IAM 정책과 ACL을 효과적으로 관리하려면 능동적인 관리가 필요합니다.
다른 사용자가 버킷이나 객체에 액세스할 수 있게 하기 전에 먼저 버킷이나 객체를 공유할 대상을 확인하고 해당하는 각 사용자에게 어떤 역할을 부여할지 결정해야 합니다. 시간이 경과하면 프로젝트 관리, 사용 패턴, 조직 소유권이 변경되면 버킷과 프로젝트에 대한 IAM 또는 ACL 설정을 수정해야 할 수 있습니다. 특히 대규모 조직이나 대규모 사용자 그룹에서 Cloud Storage를 관리하는 경우라면 더욱 그렇습니다. 액세스 제어 설정을 평가하고 계획할 때 다음과 같은 권장사항을 염두에 두어야 합니다.
버킷이나 객체에 대한 액세스 권한을 부여할 때 최소 권한의 원칙을 사용합니다.
최소 권한의 원칙은 리소스에 대한 액세스 권한을 부여하기 위한 보안 가이드라인입니다. 최소 권한의 원칙에 따라 액세스 권한을 부여하면 사용자가 할당된 태스크를 수행하는 데 필요한 최소 권한이 부여됩니다. 예를 들어 다른 사용자와 파일을 공유하려면 storage.admin IAM 역할이나 OWNER ACL 권한이 아닌 storage.objectViewer IAM 역할이나 READER ACL 권한을 부여해야 합니다.
setIamPolicy 권한을 사용하여 IAM 역할을 부여하거나 ACL OWNER 권한을 모르는 사람에게 부여하지 마세요.
setIamPolicy IAM 권한이나 OWNER ACL 권한을 부여하면 사용자가 권한을 변경하고 데이터를 제어할 수 있습니다. 객체와 버킷에 대한 관리 제어 권한을 위임하려는 경우에만 이러한 권한이 있는 역할을 사용해야 합니다.
익명 사용자에게 권한 부여 시 주의하세요.
allUsers 및 allAuthenticatedUsers 주 구성원 유형은 인터넷 상의 모든 사용자가 데이터를 읽고 분석할 수 있도록 허용되는 경우에만 사용해야 합니다. 이러한 범위는 일부 애플리케이션과 상황에 유용하며 일반적으로 모든 사용자에게 IAM 권한 setIamPolicy, update, create 또는 delete 또는 ACL OWNER 권한과 같은 특정 권한을 부여하지 않는 것이 좋습니다.
버킷의 관리 권한을 위임하세요.
관리 액세스 권한이 있는 개별 사용자가 그룹에서 탈퇴할 경우 다른 팀 구성원이 리소스를 계속 관리할 수 있는지 확인해야 합니다.
리소스에 액세스하지 못하게 하려면 다음 중 하나를 수행하면 됩니다.
프로젝트의 스토리지 관리자 IAM 역할을 개인이 아닌 그룹에 부여합니다.
프로젝트의 스토리지 관리자 IAM 역할을 최소 2명 이상의 개인에게 부여합니다.
버킷에 대한 OWNER ACL 권한을 최소 2명 이상의 개인에게 부여합니다.
Cloud Storage의 상호 운용 가능한 동작을 파악합니다.
