본문으로 건너뛰기
aws검색
기초

IAM Identity Center (권한 세트, 외부 IdP, CLI 로그인)

여러 AWS 계정에 사람이 로그인하는 표준 방법인 IAM Identity Center 의 구조(조직 인스턴스, 아이덴티티 소스, 권한 세트, 계정 할당), Entra ID 나 Okta 연동과 SCIM, aws sso login, 2026 년의 다중 리전 복제까지 정리합니다.

IAM Identity CenterSSO권한 세트SCIMaws sso login2026-10 기준, 약 7분상태 표시 설명

왜 Identity Center 인가

계정이 하나일 때는 IAM 사용자로도 버틸 수 있지만, 개발, 스테이징, 운영, 로그, 보안 계정으로 나뉘는 순간 사람마다 계정마다 IAM 사용자를 만드는 방식은 무너집니다. IAM Identity Center(예전 이름 AWS SSO)는 한 번 로그인해서 여러 계정의 역할로 들어가는 표준 방법입니다. 사용자는 액세스 포털에서 계정과 역할을 고르고, 콘솔이나 CLI 에 임시 자격 증명으로 들어갑니다. 장기 액세스 키가 남지 않는 것이 가장 큰 장점입니다.

구성 요소

요소뜻
조직 인스턴스Organizations 관리 계정(또는 위임 관리자 계정)에서 켠 Identity Center. 모든 멤버 계정 접근을 관리
계정 인스턴스한 계정 안에서만 쓰는 인스턴스. 일부 AWS 관리형 애플리케이션용이고 다중 계정 접근은 못 함
아이덴티티 소스사용자와 그룹의 원천. Identity Center 디렉터리, Active Directory, 외부 IdP(SAML 2.0) 중 하나
권한 세트계정에 만들어질 역할의 틀. 관리형 정책, 인라인 정책, 권한 경계, 세션 시간을 담음
계정 할당(사용자 또는 그룹, 권한 세트, 계정) 세 가지 묶음. 할당하면 그 계정에 AWSReservedSSO_... 역할이 생김
위임 관리자관리 계정 대신 Identity Center 를 운영하는 멤버 계정

주의 권한 세트가 만든 AWSReservedSSO_ 역할을 IAM 콘솔에서 직접 고치면 다음 동기화 때 덮어써집니다. 바꿀 것은 항상 권한 세트에서 바꿉니다.

외부 IdP 연동

회사에 이미 Microsoft Entra ID, Okta, Google Workspace 같은 IdP 가 있다면 아이덴티티 소스를 외부 IdP 로 둡니다.

  1. Identity Center 설정에서 아이덴티티 소스를 외부 IdP 로 바꾸고, Identity Center 의 SAML 메타데이터(ACS URL, 발급자)를 IdP 에 등록합니다.
  2. IdP 의 SAML 메타데이터를 Identity Center 에 올립니다.
  3. 자동 프로비저닝(SCIM) 을 켜고 SCIM 엔드포인트와 액세스 토큰을 IdP 에 넣습니다. 그래야 IdP 의 사용자와 그룹이 Identity Center 로 자동 동기화됩니다.
  4. IdP 그룹 단위로 계정 할당을 만듭니다. 사람을 직접 할당하지 않고 그룹으로 관리하면 입사, 퇴사, 부서 이동이 IdP 한 곳에서 끝납니다.

팁 SCIM 액세스 토큰은 만료일이 있습니다(발급 후 1 년). 토큰이 만료되면 동기화가 조용히 멈추고 신규 입사자가 로그인을 못 합니다. 만료 전에 알림을 걸어 둡니다.

권한 세트 설계

권한 세트는 직무 단위로 적게 만드는 것이 관리하기 좋습니다.

