AWS Organizations & SCP: 멀티 계정 관리와 보안 가드레일

핵심 요약 (BLUF)

AWS Organizations는 여러 AWS 계정을 중앙에서 관리하고, SCP(서비스 제어 정책)는 계정 수준의 권한 상한선(가드레일)을 설정합니다. SCP는 권한을 부여하지 않으며, IAM 정책이 허용한 범위 내에서 추가적인 제한만 합니다.

시험 팁

시험 핵심: "SCP는 권한을 부여하지 않는다. 최대 허용 범위를 제한할 뿐이다."

AWS Organizations란?

여러 AWS 계정을 하나의 조직으로 통합 관리하는 서비스입니다.

┌─────────────────────────────────────────────────┐
│                  Organization                    │
│                                                  │
│  ┌────────────────┐                              │
│  │ Management     │  ← 조직 관리, 결제 통합      │
│  │ Account        │     SCP 영향 받지 않음       │
│  └────────────────┘                              │
│         │                                        │
│  ┌──────┴──────────────────────────────┐         │
│  │              Root                    │         │
│  ├──────────────┬───────────────────────┤         │
│  │              │                       │         │
│  │  ┌───────┐  │  ┌─────────────┐      │         │
│  │  │ Prod  │  │  │   Dev       │      │         │
│  │  │ OU    │  │  │   OU        │      │         │
│  │  ├───────┤  │  ├─────────────┤      │         │
│  │  │Acct A │  │  │  Acct C     │      │         │
│  │  │Acct B │  │  │  Acct D     │      │         │
│  │  └───────┘  │  └─────────────┘      │         │
│  └─────────────┴────────────────────────┘         │
└─────────────────────────────────────────────────┘

핵심 기능

기능	설명
통합 결제	모든 계정의 비용을 하나로 합산
볼륨 할인	합산 사용량으로 더 높은 할인 적용
SCP	계정 수준 보안 가드레일
OU (조직 단위)	계정을 그룹으로 분류
계정 생성	API로 자동 계정 생성

시험 팁

통합 결제: Reserved Instance와 Savings Plans의 공유가 가능합니다. Prod 계정에서 구매한 RI를 Dev 계정에서도 활용할 수 있습니다.

OU(조직 단위) 설계

일반적인 OU 구조

Root
├── Security OU
│   ├── Log Archive 계정
│   └── Security Tooling 계정
├── Infrastructure OU
│   ├── Shared Services 계정
│   └── Networking 계정
├── Workloads OU
│   ├── Production OU
│   │   ├── App A Prod
│   │   └── App B Prod
│   └── Development OU
│       ├── App A Dev
│       └── App B Dev
└── Sandbox OU
    └── 개인 실험 계정

OU 설계 원칙

목적별 분리: 보안, 인프라, 워크로드, 샌드박스
환경별 분리: Production vs Development
SCP 적용 편의: OU 단위로 정책 일괄 적용
최소 권한: 각 OU에 필요한 최소 권한만 허용

SCP(서비스 제어 정책) 이해하기

SCP의 역할

SCP는 권한을 부여하지 않습니다. 계정 내 IAM 정책이 허용하는 최대 범위를 제한합니다.

유효 권한 = IAM 정책 ∩ SCP

예시:
IAM 정책: S3, EC2, RDS 허용
SCP: S3, EC2만 허용
→ 유효 권한: S3, EC2 (RDS는 SCP에 의해 차단)

SCP 적용 규칙

규칙	설명
관리 계정	❌ SCP 영향 받지 않음
멤버 계정	✅ SCP 적용
루트 사용자	✅ SCP에 의해 제한됨
상속	✅ 상위 OU → 하위 OU → 계정
최대 연결 수	엔터티당 5개 SCP
최대 크기	SCP당 5,120자

시험 팁

중요: SCP는 멤버 계정의 루트 사용자도 제한합니다. IAM 정책으로는 루트를 제한할 수 없지만 SCP로는 가능합니다.

SCP 전략: 거부 목록 vs 허용 목록

거부 목록 (Deny List) - 권장

기본 FullAWSAccess 정책을 유지하고, 특정 위험 작업만 차단합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyLeaveOrganization",
      "Effect": "Deny",
      "Action": "organizations:LeaveOrganization",
      "Resource": "*"
    }
  ]
}

장점:

새로운 AWS 서비스 자동 허용
구현이 간단하고 안전
서비스 중단 위험 낮음

허용 목록 (Allow List)

기본 FullAWSAccess를 제거하고, 특정 서비스만 허용합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:*",
        "s3:*",
        "rds:*"
      ],
      "Resource": "*"
    }
  ]
}

주의: 새 서비스 출시 시 수동으로 추가해야 하고, 실수로 서비스가 차단될 수 있습니다.

시험 팁

시험에서는 거부 목록(Deny List) 전략이 권장 방식으로 출제됩니다.

자주 사용되는 SCP 예제

1. 리전 제한

특정 리전에서만 AWS 서비스 사용을 허용합니다:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAllOutsideAllowedRegions",
      "Effect": "Deny",
      "NotAction": [
        "iam:*",
        "organizations:*",
        "sts:*",
        "support:*"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:RequestedRegion": [
            "ap-northeast-2",
            "us-east-1"
          ]
        }
      }
    }
  ]
}

시험 팁

NotAction 사용: IAM, Organizations 같은 글로벌 서비스는 리전 제한에서 제외해야 합니다.

2. 루트 사용자 작업 차단

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyRootUser",
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "aws:PrincipalArn": "arn:aws:iam::*:root"
        }
      }
    }
  ]
}

3. CloudTrail 비활성화 방지

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyCloudTrailModification",
      "Effect": "Deny",
      "Action": [
        "cloudtrail:StopLogging",
        "cloudtrail:DeleteTrail"
      ],
      "Resource": "*"
    }
  ]
}

4. S3 퍼블릭 접근 차단 방지

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyS3PublicAccessBlockRemoval",
      "Effect": "Deny",
      "Action": [
        "s3:PutBucketPublicAccessBlock",
        "s3:PutAccountPublicAccessBlock"
      ],
      "Resource": "*"
    }
  ]
}

SCP vs IAM 정책

비교 항목	SCP	IAM 정책
적용 대상	계정 전체 (OU/계정)	사용자, 그룹, 역할
권한 부여	❌ 불가	✅ 가능
권한 제한	✅ 가능	✅ 가능
루트 사용자 제한	✅ 가능	❌ 불가
관리 계정 적용	❌ 불가	✅ 가능
JSON 구문	IAM 정책과 동일	-