AWS 사용자별 자원생성 가능 Region을 제한하는 Policy 구축하기

AWS 회사 계정을 운영하다보면 사용자별 권한을 제한시킬 필요를 느낀다. 특히 실수로 권한이 없는 리전에 리소스를 생성하거나 하는 등의 골치아픈 이슈들이 생기기 때문이다. 이를 방지하기 위해 애초에 Negative Policy를 사용자 별로 만들어서 할당하는 것이 현명하다. 

 

리전을 제한하는 Policy는 다음과 같다.

참고로, 과거에 글로벌 리소스로 치부했던 S3는 더이상 글로벌 리소스가 아닌가 보다. 희한하게 리전을 타더라...

{
	"Version": "2012-10-17",
	"Statement": [
    	{
        	"Sid": "DenyAllOutsideRequestedRegions",
            "Effect": "Deny",
    		"NotAction": [
    			"cloudfront:*",
        		"iam:*",
        		"route53:*",
        		"support:*"
			],
    		"Resource": "*",
    		"Condition": {
    			"StringNotEquals": {
        			"aws:RequestedRegion": [
            			"ap-northeast-2"
					]
				}
			}
		}
	]
}