SAA-C03 Q677 · IAM

Question

어떤 회사는 DevOps 팀이 IAM 역할을 생성하도록 요구하지만, 어떤 역할에도 관리자 권한이 부여되어서는 안 됩니다. 이러한 요구 사항을 충족하는 해결책은 무엇입니까?

Accepted Answer

**문제 요구사항 분석:**
1. DevOps 팀이 IAM 역할을 **직접 생성**할 수 있어야 함
2. 생성된 역할에 **관리자 권한이 부여되면 안 됨**
3. 즉, '권한 위임은 허용하되 권한 상승(Privilege Escalation)은 방지'해야 함

**SCP + 권한 경계(Permissions Boundary) 조합이 정답인 이유:**

- **SCP(Service Control Policy)**: AWS Organizations 수준에서 모든 계정/OU에 적용되는 '가드레일'
- SCP에서 `iam:CreateRole` 액션에 **조건(Condition)**을 걸어, **권한 경계가 연결되지 않은 역할 생성을 거부**할 수 있음
- 예: `iam:PermissionsBoundary` 조건 키를 사용하여 특정 관리형 정책을 권한 경계로 반드시 지정하도록 강제
- DevOps 팀이 역할을 만들 때 반드시 **사전 정의된 권한 경계**를 붙여야 하므로, 해당 경계 내에서만 권한이 부여됨
- 권한 경계에 `AdministratorAccess`가 포함되지 않으면, 아무리 역할에 광범위한 정책을 붙여도 **실효 권한은 경계 내로 제한**됨

**동작 흐름:**
1. 관리자가 권한 경계용 IAM 정책을 생성 (관리자 권한 제외)
2. SCP에서 `iam:CreateRole` 시 해당 권한 경계 연결을 조건으로 강제
3. DevOps 팀이 역할 생성 → 권한 경계 없이 생성 시도하면 SCP에 의해 **거부**
4. 권한 경계를 연결하여 생성하면 허용되지만, 역할의 실효 권한은 경계 범위 내로 제한

📖 해설

✅ 정답 분석

❌ 오답 분석

📘 핵심 개념

🏗️ 아키텍처

⚙️ 운영 관점

🔒 보안 관점

🎯 시험 팁