한 회사에서 AWS Organizations를 Production, Development, Testing의 세 가지 워크로드 OU(조직 단위)와 함께 사용합니다. AWS CloudFormation 템플릿은 이러한 OU 내의 계정에 인프라를 정의하고 배포합니다. 각 OU에는 고유한 SCP(서비스 제어 정책)가 있습니다. CloudFormation 스택 업데이트가 Development 및 Testing OU에서는 성공했지만 Production OU의 계정에서 "insufficient IAM permissions" 오류와 함께 실패했습니다. 보안 엔지니어는 이 문제를 해결하기 위해 가장 먼저 무엇을 해야 할까요?

insufficient IAM permissions" 오류는 SCP(서비스 제어 정책) 또는 IAM 권한 문제로 인해 발생할 수 있습니다. AWS CloudTrail은 계정에서 수행된 모든 API 호출을 기록하므로, 거부된 API 호출을 식별하여 문제의 근본 원인(예: 특정 SCP가 특정 작업을 차단하는지 여부)을 파악하는 데 가장 효과적인 첫 번째 단계입니다. 다른 옵션들은 다음과 같은 이유로 최적의 첫 번째 단계가 아닙니다. Production OU에서 모든 SCP를 분리하는 것은 문제를 해결할 수 있지만, 이는 보안 위험을 초래하며 문제의 정확한 원인을 파악하지 못합니다. CloudFormation 실행 역할의 권한을 확인하는 것은 필요할 수 있지만, SCP가 우선하므로 CloudTrail을 통해 먼저 SCP 관련 거부를 확인하는 것이 더 효율적입니다. Production OU의 SCP를 Testing OU의 SCP와 동일하게 만드는 것은 Production 환경의 보안 요구 사항을 충족하지 못할 수 있으며, Testing 환경에서는 허용되는 작업이 Production 환경에서는 적절하지 않을 수 있습니다.