개요

이 페이지에서는 Google Cloud ID 및 Access Management의 기본 개념을 설명합니다.

Google Cloud Platform(GCP)에서 제공하는 Cloud IAM을 사용하면 누가(ID) 어떤 리소스에 대한 어떤 액세스 권한(역할)을 갖는지 정의해 액세스 제어를 관리할 수 있습니다.

IAM

Cloud IAM을 사용하면 특정 GCP 리소스에 대해 세밀한 액세스를 부여하고 다른 리소스에 대한 무단 액세스를 방지할 수 있습니다. Cloud IAM으로 최소 권한의 보안 원칙을 적용하여 필요한 리소스에 대한 액세스 권한만 부여할 수 있습니다.

Cloud IAM에서는 구성원에 액세스 권한을 제공합니다. 구성원의 유형은 다음과 같습니다.

  • Google 계정
  • 서비스 계정
  • Google 그룹
  • G Suite 도메인
  • Cloud ID 도메인

Google 계정

Google 계정은 개발자, 관리자, GCP와 상호작용하는 다른 사용자를 나타냅니다. Google 계정과 관련된 모든 이메일 주소는 ID가 될 수 있고, gmail.com 및 기타 도메인을 사용할 수 있습니다. 신규 사용자는 Google 계정 가입 페이지에서 Google 계정에 가입할 수 있습니다.

서비스 계정

서비스 계정은 개별 최종 사용자가 아니라 애플리케이션에 속한 계정입니다. GCP에서 호스팅되는 코드를 실행할 때는 코드를 실행하는 계정을 지정하게 됩니다. 애플리케이션의 다양한 논리적 구성요소를 나타내는 데 필요한 개수대로 서비스 계정을 생성할 수 있습니다. 자세한 내용은 Google Cloud Platform 콘솔 서비스 계정에서 확인하세요.

Google 그룹

Google 그룹은 여러 Google 계정과 서비스 계정을 모아 이름을 붙인 계정 컬렉션입니다. 모든 그룹에는 그룹과 연결된 고유 이메일 주소가 있습니다. 모든 Google 그룹 홈페이지의 정보를 클릭하면 Google 그룹과 연결된 이메일 주소를 확인할 수 있습니다. Google 그룹에 관한 추가 정보는 Google 그룹스 홈페이지에서 확인하세요.

Google 그룹스를 사용하면 여러 사용자의 컬렉션에 액세스 정책을 편리하게 적용할 수 있습니다. 각 사용자나 서비스 계정에 일일이 액세스 제어를 부여하거나 변경하는 대신 전체 그룹에 동시에 액세스 제어를 부여하거나 변경할 수 있습니다. 사용자를 추가/제거하기 위해 Cloud IAM 정책을 업데이트할 필요 없이 Google 그룹스에서 구성원을 간편하게 추가/제거할 수 있습니다.

Google 그룹에는 로그인 사용자 인증 정보가 없으며, 리소스에 대한 액세스를 요청할 목적으로 Google 그룹스를 사용해 ID를 설정할 수 없습니다.

G Suite 도메인

G Suite 도메인은 조직의 G Suite 계정에서 생성된 모든 Google 계정으로 구성된 가상 그룹을 나타냅니다. G Suite 도메인은 조직의 인터넷 도메인 이름(예: example.com)을 나타내며 G Suite 도메인에 사용자를 추가하면 해당 가상 그룹 내의 사용자를 위해 새로운 Google 계정이 생성됩니다(예: username@example.com).

Google 그룹스처럼 G Suite 도메인은 ID 설정에 사용할 수 없지만 권한을 편리하게 관리할 수 있습니다.

