성덕이의 개발공간

SCP 문법은 "강제"적용이다. Tag 문법은 선언한 Tag에 대해서만 적용이된다. Tag 문법의 경우 선언하지 않은 Tag는 적용되지 않는다. 따라서 이 경우는 다음과 같은 방법으로 적용한다. 1. SCP 문법을 통해 "off"라는 Tag Key를 강제 선언한다. 2. Tag 문법을 통해 "off"의 Tag Value 값을 선언한다. 1) SCP 문법 { "Version": "2012-10-17", "Statement": [ { "Sid": "ScpEssentialInstanceTag", "Effect": "Deny", "Action": [ "ec2:RunInstances" ], "Resource": [ "arn:aws:ec2:*:*:instance/*" ], "Condition": { "ForAllV..

1) SCP 문법 { "Version": "2012-10-17", "Statement": [ { "Sid": "scpmfa", "Effect": "Deny", "Action": [ "*" ], "Resource": "*", "Condition": { "ArnNotLikeIfExists": { "aws:PrincipalArn": [ "arn:aws:iam::*:role/*" ] }, "BoolIfExists": { "aws:MultiFactorAuthPresent": false } } } ] } 2) 테스트

1) SCP문법 { "Version": "2012-10-17", "Statement": [ { "Sid": "scplimitinstancetype", "Effect": "Deny", "Action": [ "ec2:RunInstances" ], "Resource": [ "arn:aws:ec2:*:*:instance/*" ], "Condition": { "StringNotEquals": { "ec2:InstanceType": [ "t2.nano", "t2.micro", "t2.small", "t2.medium", "t2.large", "t3.nano", "t3.micro", "t3.small", "t3.medium", "t3.large", "t3a.nano", "t3a.micro", "t3a.small", ..

1) SCP 문법 { "Version": "2012-10-17", "Statement": [ { "Sid": "scpaccessbudgets", "Effect": "Allow", "Action": [ "iam:AttachGroupPolicy", "iam:AttachRolePolicy", "iam:AttachUserPolicy", "iam:DetachGroupPolicy", "iam:DetachRolePolicy", "iam:DetachUserPolicy", "organizations:AttachPolicy", "organizations:DetachPolicy" ], "Resource": "*" } ] }

조직단위에서 도메인을 관리하므로 개개인 조직원이 구매할 수 없도록 방지할 수 있다. 1) SCP 문법 { "Version": "2012-10-17", "Statement": [ { "Sid": "scplimitroute53domainbuy", "Effect": "Deny", "Action": [ "route53domains:RegisterDomain", "route53domains:*" ], "Resource": "*" } ] } 2) 테스트

조직에서는 간혹가다 본인이 원하지 않는 지역에 리소스를 생성한 후, 까먹고 지우지 않는 경우가 종종 발생한다. 관리자는 "서울"리전에만 리소스를 만들 수 있게 SCP를 통해서 제한을 둘 수 있다. 하지만 사용자 내에서 두 개의 리전을 통해 테스트가 필요할 수 있으므로 버지니아 북부와 서울 리전만 허용하도록 진행한다. 1) SCP 문법 { "Version": "2012-10-17", "Statement": [ { "Sid": "scplimitregion", "Effect": "Deny", "Action": "*", "Resource": "*", "Condition": { "StringNotEquals": { "aws:RequestedRegion": [ "ap-northeast-2", "us-east-1" ..