IAM 최소 권한 (Least Privilege) - 정답 및 해설

# ShopEasy-EC2-Role에 연결된 관리형 정책 목록 조회
aws iam list-attached-role-policies --role-name ShopEasy-EC2-Role

# 예상 출력:
# {
#     "AttachedPolicies": [
#         {
#             "PolicyName": "AmazonS3FullAccess",
#             "PolicyArn": "arn:aws:iam::aws:policy/AmazonS3FullAccess"
#         },
#         {
#             "PolicyName": "AmazonDynamoDBFullAccess",
#             "PolicyArn": "arn:aws:iam::aws:policy/AmazonDynamoDBFullAccess"
#         }
#     ]
# }

# 각 정책의 상세 내용 확인 (선택)
# S3FullAccess 정책 버전 확인
aws iam get-policy --policy-arn arn:aws:iam::aws:policy/AmazonS3FullAccess

# S3FullAccess 정책 JSON 내용 확인
aws iam get-policy-version \
  --policy-arn arn:aws:iam::aws:policy/AmazonS3FullAccess \
  --version-id v1

# 계정 ID 확인
ACCOUNT_ID=$(aws sts get-caller-identity --query Account --output text)
echo "계정 ID: $ACCOUNT_ID"

# S3 커스텀 정책 JSON 파일 생성
cat > /tmp/shopeasy-s3-custom.json <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "S3BucketAccess",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject"
      ],
      "Resource": [
        "arn:aws:s3:::shopeasy-images-${ACCOUNT_ID}/*",
        "arn:aws:s3:::shopeasy-frontend-${ACCOUNT_ID}/*"
      ]
    },
    {
      "Sid": "S3ListBucket",
      "Effect": "Allow",
      "Action": "s3:ListBucket",
      "Resource": [
        "arn:aws:s3:::shopeasy-images-${ACCOUNT_ID}",
        "arn:aws:s3:::shopeasy-frontend-${ACCOUNT_ID}"
      ]
    }
  ]
}
EOF

# IAM 정책 생성
aws iam create-policy \
  --policy-name ShopEasy-S3-Custom \
  --policy-document file:///tmp/shopeasy-s3-custom.json \
  --description "ShopEasy S3 least privilege policy - images and frontend buckets only"

# 생성 확인
aws iam get-policy \
  --policy-arn arn:aws:iam::${ACCOUNT_ID}:policy/ShopEasy-S3-Custom

echo "S3 커스텀 정책 생성 완료!"

# 계정 ID 확인
ACCOUNT_ID=$(aws sts get-caller-identity --query Account --output text)

# DynamoDB 커스텀 정책 JSON 파일 생성
cat > /tmp/shopeasy-dynamodb-custom.json <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DynamoDBTableAccess",
      "Effect": "Allow",
      "Action": [
        "dynamodb:PutItem",
        "dynamodb:GetItem",
        "dynamodb:Query",
        "dynamodb:Scan",
        "dynamodb:DeleteItem",
        "dynamodb:UpdateItem"
      ],
      "Resource": "arn:aws:dynamodb:ap-northeast-2:*:table/Reviews"
    }
  ]
}
EOF

# IAM 정책 생성
aws iam create-policy \
  --policy-name ShopEasy-DynamoDB-Custom \
  --policy-document file:///tmp/shopeasy-dynamodb-custom.json \
  --description "ShopEasy DynamoDB least privilege policy - Reviews table only"

# 생성 확인
aws iam get-policy \
  --policy-arn arn:aws:iam::${ACCOUNT_ID}:policy/ShopEasy-DynamoDB-Custom

echo "DynamoDB 커스텀 정책 생성 완료!"

# 계정 ID 확인
ACCOUNT_ID=$(aws sts get-caller-identity --query Account --output text)

# === 4-1. 커스텀 정책 연결 (먼저!) ===
echo "=== 커스텀 정책 연결 ==="

# S3 커스텀 정책 연결
aws iam attach-role-policy \
  --role-name ShopEasy-EC2-Role \
  --policy-arn arn:aws:iam::${ACCOUNT_ID}:policy/ShopEasy-S3-Custom

# DynamoDB 커스텀 정책 연결
aws iam attach-role-policy \
  --role-name ShopEasy-EC2-Role \
  --policy-arn arn:aws:iam::${ACCOUNT_ID}:policy/ShopEasy-DynamoDB-Custom

echo "커스텀 정책 연결 완료!"

# === 4-2. FullAccess 정책 분리 ===
echo ""
echo "=== FullAccess 정책 분리 ==="

# S3FullAccess 분리
aws iam detach-role-policy \
  --role-name ShopEasy-EC2-Role \
  --policy-arn arn:aws:iam::aws:policy/AmazonS3FullAccess

# DynamoDBFullAccess 분리
aws iam detach-role-policy \
  --role-name ShopEasy-EC2-Role \
  --policy-arn arn:aws:iam::aws:policy/AmazonDynamoDBFullAccess

echo "FullAccess 정책 분리 완료!"

# === 4-3. 결과 확인 ===
echo ""
echo "=== 현재 연결된 정책 확인 ==="
aws iam list-attached-role-policies --role-name ShopEasy-EC2-Role

# 예상 출력:
# {
#     "AttachedPolicies": [
#         {
#             "PolicyName": "ShopEasy-S3-Custom",
#             "PolicyArn": "arn:aws:iam::ACCOUNT_ID:policy/ShopEasy-S3-Custom"
#         },
#         {
#             "PolicyName": "ShopEasy-DynamoDB-Custom",
#             "PolicyArn": "arn:aws:iam::ACCOUNT_ID:policy/ShopEasy-DynamoDB-Custom"
#         }
#     ]
# }

# EC2 퍼블릭 IP를 확인 (EC2 내부에서 실행하는 경우)
TOKEN=$(curl -s -X PUT "http://169.254.169.254/latest/api/token" \
  -H "X-aws-ec2-metadata-token-ttl-seconds: 21600")
EC2_IP=$(curl -s -H "X-aws-ec2-metadata-token: $TOKEN" \
  http://169.254.169.254/latest/meta-data/public-ipv4)

# === API 서버 테스트 ===

# 1. 상품 목록 조회 (RDS - IAM 정책과 무관하게 동작해야 함)
echo "=== 상품 목록 조회 테스트 ==="
curl -s http://${EC2_IP}:5000/api/products | head -c 200
echo ""

# 2. 리뷰 조회 (DynamoDB - ShopEasy-DynamoDB-Custom 정책 필요)
echo ""
echo "=== 리뷰 조회 테스트 ==="
curl -s http://${EC2_IP}:5000/api/reviews/1
echo ""

# 3. S3 파일 접근 테스트 (EC2 내부에서 실행)
echo ""
echo "=== S3 접근 테스트 ==="
ACCOUNT_ID=$(aws sts get-caller-identity --query Account --output text)

# 허용된 버킷 접근 (성공해야 함)
aws s3 ls s3://shopeasy-images-${ACCOUNT_ID}/ 2>&1 | head -5
echo "shopeasy-images 버킷 접근: 성공"

# 허용되지 않은 버킷 접근 (실패해야 함 - AccessDenied)
aws s3 ls s3://some-other-bucket/ 2>&1 | head -1
echo "다른 버킷 접근: 거부됨 (정상)"

echo ""
echo "=== 테스트 완료 ==="
echo "모든 ShopEasy 기능이 정상 동작하면 최소 권한 적용 성공!"