AWS 권한 분석기

AWS 결과에서 무엇을 볼 수 있나요?

연결한 계정에서 지원하는 AWS IAM 사용자 액세스 키가 발견되면 Cremit은 분석 역할로 사용자를 식별하고 인라인 정책 문서, 연결된 정책 문서와 그룹 이름을 수집합니다. 조사에 필요한 정책 정보이지, 특정 리소스에 특정 작업을 요청했을 때 허용되는지를 시뮬레이션한 결과는 아닙니다. 현재 작업자는 이 결과에 그룹 정책 문서, 권한 경계, 조직 정책, 리소스 정책을 포함하지 않습니다. 이런 조건에 따라 최종 허용 여부가 달라질 수 있습니다.

임시 ASIA 자격증명은 이 IAM 사용자 정책 분석을 지원하지 않습니다. 맞는 분석기가 없거나 정책을 읽지 못했거나 AWS API 호출이 실패하면 제외·실패 상태가 나올 수 있습니다. 모든 AWS 발견 건을 분석했다고 가정하지 말고 각 건의 상태와 분석 시각을 확인하세요. 정책 문서가 보인다는 사실만으로 키가 해당 리소스에 사용됐다고 증명할 수도 없습니다.

AWS 계정 연결하기

Cremit Platform의 Security → Permission Analysis에서 12자리 계정 ID와 리전을 입력해 AWS 분석기를 추가합니다. Cremit은 분석기 기록과 External ID가 포함된 AWS CloudFormation 실행 링크를 만듭니다. 의도한 AWS 계정에서 스택을 열고 현재 템플릿과 신뢰 정책을 검토한 뒤 배포하세요. Cremit으로 돌아와 연결 상태를 확인합니다. 연결된 AWS 클라우드 통합에도 이 분석 기능을 추가하는 경로가 있습니다.

분석 역할의 정책에는 필요한 IAM 읽기 권한이 있습니다. 현재 독립 CloudFormation 템플릿에는 자기 스택 업데이트와 자기 역할 정책 관리에 한정된 권한도 있습니다. 단순히 “읽기 전용 역할”이라는 문구에 의존하지 말고 배포할 템플릿 전체를 확인하세요. External ID는 교차 계정 역할을 맡을 때 검사하는 신뢰 조건이며, 역할 주체와 권한 검토를 대신하지 않습니다.

발견 건 확인과 조치

연결한 계정의 지원하는 IAM 사용자 액세스 키 발견 건을 고르세요. 분석기 연결과 해당 건의 분석 상태를 확인한 뒤 사용자 ARN, 인라인·연결된 정책 문서와 그룹 이름을 살펴봅니다. 실제 접근 여부를 판단하려면 AWS에서 권한 경계, 그룹 정책, AWS Organizations 제어, 리소스 정책과 요청 맥락을 함께 확인해야 합니다. 목록에 작업이 있다고 그 접근이 가능하다고 단정하지 마세요.

키가 노출됐다면 현재 사용하는 작업의 담당자를 찾고 의존 관계를 확인한 뒤 AWS에서 교체하거나 폐기하세요. 소스 텍스트만 지워도 키가 무효가 되지는 않습니다. 이 연결은 분석 완료 시간이나 자동 조치를 보장하지 않습니다.

원자료

AWS IAM 정책 평가 방식

AWS 교차 계정 External ID

Cremit 발견 관계