SAA-C03 Q675 · IAM

Question

회사에서 협력업체가 회사 AWS 계정의 CloudWatch Logs 에 접근할 수 있도록 IAM 역할을 사용하여 계정 간 접근 권한을 부여해야 합니다. 다음 중 어떤 솔루션이 이러한 요구 사항을 충족합니까?

Accepted Answer

**요구사항 분해:**
1. 협력업체(외부 계정)가 → 회사 계정의 CloudWatch Logs에 접근해야 함
2. IAM 역할을 사용한 계정 간(Cross-Account) 접근

**정답 D가 충족하는 방식:**

① **역할 생성 위치 = 회사 계정**: 접근 대상 리소스(CloudWatch Logs)가 있는 곳에 역할을 생성해야 함. 협력업체가 이 역할을 AssumeRole하면 회사 계정의 리소스에 접근 가능

② **권한(Permission Policy)**: 이 역할에 CloudWatch Logs 읽기 권한을 부여 → 역할을 수임한 사람이 로그를 볼 수 있음

③ **신뢰 정책(Trust Policy)에서 협력업체 역할을 신뢰**: Trust Policy의 Principal에 협력업체 계정의 IAM 역할/사용자 ARN을 지정 → 협력업체만 이 역할을 AssumeRole 가능

**핵심 원리:** Cross-Account 접근의 공식은 항상 **'리소스가 있는 계정에 역할을 만들고, 접근하려는 외부 계정을 신뢰(Trust)한다'**