권한 세트정책 예할당 대상
AdministratorAccessAWS 관리형 AdministratorAccess플랫폼 팀, 운영 계정은 비상용 그룹만
PowerUserPowerUserAccess + IAM 일부 읽기개발 계정의 개발자
ReadOnlyReadOnlyAccess 또는 ViewOnlyAccess대부분 계정의 대부분 사람
BillingBilling 관리형 정책재무 담당
SecurityAuditSecurityAudit보안 팀

권한 세트에 권한 경계나 고객 관리형 정책 참조를 넣으면 계정마다 같은 이름의 정책을 미리 만들어 두고 그 계정 맞춤 권한을 줄 수 있습니다. 세션 시간은 권한 세트마다 1 시간부터 12 시간까지 정할 수 있습니다. 운영 계정 Admin 은 짧게, ReadOnly 는 길게 두는 식입니다.

CLI 와 SDK 로그인

# ~/.aws/config
[sso-session corp]
sso_start_url = https://my-corp.awsapps.com/start
sso_region = ap-northeast-2
sso_registration_scopes = sso:account:access

[profile prod-readonly]
sso_session = corp
sso_account_id = 111122223333
sso_role_name = ReadOnly
region = ap-northeast-2
aws sso login --sso-session corp
aws sts get-caller-identity --profile prod-readonly

sso-session 방식은 토큰을 자동으로 새로 고쳐서 하루에 몇 번씩 다시 로그인하지 않아도 됩니다. 2025-11 에는 콘솔 자격 증명으로 CLI 에 바로 들어가는 aws login 명령도 나왔으니, IAM 사용자 액세스 키를 CLI 에 넣어 쓰던 습관은 이제 정리할 때입니다.

다중 리전 복제 (2026)

Identity Center 는 한 리전(주 리전)에 만들어집니다. 그 리전에 장애가 나면 로그인이 막힐 수 있다는 것이 오래된 걱정이었습니다. 2026-02 부터 다중 리전 복제가 GA 로 나와서, 조직 인스턴스의 사용자, 권한 세트 같은 데이터를 다른 리전에 복제하고 각 리전에 액세스 포털을 둘 수 있습니다.

  • 처음에는 외부 IdP 를 쓰는 조직 인스턴스만 지원했고, 2026-07-29 부터 Identity Center 디렉터리를 쓰는 인스턴스도 지원합니다.
  • 고객 관리형 KMS 키가 필요하고, 다중 리전 키를 권장합니다. 추가 비용은 없고 KMS 요금만 듭니다.
  • 주 리전이 관리의 중심이고, 추가 리전 콘솔은 대부분 읽기 전용입니다.
  • 기본으로 켜진 상용 리전 17 곳에서 쓸 수 있습니다. 서울을 주 리전으로 두고 도쿄를 추가 리전으로 두는 구성이 국내에서 자연스럽습니다. 지원 리전 목록은 다중 리전 문서에서 확인합니다.

외부 IdP 를 쓴다면 추가 리전의 ACS URL 도 IdP 에 등록해야 장애 때 그 리전 포털로 로그인할 수 있습니다.

비상 접근 (break glass)

Identity Center 나 IdP 가 모두 안 될 때를 대비해 비상용 IAM 사용자나 역할을 관리 계정과 핵심 계정에 남겨 둡니다. 하드웨어 MFA 를 걸고, 자격 증명은 봉인해 두며, 사용하면 CloudTrail 이벤트로 즉시 경보가 울리게 합니다.

자주 하는 실수

  • 관리 계정에서 일상 업무: 관리 계정에는 SCP 가 적용되지 않습니다. Identity Center 운영은 위임 관리자 계정으로 옮기고 관리 계정 접근은 최소화합니다.
  • 사람마다 직접 할당: 할당이 수천 개로 불어납니다. 그룹 할당으로 바꿉니다.
  • SCIM 없이 SAML 만 연결: 로그인은 되지만 그룹이 동기화되지 않아 할당이 비어 있습니다.
  • 권한 세트를 고쳤는데 반영이 안 됨: 권한 세트를 바꾼 뒤 할당된 계정에 다시 프로비저닝해야 반영됩니다.
  • AccessDenied 의 원인이 SCP 인데 권한 세트만 봄: 분석 순서는 AccessDenied 트러블슈팅을 봅니다.

이 문서에서