🧱 전체 구조 먼저 보기

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Example",
      "Effect": "Allow",
      "Principal": { },
      "Action": [ ],
      "Resource": "*"
    }
  ]
}

👉 핵심은 Statement 안 5개 요소 🧩 1. Statement (전체 묶음) 👉 “하나의 권한 규칙” • 여러 개 만들 수 있음

• Principal마다 하나씩 만드는 게 정석

💡 예시 👉 “EC2가 KMS 사용 가능” = Statement 1개 👉 “Secrets Manager도 가능” = Statement 1개 🏷️ 2. Sid (Statement ID) 👉 그 규칙 이름 (식별용) • 그냥 이름이라 기능 없음

• 채점에는 영향 거의 없음

💡 예시

"Sid": "AllowEC2"

👉 의미: • EC2 관련 규칙이구나

⚖️ 3. Effect 👉 허용인지 / 거부인지 • "Allow" → 허용 ✅

• "Deny" → 거부 ❌

💡 예시

"Effect": "Allow"

👉 의미: • 이 조건을 허용

⚠️ 대회에서는 거의 100% Allow만 씀 👤 4. Principal (핵심🔥) 👉 누가 사용할 수 있는지 💡 예시 1 (EC2 Role)

"Principal": {
  "AWS": "arn:aws:iam::123456789012:role/EC2Role"
}

👉 EC2 서버가 사용 💡 예시 2 (서비스)

"Principal": {
  "Service": "secretsmanager.amazonaws.com"
}

👉 Secrets Manager 사용 🎯 5. Action 👉 무슨 행동을 할 수 있는지 💡 KMS에서 자주 쓰는 3개

"Action": [
  "kms:Encrypt",
  "kms:Decrypt",
  "kms:GenerateDataKey"
]

👉 의미: • Encrypt → 암호화

• Decrypt → 복호화

• GenerateDataKey → 데이터 키 생성

⚠️ 실수 포인트 • Decrypt 빠지면 → 복호화 실패

• GenerateDataKey 빠지면 → Secrets Manager 오류

📦 6. Resource 👉 어떤 리소스에 적용할지 💡 예시

"Resource": "*"

👉 의미: • 이 KMS 키 전체

👉 KMS에서는 대부분 * 사용 (시험 기준) 🔥 전체 예시 (완벽 이해용) 👉 상황: • EC2가 Secrets Manager에서 DB 비밀번호 읽음

{
  "Sid": "AllowEC2ToUseKMS",
  "Effect": "Allow",

  "Principal": {
    "AWS": "arn:aws:iam::123456789012:role/EC2Role"
  },

  "Action": [
    "kms:Decrypt",
    "kms:Encrypt",
    "kms:GenerateDataKey"
  ],

  "Resource": "*"
}

🔍 해석 👉 Sid: EC2용 규칙

👉 Effect: 허용

👉 Principal: EC2Role

👉 Action: 암복호화 가능

👉 Resource: 이 KMS 키 🧠 진짜 중요한 해석 공식 👉 정책 읽는 법:

Principal가 Action을 Resource에 대해 Effect 한다 💡 적용해보면 👉 “EC2Role이 KMS 키를 암복호화하도록 허용” 🔥 시험용 핵심 요약항목의미Statement규칙 하나Sid이름EffectAllow / DenyPrincipal누가Action무엇을Resource어디에 💥 마지막 한 방 정리 👉 “누가(Principal)가 무엇(Action)을 어디(Resource)에 대해 허용(Effect)되는지 정의하는 것” 원하면 다음 단계로

👉 “이 과제에서 KMS + Secrets Manager + RDS 흐름”

👉 “실제 점수 따는 아키텍처” 이거 이어서 딱 시험용으로 만들어줄게 👍

• • 여러 개 만들 수 있음
• • Principal마다 하나씩 만드는 게 정석
• • 그냥 이름이라 기능 없음