[AWS] STS (Security Token Service)란? 쉽게 정리 (임시 자격 증명, AssumeRole, Trust Policy, Trusted Entity)

◇  공부 기록용으로 작성하였으니 틀린점, 피드백 주시면 감사하겠습니다 ◇

 

 

STS

 

STS: 일시적인 인증 자격 증명: Temporary Security Credentials

STS, Security Token Service

STS는 AWS 리소스에 접근이 필요한 사용자나 애플리케이션에 일시적인 보안 자격 증명을 제공하는 서비스이다.

즉, 기존의 IAM Role이나 IAM User 등의 자격을 임시적으로 STS를 통해 받아 AWS CLI 등을 활용해 AWS 리소스에 접근할 수 있다.

 

STS 임시 자격 증명 (Access Key, Secret Access Key)

STS로 통해 임시 자격 증명(Temporary Security Credentials)이 다음과 같은 내용이 발급된다.

1. Access Key : (AWS에 접근하기 위한) ID와 비슷하다
2. Secret Access Key : (AWS에 접근하기 위한) Password와 비슷하다
3. Session Token : 임시 보안 자격 증명의 유효성을 확인하는 데 사용되는 토큰, 유효기간이 지나면 만료된다.

AWS CLI를 통해 STS의 임시 자격이 다음과 같은 내용으로 발급된다. 이로써 AWS 리소스에 접근 가능해진다.

https://www.hava.io/blog/what-is-aws-security-token-service-sts

STS 자격 증명의 유효기간 

(유효기간이 지나면 자동으로 STS가 무효화된다, 다시 갱신 해야됨)

• 최소(min) : 15 분
• 최대(max) : 36 시간

 

 

STS의 임시 자격 증명을 얻는 방법

보통은 주로 AWS CLI를 통해 다들 STS의 임시 자격 증명을 발급받겠지만 그외에 다양한 방법이 있다. 

1. AWS CLI
2. AWS SDK
3. AWS Management Console
4. Lambda 함수
5. Third-Party Tools 및 SSO

AWS CLI 예시

aws sts assume-role --role-arn "arn:aws:iam::123456789012:role/example-role" --role-session-name "example-session"

AWS SDK 예시

import boto3

# STS 클라이언트 생성
sts_client = boto3.client('sts')

# AssumeRole 호출
response = sts_client.assume_role(
    RoleArn='arn:aws:iam::123456789012:role/example-role',
    RoleSessionName='example-session'
)

# 임시 자격 증명 가져오기
credentials = response['Credentials']
print("AccessKeyId:", credentials['AccessKeyId'])
print("SecretAccessKey:", credentials['SecretAccessKey'])
print("SessionToken:", credentials['SessionToken'])

Lambda 함수 예시

import boto3

def lambda_handler(event, context):
    sts_client = boto3.client('sts')
    response = sts_client.assume_role(
        RoleArn='arn:aws:iam::123456789012:role/example-role',
        RoleSessionName='example-session'
    )
    return response['Credentials']

 

---

 

주요 STS API

1. AssumeRole
2. AssumeRoleWithSAML
3. AssumeRoleWithWebIdentity
4. GetSessionToken
5. GetFederationToken

---

🎭 AssumeRole

다른 AWS 계정이나 같은 계정 내에서 특정 역할(Role)을 임시로 가정(Assume)하여 특정 AWS 리소스에 접근할 수 있다.

 

🌱예시) 회사에 두 개의 AWS 계정이 있을 경우

1. 계정 A (미국 개발자용 계정)
2. 계정 B (한국 개발자용 계정).

한국 개발자가 계정 B에 로그인했지만, 계정 A의 S3 버킷에 접근할 필요가 있을 때 AssumeRole을 사용할 수 있다.

 

 

🎭 AssumeRoleWithSAML

SAML 2.0이라는 프로토콜을 사용한 온프레미스(예: Microsoft Active Directory)와 같은 신원 제공자(IdP)를 이용하여 SSO(Single Sign-On) 인증을 통해 IAM Role을 임시로 Assume 할 수 있게 해준다.

즉, 온프레미스의 SAML 자격 증명을 통해 AWS 리소스에 접근할 때 사용하는 기능이다.

예를 들어, 회사 내부 네트워크에서 사용하는 자격 증명으로 AWS에 로그인하여, 정의된 역할로 AWS 리소스에 접근할 수 있다.

 

🌱 사용 사례:

회사 조직 내의 SSO 시스템을 사용해 인증된 사용자에게 AWS 리소스 접근을 허용할 때 사용된다.

https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_saml.html

 

SAML에 대한 정리: https://jibinary.tistory.com/507

OAuth, OpenID Connect, SAML를 아주 쉽게 정리

 

 

 

🎭 AssumeRoleWithWebIdentity

Web Identity Provider, WIP (예: Google, Facebook, Amazon Cognito 등) 외부 IdP(신원 제공자)를 통해 인증된 사용자에게 IAM Role을 임시로 Assume 할 수 있게 해준다.

이 방식은 모바일 앱이나 웹 애플리케이션에서 많이 사용되며, 사용자가 별도의 AWS 자격 증명 없이 외부 계정으로 로그인할 수 있다는 장점이 있다.

