AWS 조직을 기업 구조/시스템에 도입하기 위한 【지침】 고려 사항

📅 작성일: 2025/05/05, 수정일: 2025/05/05 ⏱️ 예상 읽기 시간 약 12분 (4,904자)

AWS 환경을 구축할 때 다중 계정 구조를 사용하여 환경, 권한 및 AWS 사용 비용을 분리하는 것이 일반화되었습니다.
AWS 조직을 사용하면 AWS 계정을 중앙에서 관리할 수 있습니다.
이 문서에서는 AWS 조직에 대한 개요와 도입을 고려할 때 확인해야 할 사항을 제공합니다.

AWS Organizations란 무엇입니까?
채택 시 고려 사항
디자인 고려 사항
관련 문서

AWS Organizations란 무엇입니까?

AWS Organizations는 여러 AWS 계정을 중앙에서 관리 하기 위한 서비스입니다.
AWS 계정 전체에서 리소스 공유, 정책 관리 및 액세스 제어를 간소화합니다.

채택 시 고려 사항

① 귀하의 AWS 계정 모델(계약 유형)은 무엇입니까?

AWS Organizations를 이용하기 전 계정 모델(계약 유형)을 반드시 확인하고, 마스터 계정 기능을 사용할 수 있는지 확인하세요 .
주요 계정 모델은 ’직접 계약’과 ’리셀러 계약’입니다.
AWS와의 “직접 계약”을 통해 계정 소유자는 모든 리소스에 대한 완전한 제어권을 가지므로 모든 AWS Organizations 기능을 최대한 활용할 수 있습니다.
이에 비해 “리셀러 계약”의 경우 리셀러가 부분적인 통제권을 보유합니다.일부 AWS Organizations 기능은 제한될 수 있으므로 사용 가능한 기능을 확인해야 합니다.
관련 자료:
AWS 솔루션 공급자를 위한 AWS Control Tower 모범 사례 |AWS 파트너 네트워크(APN) 블로그

② AWS Control Tower를 사용할 것인가?

AWS Control Tower는 AWS Organizations를 사용하여 보안 및 규정 준수 거버넌스를 배포하는 AWS 관리형 서비스입니다.
AWS Control Tower를 사용하면 조직 전체의 보안 정책 및 계정 관리를 중앙 집중화하여 운영 효율성을 높일 수 있습니다.
단, 구현 전 비용과 기능을 반드시 고려하시기 바랍니다.
AWS Control Tower에 대한 자세한 내용은 이 블로그의 다음 문서를 참조하세요.

AWS 컨트롤 타워를 기업 구조/시스템에 도입하기 위한 【설계 지침】 고려 사항

조직의 AWS 환경에 대한 보안 조치의 일환으로 시스템 개발 및 운영에 대한 표준 관행을 정의하는 "지침" 을 수립하는 것이 일반화되었습니다. 한 가지 방법은 AWS 모범 사례에 ... [더 보기]

관련 자료:
AWS Control Tower 작동 방식 - AWS Control Tower

③ 테스트용으로 사용하는 경우 AWS Support Plan에 가입하시겠습니까?

AWS 지원 계획은 AWS 전문가의 기술 지원을 제공합니다.
비즈니스 및 개발자 지원 계획은 계정별로 청구됩니다.지원은 지원 플랜에 등록된 계정에 대해서만 제공되므로 테스트를 위해 여러 AWS 계정을 사용하는 경우 각 계정에 대한 지원 플랜을 구독해야 할 수도 있습니다.
테스트를 위해 하나의 AWS 계정에 대해서만 개발자 지원 계획을 구독하는 경우 지속적인 비용을 줄이기 위해 AWS Organizations를 즉시 사용하지 않는 것이 좋습니다.
관련 자료:
AWS 지원 계획

디자인 고려 사항

1. 이해관계자 구성

조직 구조를 설계할 때 조직 내 이해관계자의 역할을 명확히 하는 것이 중요합니다 .
각 이해관계자의 역할은 아래 표를 참조하고, 이 페이지의 “3. AWS 계정 액세스 정책 고려 사항” 및 기타 섹션에서 이 역할 구성을 사용하십시오.
표준화 지침 수립을 위한 모범 사례 |Amazon Web Services 블로그 .
참고: 위에 링크된 관련 리소스는 일본어로 작성되었습니다.
일부 조직에서는 CCoE, 공통 플랫폼 관리자, 보안, 회계/재무의 네 가지 역할을 동일한 부서나 사람이 처리할 수도 있습니다.