Amazon S3 등의 다른 스토리지 서비스와 상호 운용 가능한 액세스를 위해 XML API를 사용할 때 서명 식별자가 ACL 구문을 결정합니다. 예를 들어, 사용 중인 도구나 라이브러리가 Cloud Storage에 ACL을 검색하도록 요청하는 경우 요청에서 다른 스토리지 제공업체의 서명 식별자를 사용하면 Cloud Storage가 해당 스토리지 제공업체의 ACL 구문을 사용하는 XML 문서를 반환합니다. 사용 중인 도구나 라이브러리가 Cloud Storage에 ACL을 적용하도록 요청하고 다른 저장소 제공업체의 서명 식별자가 요청에 사용되는 경우 Cloud Storage는 해당 저장소 제공업체의 ACL 구문을 사용하는 XML 문서를 수신할 것으로 기대합니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-05(UTC)"],[],[],null,["# Access control best practices\n\nThis page describes best practices for using\n[Identity and Access Management (IAM)](/storage/docs/access-control/iam)\nand [Access Control Lists (ACLs)](/storage/docs/access-control/lists) to manage access to your data.\n\nIAM policies and ACLs require active management to be effective.\nBefore you make a bucket or object accessible to other users, be sure you know\nwho you want to share the bucket or object with and what roles you want each of\nthose people to have. Over time, changes in project management, usage patterns,\nand organizational ownership may require you to modify IAM or ACL\nsettings on buckets and projects, especially if you manage\nCloud Storage in a large organization or for a large group of users. As\nyou evaluate and plan your access control settings, keep the following best\npractices in mind:\n\n- **Use the principle of least privilege when granting access to your buckets or\n objects.**\n\n The [*principle of least privilege*](https://en.wikipedia.org/wiki/Principle_of_least_privilege) is a security\n guideline for granting access to your resources. When you grant access based\n on the principle of least privilege, you grant the minimum permission\n that's necessary for a user to accomplish their assigned task. For example,\n if you want to share files with someone, you should grant them the\n `storage.objectViewer` IAM role or the `READER` ACLs\n permission, and not the `storage.admin` IAM role or the\n `OWNER` ACLs permission.\n- **Avoid granting IAM roles with `setIamPolicy` permission or\n granting the ACL `OWNER` permission to people you do not know.**\n\n Granting the `setIamPolicy` IAM permission or the\n `OWNER` ACLs permission allows a user to change permissions and take control\n of data. You should use roles with these permissions only when you want to\n delegate administrative control over objects and buckets.\n- **Be careful how you grant permissions for anonymous users.**\n\n The `allUsers` and `allAuthenticatedUsers` principal types should only be\n used when it is acceptable for anyone on the Internet to read and analyze\n your data. While these scopes are useful for some applications and\n scenarios, it is usually not a good idea to grant all users certain\n permissions, such as the IAM permissions `setIamPolicy`,\n `update`, `create`, or `delete`, or the ACLs `OWNER` permission.\n- **Be sure you delegate administrative control of your buckets.**\n\n You should be sure that your resources can still be managed by\n other team members should an individual with administrative access leave the\n group.\n\n To prevent resources from becoming inaccessible, you can do any of the\n following:\n - Grant the **Storage Admin** IAM role for your project to a\n group instead of an individual\n\n - Grant the **Storage Admin** IAM role for your project to\n at least two individuals\n\n - Grant the `OWNER` ACLs permission for your bucket to at least two\n individuals\n\n- **Be aware of Cloud Storage's interoperable behavior.**\n\n When using the XML API for interoperable access with other storage services,\n such as Amazon S3, the signature identifier determines the ACL syntax. For\n example, if the tool or library you are using makes a request to\n Cloud Storage to retrieve ACLs and the request uses another storage\n provider's signature identifier, then Cloud Storage returns an XML\n document that uses the corresponding storage provider's ACL syntax. If the\n tool or library you are using makes a request to Cloud Storage to\n apply ACLs and the request uses another storage provider's signature\n identifier, then Cloud Storage expects to receive an XML document\n that uses the corresponding storage provider's ACL syntax.\n\n For more information about using the XML API for interoperability with\n Amazon S3, see [Simple migration from Amazon S3 to Cloud Storage](/storage/docs/aws-simple-migration).\n\nWhat's next\n-----------\n\n- [Learn how to use IAM policies with Cloud Storage](/storage/docs/access-control/using-iam-permissions).\n- [Learn how to use ACLs with Cloud Storage](/storage/docs/access-control/create-manage-lists).\n- [Review the IAM reference table for Cloud Storage](/storage/docs/access-control/iam-reference)."]]
