극점매크로｜Amarathon 2025 정리 08：TEAM 배포와 최고의 엔지니어링 팀 구축

멀티 계정 및 IAM 설계

[ 1 ] 단일 계정 아키텍처:

● 복잡한 권한 관리로 인해 보안 확보가 어려움

● 워크로드별 비용 추적이 어려움

● 운영 오류와 할당량 문제가 발생하기 쉬워 운영이 어려움

[ 2 ] 멀티 계정 아키텍처:

● 권한 분리로 보안 향상

● 각 워크로드의 비용을 쉽게 파악

● 작업 영향을 최소화하여 운영 효율성 향상

점프 계정 방식

● 점프 계정을 설정하고 IAM 사용자 통합

● 사용자가 점프 계정에 로그인한 후 각 계정으로 역할 전환

● 각 계정의 권한은 대상 역할에 부여

● 점프 계정 방식을 사용하는 IAM 설계 팁:

● [ 1 ] 실제 역할을 기준으로 그룹 생성

● [ 2 ] 역할에 따라 각 계정의 역할 생성

● [ 3 ] 각 IAM 그룹의 전환 대상 계정과 IAM 역할 정의

TEAM을 통한 액세스 제어

● 프로덕션 환경의 액세스 제어를 어떻게 처리해야 하는가?

● 변경 관리: 변경 작업을 위해 누가 언제 프로덕션 환경에 액세스했는가?

● 프로덕션 액세스 제어: 프로덕션 환경에 언제든 액세스할 수 있는가?

---

TEAM을 통한 액세스

제어 TEAM(Temporary Elevated Access Management)이란?

● Temporary Elevated Access Management의 약어

● 계정 액세스를 관리하는 승인 기반 워크플로

● IAM Identity Center 액세스 포털에서 액세스할 수 있는 애플리케이션으로 제공

TEAM을 통한 프로덕션 액세스 제어 워크플로(애플리케이션)

● [1/3] 프로덕션 계정에는 읽기 전용 권한만 보유하고 애플리케이션에서 TEAM 선택

● [2/3] 요청 생성

● [3/3] 아직 승인되지 않았으므로 상태가 보류 중 TEAM을

통한 프로덕션 액세스 제어 워크플로(승인)

● 승인자가 "요청 승인"에서 해당 요청을 선택하고 댓글을 입력한 후 승인 TEAM을

통한 프로덕션 액세스 제어 워크플로(권한 부여)

● 프로덕션 계정에 대한 액세스 권한이 추가됨

● 승인되었으므로 이제 상태가 "승인됨"으로 설정. 전체

팀 구조

● ① IAM Identity Center에서 Amazon Web Services 액세스 포털에 액세스

● ② TEAM 애플리케이션에 액세스

● ③ 상승된 액세스 요청

● ④ 상승된 액세스 승인

● ⑤ 상승된 액세스 활성화

● ⑥ 상승된 액세스 호출

● ⑦ 세션 활동 기록

● ⑧ 상승된 액세스 종료

● ⑨ 요청 세부 정보와 세션 활동 로그 검토

---

TEAM 설계 및 구현

● IAM Identity Center로 마이그레이션하기 위한 권한 정리:

● ① 각 계정의 역할과 정책 정리, 권한 세트 생성

● ② 점프 계정 그룹과 정책 정리, Entra ID에 그룹 등록

● ③ 할당 생성, CloudFormation 활용

페르소나 할당 및 승인 워크플로 규칙 설계

● TEAM에는 네 가지 페르소나가 있음(액세스 요청, 액세스 요청 승인, 로그 감사, 규칙 관리)

● 페르소나 할당 및 승인 규칙 설계

● 페르소나 할당 설계

● 승인을 위해 무엇을 제출해야 하는가?

● 누가 승인/거부해야 하는가?

● 승인을 부여하는 최대 시간

● 알림 대상(메일, 채팅...

) 소규모 운영부터 적용 범위를 점진적으로 확대

● 소규모 팀에서 운영을 테스트하고 적용 범위를 점진적으로 확대

● 개인 → 내 팀 → 전체 부서

[ 1 ] 기존 시스템과 병행 운영

● 비즈니스에 미치는 영향 최소화

[ 2 ] 피드백을 바탕으로 설정과 운영 검토

● 페르소나 할당이 충분한가?

예상치 못한 권한이 부여되고 있지는 않은가? IAM Identity Center x TEAM

● Entra ID에서 프로비저닝된 SSO 사용자 사용

● IAM Identity Center 액세스 포털을 통해 비프로덕션 계정으로 역할 전환

● TEAM 승인 후 비프로덕션 계정으로 역할 전환

---

TEAM의 이점

● IAM Identity Center x TEAM:

[ 1 ] 사용자 관점:

● 계정 간 역할 전환이 더 간단해짐

● 요청 경로가 짧아지고 UI가 더 단순하고 명확해짐

● 개발 효율성 향상

[ 2 ] 관리자 관점:

● IAM 관리에서 해방

● 페르소나 할당과 요청 규칙 등의 설정 관리가 더 간단해짐

● 운영 효율성 향상

요약

● "TEAM"을 통해 모든 "팀" 구성원의 운영 및 보안 인식이 향상

● 멀티 계정 구성에서는 프로덕션 계정의 액세스 관리를 고려

● "IAM Identity Center x TEAM"으로 손쉬운 제어 가능

● TEAM 구현으로 팀 생산성, 보안 및 규정 준수 향상