아니요	이해관계자	역할	작업
01	CCoE	클라우드 활용 촉진 및 운영	지침 개발
02	공통 플랫폼 관리자	시스템 간 공통 플랫폼/기능 제공	공통 플랫폼 구축 및 운영
03	보안	클라우드 환경의 보안을 유지합니다.	보안정책 정의, 보안기능 구축/운영, 보안감시
04	시스템 관리자	클라우드에서 실행되는 시스템 구축/운영	AWS 리소스 및 시스템 구축/운영
05	운영	클라우드 환경에서 운영을 관리합니다.	시스템 모니터링 및 운영
06	회계/재무	AWS 사용 비용 할당 및 최적화	비용 할당, 구매 옵션 고려, 비용 모니터링, AWS 수수료 지불

② AWS 계정 구조를 고려

’공통계정’과 ’개인계정’을 어떻게 구분할지 생각해 보세요.

일반 계정

“일반 계정”이 사용하는 기능(AWS 서비스)은 다음과 같습니다.
AWS 서비스명만 나열되나, SaaS, AD, WSUS 등도 공통 기능으로 제공될 수 있습니다.

아니요	범주	일반 AWS 계정 이름	대표적인 AWS 서비스
01	ID 및 액세스 관리	바스티온, ID 관리	AWS IAM, AWS IAM 자격 증명 센터
02	탐정 통제	감사, 보안 모니터링	AWS SecurityHub, AWS Cloudrail, AWS Config, Amazon GuardDuty, Amazon EventBridge
03	네트워크 인프라 보호	공통 네트워크, 외부 연결	AWS Transit Gateway, AWS Direct Connect, AWS 네트워크 방화벽
04	데이터 보호	로그 관리	아마존 S3
05	모니터링	시스템 모니터링	Amazon CloudWatch, Amazon EventBridge, Amazon SNS, AWS 사용자 알림
06	인프라 프로비저닝(CI/CD)	CI/CD	AWS CodeCommit, AWS CodePipeline, AWS CodeBuild, AWS CodeDeploy
07	운영 관리	운영 관리	AWS 시스템 관리자
08	비용 관리	관리 계정 *1	AWS 예산, AWS Cost Explorer, AWS 비용 이상 탐지

*1: 2023년 7월 11일부터 개인 계정의 비용 관리 정보는 마스터 계정에서만 볼 수 있습니다.

AWS Control Tower에서 “Identity and Access Management(Bastion)”는 마스터 계정, “Detective Controls(보안 모니터링)”은 감사 계정, “Data Protection(Log Management)”은 로그 아카이브 계정입니다.
참조: AWS Control Tower의 AWS 계정 정보 - AWS Control Tower
다른 카테고리를 공통 기능으로 제공하는 경우 전용 공통 계정 생성을 고려하세요.
먼저 어떤 공통 기능을 채택할지 고려한 후, “3AWS 계정 액세스 정책 고려 사항”에서 해당 기능에 액세스할 사용자를 구성하고 계정 분할을 고려합니다.

개인 계정

다음과 같은 관점에서 ’개인 계정’을 구분하는 것을 고려해보세요.
“시스템 청구 대상”, “AWS 리소스 할당량” 등 아래에 나열되지 않은 추가 관점도 고려할 수 있지만, AWS 계정을 너무 많이 분할하면 관리가 복잡해지기 때문에 권장하지 않습니다.

시스템: 시스템별로 나누어 각 시스템에 대한 리소스를 분리합니다.
환경 : 프로덕션, 테스트, 개발 등 환경별로 구분합니다.프로덕션 환경과 비프로덕션 환경을 분리하면 프로덕션 보안이 강화됩니다.
제어: 대규모 시스템의 경우 관리상의 이유로 더 분할할 수 있습니다.

