3.2. 왜 리소스 기반 정책은 Deny로 해야되나요? 부분이 잘 이해되지 않습니다.

친절한 답변 감사합니다!

안녕하세요. 좋은 질문 감사드립니다.

계정이 같은 경우, 특별한 예외 케이스(KMS, IAM 신뢰정책 등)을 제외하고는 자격 증명 기반 정책 또는 리소스 기반 정책에서만 허용이 되면 접근할 수 있다는 설명이었습니다.

그림을 보면서 다시 한 번 설명드리겠습니다.

왼쪽 케이스의 경우,

1. A계정의 A 사용자에게 권한(자격증명기반정책)이 부여되어 있고, B계정의 Bucket에 권한(리소스기반정책)이 부여되어 있어야만 접근이 가능합니다.

2. 결국 교차 계정 접근의 경우, 사용자/리소스 모두에 권한이 존재해야 접근이 가능합니다.

오른쪽 케이스의 경우,

1. A계정 내 A 사용자에게 권한이 있거나, Bucket에 권한이 부여되어 있으면 접근이 가능해집니다.(둘 중 하나만 Allow 정책이 존재하면 접근 가능)

2. 그렇기에, 조금 더 안전하게 정책을 수립하려면 Deny 기반으로 정책을 수립하면 좋다라는 설명을 드렸습니다.

C/D 사용자를 말씀드린건, 같은 계정에서 접근하는 경우,

1. Bucket에 C/D 사용자만 Allow하는 정책을 넣었더라도,

2. A 사용자에게 Bucket에 대한 Allow 권한이 있으면 접근이 가능하다는 뜻이었습니다.