않습니다. Amazon Inspector는 EC2 인스턴스 및 컨테이너 이미지의 취약성을 평가하며, IAM 역할 및 S3 버킷 정책에 대한 외부 액세스 분석에는 적합하지 않습니다. Amazon GuardDuty는 잠재적인 위협을 감지하는 데 중점을 두며, 정책 기반 외부 액세스 가시성을 제공하지 않습니다.