한 회사에 Production과 Development라는 두 개의 AWS 계정이 있습니다. 회사는 Development 계정에서 Production 계정으로 코드 변경 사항을 푸시해야 합니다. 알파 단계에서는 Development 계정의 두 명의 선임 개발자만 Production 계정에 액세스해야 합니다. 베타 단계에서는 더 많은 개발자가 테스트를 위해 액세스해야 합니다. 어떤 솔루션이 이러한 요구 사항을 충족할까요?

정답은 Production 계정에 IAM role을 생성하고 Development 계정을 지정하는 신뢰 정책을 정의한 다음 개발자가 해당 역할을 맡도록 허용하는 것입니다. 이 방법은 교차 계정 액세스를 위한 AWS의 모범 사례입니다. Production 계정의 IAM 역할은 Development 계정의 사용자(또는 역할)가 Production 계정의 리소스에 액세스할 수 있도록 허용하는 신뢰 정책을 가집니다. 이렇게 하면 Production 계정에 직접 사용자 자격 증명을 생성할 필요가 없으므로 보안이 강화됩니다. 다른 옵션들은 다음과 같은 이유로 올바르지 않습니다. 각 계정에 정책 문서를 생성하는 것은 교차 계정 액세스를 직접적으로 허용하지 않으며, 각 계정에서 별도의 자격 증명을 관리해야 합니다. Development 계정에 IAM 역할을 생성하고 Production 계정에 대한 액세스 권한을 부여하는 것은 역할이 생성된 계정(Development) 내에서만 유효하며, 다른 계정(Production)의 리소스에 액세스할 수 없습니다. Production 계정에 IAM 그룹을 생성하는 것은 해당 계정 내의 사용자 그룹을 관리하는 데 사용되며, 교차 계정 액세스를 위한 신뢰 정책의 Principal로 직접 사용될 수 없습니다. Principal은 일반적으로 AWS 계정 ID, IAM 사용자 또는 IAM 역할입니다.