③ OU 구조를 고려한다

AWS Organizations에서는 AWS 계정을 OU라는 계층 구조로 관리할 수 있습니다.
OU 디자인은 조직에 최적화되어야 하지만 기본 OU 구조부터 시작하여 필요에 따라 맞춤화하세요.
다음 문서에서는 OU 설계에 대한 모범 사례를 설명합니다.
참조: AWS Organizations의 조직 단위 모범 사례 |AWS 클라우드 운영 블로그
이 기사에서는 다음과 같은 기본 OU 구조를 소개합니다.
AWS Control Tower에서는 기본적으로 Security OU만 생성되지만 필요에 따라 다른 OU도 생성하는 것을 고려해 보십시오.

OU 이름	세분화에 대한 고려 사항	필수/선택	목적
보안	프로덕션 또는 비프로덕션	필수의	보안과 관련된 AWS 계정을 저장합니다.
하부 구조	프로덕션 또는 비프로덕션	선택 과목	공유 인프라 AWS 계정을 저장합니다.
모래 상자	-	선택 과목	PoC 또는 AWS 학습을 위해 AWS 계정을 저장합니다.
워크로드	프로덕션/비프로덕션, 시스템 이름	필수의	소프트웨어 수명 주기를 제공하는 AWS 계정을 저장합니다.

필요에 따라 다음 OU 생성을 고려하십시오.

OU 이름	필수/선택	목적
정책 준비	선택 과목	SCP 및 가드레일 테스트를 위해 AWS 계정을 저장합니다.
정지된	선택 과목	정지된 AWS 계정을 저장합니다.
개인 비즈니스 사용자	선택 과목	비즈니스 사용자를 위한 AWS 계정을 저장합니다.
예외	선택 과목	예외적인 보안 정책이 할당된 AWS 계정을 저장합니다.
배포	선택 과목	CI/CD용 AWS 계정 저장

④ 각 행위자가 어떤 AWS 계정에 액세스하는지 정리

이 단계에서는 어떤 사람이 어떤 AWS 계정에 액세스하는지 정리합니다.
다음 표는 어떤 행위자가 어떤 AWS 계정에 액세스하는지 정리한 예입니다.
이것은 단지 예일 뿐입니다.조직에 따라 정리하세요.

배우	1.ID 관리	2.감사	3.공통 네트워크	4.로그 관리	5.시스템 모니터링	6.CI/CD	7.운영 관리	8.경영	a. 생산 시스템	b.비생산 시스템
CCoE	RW	RW	RW	아르 자형	RW	RW	RW	RW	RW	RW
공통 플랫폼 관리자	RW	아르 자형	RW	아르 자형	RW	RW	RW	아르 자형	아르 자형	아르 자형
보안	-	아르 자형	RW	아르 자형	-	-	-	-	RW	RW
시스템 관리자	-	-	-	-	RW	RW	RW	-	RW	RW
운영	-	-	-	-	RW	RW	RW	-	RW	RW
회계/재무	-	-	-	-	-	-	-	-	아르 자형	아르 자형

‘1.ID Mgmt’ ~ ‘8.Management’ 공통 계정에 접근하는 행위자가 동일한 경우, AWS 계정 통합을 고려해보세요.
예를 들어 위 표에서 “5.System Monitoring”, “6.CI/CD”, “7.Operations Mgmt”는 동일한 행위자가 액세스하므로 하나의 AWS 계정으로 통합하는 것이 좋습니다.

⑤ 업무항목 정리

아래의 3가지 운영 항목을 정리하였습니다.

AWS 계정 생성/삭제

AWS 계정을 생성/삭제할 주체와 생성 워크플로를 고려하세요.
계정 생성 시 제공되는 AWS 리소스의 경우 선택 사항인 경우 신청서에서 선택을 허용합니다.

서비스 제어 정책 생성/수정/삭제

개별 계정에 적용되는 서비스 제어 정책을 누가 생성/수정/삭제할지와 이를 위한 워크플로우를 고려하세요.

루트 사용자 사용/업데이트

필요한 경우 루트 사용자를 사용하는 워크플로우를 고려하십시오.
AWS 계정 루트 사용자 - AWS Identity and Access Management
개인 계정의 루트 사용자가 로그인할 수 없는 경우가 있었고, 마스터 계정을 통해 AWS Support에 연락했지만, AWS Support에서는 IAM 사용자가 아닌 마스터 계정의 루트 사용자에게 연락을 요청했습니다.
불규칙한 경우이지만 필요할 경우 루트 사용자를 사용할 수 있는지 확인하십시오.