DevOps 팀은 AWS IAM(Identity and Access Management)으로 권한을 관리합니다. AWS 관리형 ReadOnlyAccess 정책이 있는 EC2 인스턴스 프로파일 역할이 Amazon EC2에서 실행되는 애플리케이션에 연결되어 있습니다. 애플리케이션이 KMS 키로 암호화된 Amazon S3 버킷에서 객체를 읽으려고 할 때 AccessDenied 오류가 발생합니다. S3 버킷 정책은 계정의 모든 사용자에게 액세스를 허용하며, 객체에는 ACL이 없습니다. 관리자는 IAM 액세스 문제를 해결하기 위해 무엇을 해야 합니까?

애플리케이션이 KMS로 암호화된 S3 객체를 읽으려면 s3:GetObject 권한과 함께 해당 KMS 키에 대한 kms:Decrypt 권한이 필요합니다. ReadOnlyAccess 정책은 S3 읽기 권한을 제공하지만 KMS 복호화 권한은 포함하지 않습니다. 따라서 IAM 역할에 kms:Decrypt 권한을 부여하는 인라인 정책을 추가하여 누락된 권한을 해결해야 합니다. ReadOnlyAccess 정책을 직접 수정하는 것은 AWS 관리형 정책의 모범 사례에 위배됩니다. S3 버킷 정책에 EC2 IAM 역할을 Principal로 추가하는 것은 S3 권한만 해결하며 KMS 권한은 해결하지 않습니다. S3: 권한을 부여하는 인라인 정책을 추가하는 것은 과도한 권한을 부여하여 최소 권한 원칙에 위배됩니다.