Cloud ID 도메인

Cloud ID 도메인은 조직의 모든 Google 계정으로 구성된 가상 그룹을 나타낸다는 의미에서 G Suite 도메인과 유사합니다. 하지만, Cloud ID 도메인 사용자는 G Suite 애플리케이션과 기능에 액세스할 수 없습니다. 자세한 내용은 Cloud ID 정보에서 확인하세요.

allAuthenticatedUsers

Google 계정 또는 서비스 계정으로 인증한 모든 사용자를 나타내는 특수 식별자입니다. 익명 방문자처럼 인증되지 않은 사용자는 포함되지 않습니다.

allUsers

인증/미인증 사용자를 포함해 인터넷을 사용하는 모든 사람을 나타내는 특수 식별자입니다. 일부 GCP API의 경우 서비스에 액세스하는 모든 사용자의 인증을 요구하며, 이 경우 allUsers는 모든 인증된 사용자의 인증만을 나타냅니다.

인증된 구성원이 요청을 시도할 때 Cloud IAM은 해당 구성원에게 리소스 작업이 허용되었는지에 대해 인증 관련 의사결정을 합니다.

이 섹션에서는 인증 프로세스와 관련된 항목과 개념을 설명합니다.

리소스

사용자에게 GCP 리소스에 대한 액세스 권한을 부여할 수 있습니다. 프로젝트, Compute Engine 인스턴스, Cloud Storage 버킷이 리소스의 예에 해당합니다.

Cloud Pub/Sub 같은 일부 서비스는 프로젝트 수준보다 더욱 세밀하게 Cloud IAM 권한을 부여할 수 있는 기능을 제공합니다. 예를 들어, 사용자에게 특정 Cloud Pub/Sub 주제에 대한 구독자 역할을 부여할 수 있습니다. 하지만, 대부분은 프로젝트에 Cloud IAM 권한을 부여하며, 권한은 프로젝트 내의 모든 리소스에 적용됩니다. 예를 들어, Compute Engine 인스턴스나 Cloud Storage 버킷에 대한 액세스 권한을 부여하려면 인스턴스나 버킷이 포함된 프로젝트에 대한 액세스 권한을 부여해야 합니다. 어떤 리소스에 어떤 역할을 부여할 수 있는지에 관한 자세한 내용은 역할 이해를 참조하세요.

권한

권한으로는 리소스에 어떤 작업을 허용할지를 결정합니다. Cloud IAM에서는 권한이 <service>.<resource>.<verb> 형태(예: pubsub.subscriptions.consume)로 나타납니다.

권한은 일반적으로 REST 메소드와 1:1로 상응하지만 항상 그렇지는 않습니다. 즉, 각 GCP 서비스에는 노출하는 각 REST 메소드에 연결된 권한 집합이 있습니다. 해당 메소드의 호출자는 해당 메소드를 호출하려면 권한이 필요합니다. 예를 들어, Publisher.Publish() 호출자는 pubsub.topics.publish 권한이 필요합니다.

사용자에게 직접 권한을 배정할 필요는 없습니다. 대신, 1개 이상의 권한이 포함된 역할을 배정하면 됩니다.

역할

역할이란 권한의 모음입니다. 사용자에게 직접 권한을 배정할 수 없으며, 대신 사용자에게 역할을 배정해야 합니다. 사용자에게 역할을 부여하면 역할에 포함된 모든 권한이 부여됩니다.

역할 매핑 권한

Cloud IAM에는 다음과 같은 세 가지의 역할이 있습니다.

  • 기본 역할: 이전부터 Google Cloud Platform 콘솔에서 사용할 수 있는 역할이며, 지금도 계속 사용 가능합니다. 소유자, 편집자, 뷰어 역할이 여기에 해당됩니다.

  • 사전 정의된 역할: 사전 정의된 역할은 기본 역할보다 더욱 세부적인 액세스 제어를 부여하는 Cloud IAM 역할입니다. 예를 들어, 사전 정의된 역할인 게시/구독 게시자 역할(roles/pubsub.publisher)은 Cloud Pub/Sub 주제에 메시지를 게시할 수 있는 액세스 권한만을 제공합니다.

  • 커스텀 역할: 사전 정의된 역할로 필요한 사항을 조직에 충족할 수 없는 경우 조직의 필요에 맞게 생성하는 커스텀 역할입니다.

