AWS Organizations에서 멤버 계정에 관리자 제어 권한을 부여하려면 어떻게 해야 합니까?

3분 분량

기존 AWS 계정에 조직에 가입하라는 초대를 보냈습니다. 멤버 계정에 액세스하여 이에 대한 전체 관리자 제어 권한을 부여하고 싶습니다.

해결 방법

초대된 멤버 계정에 대한 관리자 제어 액세스 권한을 자신에게 부여하려면 멤버 계정에서 OrganizationAccountAccessRole 역할을 생성하십시오.

멤버 계정에 AWS Organizations 관리자 역할 생성

AWS Identity and Access Management(IAM) 콘솔을 엽니다. 멤버 계정에서 IAM 사용자로 로그인하거나 IAM 역할을 수임합니다. 사용자 또는 역할에 IAM 역할 및 정책을 생성할 수 있는 권한이 있어야 합니다.
참고: 루트 사용자로 로그인하지 않는 것이 좋습니다.
탐색 창에서 Roles(역할)를 선택한 후 Create Role(역할 생성)를 선택합니다.
Trusted entity type(신뢰할 수 있는 엔터티 유형)에서 AWS account(AWS 계정)를 선택한 다음 Another AWS account(다른 AWS 계정)를 선택합니다.
초대된 멤버 계정의 12자리 계정 ID를 입력합니다.
참고: 계정은 회사 내부용이므로 외부 ID 필요를 선택하지 마십시오. 자세한 내용은 AWS 리소스 액세스 권한을 부여할 때 외부 ID를 사용하는 방법을 참조하십시오.
다중 인증(MFA)을 켜고 구성한 경우 인증에 MFA 필요를 선택할 수 있습니다.
Next(다음)를 선택합니다. Add permissions(권한 추가) 페이지에서 AdministratorAccess라는 AWS 관리형 정책을 선택합니다.
Next(다음)를 선택합니다.
Name, review, and create(이름 지정, 검토 및 생성) 페이지에서 OrganizationAccountAccessRole과 같은 역할 이름을 입력합니다.
(선택 사항) 역할에 대한 설명을 입력하거나 태그를 추가합니다.
구성을 검토한 다음, Create role(역할 생성)을 선택합니다.

새 역할이 사용 가능한 역할 목록에 표시됩니다.

멤버 계정 역할로 전환

멤버 계정에서 OrganizationAccountAccessRole로 전환하려면 AWS Organizations 콘솔 또는 AWS Command Line Interface(AWS CLI)를 사용하십시오.

AWS Organizations 콘솔 사용

다음 단계를 완료하십시오.

AWS Organizations 콘솔을 엽니다.
충분한 권한이 있는 IAM 사용자로 로그인합니다.
드롭다운 메뉴에서 Switch role(역할 전환)을 선택합니다. 다음 페이지에서 Switch role(역할 전환)을 선택합니다.
관리자가 제공한 계정 ID 번호와 생성한 역할 이름을 입력합니다.
Display Name(표시 이름)에 이 역할을 사용할 때 표시할 이름을 입력합니다.
Switch Role(역할 전환)을 선택합니다.

이 역할에서 수행하는 모든 작업은 역할에 부여된 권한을 사용합니다. 이전 IAM ID로 다시 전환하기 전까지는 이전 IAM ID와 연결된 권한이 없습니다. 이전 IAM ID로 다시 전환하려면 탐색 막대에서 계정의 표시 이름을 선택합니다. 그런 다음 USERNAME으로 돌아가기를 선택합니다.

AWS CLI 사용

다음 단계를 완료하십시오.

참고: AWS CLI 명령을 실행할 때 오류가 발생하면 AWS CLI 오류 문제 해결을 참조하십시오. 또한 최신 AWS CLI 버전을 사용하고 있는지 확인하십시오.

운영 체제에서 터미널 또는 명령 프롬프트를 엽니다.
멤버 계정에서 역할을 수임하려면 aws sts assume-role 명령을 사용하십시오. ROLE-ARN을 멤버 계정에서 생성한 IAM 역할의 ARN으로 바꾸십시오.
```
aws sts assume-role --role-arn ROLE_ARN —role-session-name CrossAccountSession
```
이 명령은 액세스 키 ID, 시크릿 액세스 키 및 세션 토큰을 임시 보안 자격 증명으로 제공합니다.
다음과 같은 임시 자격 증명을 사용하도록 AWS CLI를 구성합니다.

aws configure set aws_access_key_id TEMP_ACCESS_KEY_ID  
aws configure set aws_secret_access_key TEMP_SECRET_ACCESS_KEY  
aws configure set aws_session_token TEMP_SESSION_TOKEN

참고: 이 단계에서는 장기 액세스 키 대신 임시 보안 자격 증명을 사용하는 것이 가장 좋습니다. 하지만 이러한 자격 증명은 여전히 일반 텍스트로 표시될 수 있으므로 이 정보를 안전하게 보관해야 합니다. 자세한 내용은 IAM의 임시 보안 자격 증명을 참조하십시오.

이제 AWS CLI 명령을 실행하여 멤버 계정의 리소스에 액세스할 수 있습니다.

문제 해결

멤버 계정에 액세스할 수 없는 경우 필요한 권한이 없는 것일 수 있습니다. 조직의 다른 계정에서 계정에 액세스하려면 다음과 같은 권한 및 신뢰 정책이 있어야 합니다.

다른 역할을 수임하려는 IAM ID에 sts:AssumeRole을 포함하십시오.
대상 역할과 소스 계정 또는 역할의 신뢰 관계를 설정합니다.

이러한 필수 권한은 동일한 계정 또는 계정 전체에서 다른 역할을 수임하는 모든 역할에 적용됩니다.

역할을 수임하려고 할 때 오류가 발생하면 역할을 수임할 수 없습니다를 참조하십시오.