IAM User에 EIC를 통해 접속할 수 있는 권한 부여해 보기

IAM User에 EIC를 통해 접속할 수 있는 권한을 부여해 보는 방법을 정리해 봤습니다.

#한국어블로그

#AWS

#AWS IAM

#EC2 Instance Connect Endpoint

Kim Jaewook

2023.11.23

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

안녕하세요 클래스메소드 김재욱(Kim Jaewook) 입니다. 이번에는 IAM User에 EIC를 통해 접속할 수 있는 권한을 부여해 보는 방법을 정리해 봤습니다.

사전 준비

먼저 IAM User를 생성할 필요가 있습니다.

IAM User를 생성하고 Management Console에 접속하는 방법은 아래 블로그를 참고해 주세요.

EIC를 통해 접속하기 위해서는 EC2 Instance Connect Endpoint를 생성해야 합니다.

EC2 Instance Connect Endpoint를 생성하는 방법에 대해서는 아래 블로그를 참고해 주세요.

IAM User에 권한 할당

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EC2InstanceConnect",
            "Action": "ec2-instance-connect:OpenTunnel",
            "Effect": "Allow",
            "Resource": "arn:aws:ec2:리전:계정ID:instance-connect-endpoint/엔드포인트ID",
            "Condition": {
                "NumericEquals": {
                    "ec2-instance-connect:remotePort": "22"
                },
                "NumericLessThanEquals": {
                    "ec2-instance-connect:maxTunnelDuration": "3600"
                }
            }
        },
        {
            "Sid": "SSHPublicKey",
            "Effect": "Allow",
            "Action": "ec2-instance-connect:SendSSHPublicKey",
            "Resource": "*"
        },
        {
            "Sid": "Describe",
            "Action": [
                "ec2:DescribeInstances",
                "ec2:DescribeInstanceConnectEndpoints"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

다음과 같은 형태로 정책을 만들 수 있는데, 여기서 ec2-instance-connect:remotePort를 이용해서 접속할 수 있는 포트 를 제한할 수 있으며, ec2-instance-connect:maxTunnelDuration를 이용하여 최대 이용 시간을 제한할 수 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EC2InstanceConnect",
            "Action": "ec2-instance-connect:OpenTunnel",
            "Effect": "Allow",
            "Resource": "arn:aws:ec2:리전:계정ID:instance-connect-endpoint/엔드포인트ID",
        },
        {
            "Sid": "SSHPublicKey",
            "Effect": "Allow",
            "Action": "ec2-instance-connect:SendSSHPublicKey",
            "Resource": "*"
        },
        {
            "Sid": "Describe",
            "Action": [
                "ec2:DescribeInstances",
                "ec2:DescribeInstanceConnectEndpoints"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

제한을 두고 싶지 않다면, 상기와 같이 ec2-instance-connect:remotePort, ec2-instance-connect:maxTunnelDuration를 삭제한 상태로 정책을 생성합니다.