사용자에게 역할을 배정하는 방법을 자세히 알아보려면 액세스 권한 부여, 변경, 취소를 확인하세요. 사용 가능한 세분화된 Cloud IAM 사전 정의 역할을 자세히 알아보려면 역할 이해를 참조하세요. 커스텀 역할에 관한 자세한 내용은 커스텀 역할 이해커스텀 역할 생성 및 관리를 참조하세요.

IAM 정책

사용자에게 부여되는 액세스 권한의 유형을 정의하는 여러 구문으로 구성된 Cloud IAM 정책을 생성해 사용자에게 역할을 부여할 수 있습니다. 정책은 리소스에 연결되며 리소스에 액세스할 때마다 액세스 제어를 적용하는 데 사용됩니다.

IAM 정책

Cloud IAM 정책은 IAM Policy 객체로 나타납니다. IAM Policy 객체는 결합의 목록으로 구성됩니다. Bindingmembers의 목록을 role에 연결합니다.

role은 구성원에게 배정하려는 역할입니다. roleroles/<name of the role>의 유형으로 지정됩니다. 예를 들면, roles/storage.objectAdmin, roles/storage.objectCreator, roles/storage.objectViewer입니다.

members에는 위의 ID와 관련된 개념 섹션에서 설명한 1개 이상의 ID 목록이 포함됩니다. 각 구성원 유형은 Google 계정(user:), 서비스 계정(serviceAccount:), Google 그룹(group:), G Suite 또는 Cloud ID 도메인(domain:) 등의 프리픽스로 식별됩니다. 아래 스니펫 예시에서 owner 역할은 적합한 프리픽스를 사용해 다음과 같은 구성원에 할당됩니다. user:alice@example.com, serviceAccount:my-other-app@appspot.gserviceaccount.com, group:admins@example.com, domain:google.com. viewer 역할은 user:bob@example.com에 할당됩니다.

다음 코드 스니펫은 Cloud IAM 정책의 구조를 보여줍니다.

{
  "bindings": [
   {
     "role": "roles/storage.objectAdmin",
     "members": [
       "user:alice@example.com",
       "serviceAccount:my-other-app@appspot.gserviceaccount.com",
       "group:admins@example.com",
       "domain:google.com" ]
   },
   {
     "role": "roles/storage.objectViewer",
     "members": ["user:bob@example.com"]
   }
   ]
}

Cloud IAM 및 정책 API

Cloud IAM은 GCP 리소스에서 액세스 제어 정책을 생성하고 관리하는 데 사용할 수 있는 메소드 모음을 제공합니다. 이 메소드는 Cloud IAM을 지원하는 서비스에서 노출됩니다. 예를 들어, Cloud IAM 메소드는 리소스 관리자, Cloud Pub/Sub, Cloud Genomics API 등에서 노출됩니다.

Cloud IAM 메소드는 다음과 같습니다.

  • setIamPolicy(): 리소스에 정책을 설정할 수 있습니다.
  • getIamPolicy(): 이전에 설정한 정책을 가져올 수 있습니다.
  • testIamPermissions(): 호출자에게 리소스에 대한 특정 권한이 있는지 테스트할 수 있습니다.

Cloud IAM을 지원하는 각 서비스의 문서에서 메소드에 관한 API 참조 주제를 찾을 수 있습니다.

정책 계층구조

GCP 리소스는 계층적으로 정리되었습니다. 조직 노드는 계층 구조의 루트 노드이고 프로젝트는 조직의 하위 항목이며 기타 리소스는 프로젝트의 하위 항목입니다. 각 리소스는 단 하나의 상위 항목만을 가집니다. 자세한 내용은 리소스 관리자 리소스 계층구조 주제를 참조하세요.

다음 다이어그램은 GCP 리소스 계층구조의 예시입니다.