 

🌱 예시:

Google 계정으로 소셜 로그인하여 AssumeRoleWithWebIdentity을 통해 AWS 리소스에 접근한다.

 

🎭 GetSessionToken

사용자가 MFA (Multi-Factor Authentication)를 통해 인증 후 IAM User의 임시 자격 증명을 요청할 수 있다.

 

🎭 GetFederationToken

"Federation" 뜻: 

연동 (여러 시스템이나 조직 간에 사용자 인증 및 권한을 공유하는 것, 사용자가 한 번 인증(로그인)하면, 다른 시스템이나 서비스에 다시 로그인할 필요 없이 접근할 수 있다)

연동된 사용자(federated user)를 위한 임시 보안 자격 증명을 생성한다. 연동된 사용자는 IAM User로 등록되지 않은 외부 사용자를 의미한다.

주로 사내 네트워크의 애플리케이션이나 프록시 애플리케이션을 위해 사용된다. 

 

---

Trust Relationship, 신뢰 관계 설정

Trust Policy (신뢰 정책)

예시

Trust Policy는 IAM Role이 누구를 신뢰할지를 결정하는 Policy이다. (IAM Role에 Trust Policy을 설정한다)

Trust Policy는 IAM Role에 어떤 Principal(예: 다른 AWS 계정)에게 권한을 부여할지를 정의하는 JSON 문서이다. 

 

<Trust Policy 주요 속성>

• Principal : 역할을 Assume할 수 있는 Trusted Entity(주체).
• Action : "sts:AssumeRole"와 같은 실행할 내용
• Effect : Allow 또는 Deny.

🤝 Trusted Entity (대상)

Trust Policy에서 정의된 "Principal"이 바로 Trusted Entity이다.
Trusted Entity는 AWS 서비스(예: Lambda, EC2)나 IAM User 또는 IAM Role이 될 수 있다.

 

예시) AWS 계정

  "Principal": {
    "AWS": "arn:aws:iam::123456789012:root"
  },

예시) IAM 사용자 또는 역할

  "Principal": {
    "AWS": "arn:aws:iam::123456789012:role/ExampleRole"
  },

예시) EC2

  "Principal": {
    "Service": "ec2.amazonaws.com"
  },

https://aws.amazon.com/blogs/security/how-to-use-regional-aws-sts-endpoints/

 

(🌱 Trust Policy 예시)

AWS의 123456789012 계정의 "root" 와 "JohnDoe" 라는 IAM User가 이 IAM Role을 Assume하여 맡을 수 있도록 허용하는 정책이다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:iam::123456789012:root",
          "arn:aws:iam::123456789012:user/JohnDoe"
        ]
      },
      "Action": "sts:AssumeRole",
      "Condition": {}
    }
  ]
}

 

 

(🌱 Trust Policy 예시)

"111111111111" 계정의 IAM Role ⇚ "999999999999" 계정의 IAM User 

1. "111111111111" 계정의 Role A에서 "999999999999" 계정의 User B를 Trust Policy을 설정한다.
2. "999999999999" 계정의 User B에서 "111111111111" 계정의 Role A을 지정하고, AssumeRole을 허용(Allow)하는 IAM Policy을 설정한다.

이로 인해 "999999999999"의 UserB는 RoleA에 부여된 권한을 Assume하여, "111111111111" 계정 내의 리소스에 접근할 수 있게 된다.

 

[RoleA (IAM User)에 설정하는 Trust Policy]

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::999999999999:user/UserB"
      },
      "Action": "sts:AssumeRole",
    }
  ]
}

 

[UserB에 설정하는 IAM Policy]

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": "arn:aws:iam::111111111111:role/RoleA"
    }
  ]
}

 

 

 

---

🤔 문제

한 회사는 모든 개인 식별 정보(PII)를 Account A의 Amazon DynamoDB 테이블 PII에 저장하고 있습니다. Account B의 Amazon EC2 인스턴스에서 실행되는 애플리케이션이 PII 테이블에 액세스해야 합니다. Account A의 관리자는 AccessPII라는 IAM 역할을 생성하여 PII 테이블에 액세스할 수 있는 권한을 부여하고 Account B를 신뢰할 수 있는 엔터티로 설정했습니다. 개발자가 테이블에 액세스하기 위해 취해야 할 조치 조합은 무엇입니까? (2개 선택)

 

1. EC2 IAM Role에 AccessPII 역할을 가정할 수 있는 권한을 부여합니다.
2. EC2 IAM Role에 PII 테이블에 액세스할 수 있는 권한을 부여합니다.
3. 애플리케이션 코드 로직에 AWS API를 포함하여 PII 테이블에 액세스하기 위해 EC2 IAM 역할로부터 임시 자격 증명을 얻습니다.
4. 애플리케이션 코드 로직에 AssumeRole API 작업을 포함하여 PII 테이블에 액세스하기 위한 임시 자격 증명을 얻습니다.
5. 애플리케이션 코드 로직에 GetSessionToken API 작업을 포함하여 PII 테이블에 액세스하기 위한 임시 자격 증명을 얻습니다.

정답

정답. 1번, 4번