리소스 계층구조

Cloud IAM 정책은 조직 수준, 폴더 수준, 프로젝트 수준, 리소스 수준 등 리소스 계층구조의 모든 수준에 설정할 수 있습니다. 리소스는 상위 리소스의 정책을 상속합니다. 조직 수준에서 정책을 정의하면 자동으로 모든 하위 프로젝트로 정책이 상속되며 프로젝트 수준에서 정책을 설정하면 모든 하위 리소스로 정책이 상속됩니다. 리소스의 효과적인 정책은 해당 리소스에서 설정하는 정책 통합과 계층구조의 상위에서 상속된 정책입니다.

정책 상속은 하위 수준으로 전이됩니다. 즉, 리소스는 프로젝트에서 정책을 상속하고, 프로젝트는 폴더에서 정책을 상속하며, 폴더는 조직에서 정책을 상속합니다. 따라서, 조직 수준 정책은 리소스 레벨에도 적용됩니다.

위 다이어그램의 예의 경우, topic_a는 프로젝트 example-prod에 속하는 Cloud Pub/Sub 리소스입니다. micah@gmail.com에게 example-prod의 편집자 역할을 부여하고 song@gmail.com에게 topic_a의 게시자 역할을 부여하면 micah@gmail.com에게 topic_a의 편집자 역할과 song@gmail.com에게 게시자 역할을 부여하게 됩니다.

Cloud IAM 정책 계층구조는 GCP 리소스 계층구조와 동일한 경로를 따릅니다. 리소스 계층구조를 변경하면 정책 계층구조도 변경됩니다. 예를 들어, 프로젝트를 조직으로 옮기면 프로젝트의 Cloud IAM 정책이 해당 조직의 Cloud IAM 정책을 상속하도록 업데이트됩니다.

하위 정책은 상위 수준에서 허용된 액세스 권한을 제한할 수 없습니다. 예를 들어, 한 사용자에게 프로젝트에 대한 편집자 역할을 부여하고 동일한 사용자에게 하위 리소스에 대한 뷰어 역할을 부여하는 경우, 해당 사용자는 하위 리소스에서도 편집자 역할을 가집니다.

GCP 서비스에 대한 Cloud IAM 지원

Cloud IAM을 사용하면 API 요청을 하는 계정이 리소스를 사용할 수 있는 적합한 권한이 있는지 확인하기 위해 모든 GCP 서비스의 모든 API 메소드를 검토합니다.

Cloud IAM이 도입되기 전까지는 소유자, 편집자, 뷰어 역할만 부여할 수 있었습니다. 이 역할은 프로젝트에서 매우 광범위한 액세스를 제공하며 권한의 세부적인 분할을 허용하지 않습니다. 이제 GCP 서비스는 소유자, 편집자, 뷰어 역할보다 더욱 세분화된 액세스를 제공하는 사전 정의된 역할을 추가로 제공합니다. 예를 들어, Compute Engine은 인스턴스 관리자와 같은 역할을 제공하고 네트워크 관리자와 App Engine은 앱 관리자서비스 관리자와 같은 역할을 제공합니다. 이러한 사전 정의된 역할은 기존 소유자, 편집자, 뷰어 역할에 추가로 사용할 수 있습니다.

권한을 더욱 자유롭게 제어해야 하는 경우에는 커스텀 역할 생성을 고려해 보세요.

Cloud IAM의 사전 정의된 역할이 제공되는 제품은 다음과 같습니다.

사전 정의된 역할의 전체 목록은 역할 이해를 참조하세요.

프로젝트 수준보다 더욱 세밀하게 리소스에 액세스할 수 있는 특정 역할을 사용자에게 부여할 수 있습니다. 예를 들어, 사용자에게 특정 Cloud Pub/Sub 주제에 대한 구독자 역할을 부여하는 Cloud IAM 액세스 제어 정책을 생성할 수 있습니다. 어떤 리소스에 어떤 역할을 부여할 수 있는지에 관한 자세한 내용은 역할 이해를 참조하세요.

다음 단계

이 페이지가 도움이 되었나요? 평가를 부탁드립니다.

다음에 대한 의견 보내기...

Cloud ID 및 액세스 관리 문서