IAM Policy Version

https://docs.aws.amazon.com/ko_kr/IAM/latest/UserGuide/access_policies_managed-versioning.html

IAM 고객 관리형 정책을 생성한 뒤 변경하면 기존의 정책을 덮어쓰지 않고 새로운 버전을 생성합니다. 이 기능은 깃허브에서 커밋을 하더라도 기존의 히스토리 내역을 조회하거나 되돌릴 수 있는 것과 유사합니다.

버전은 최대 5개까지 관리할 수 있으며, 이를 초과할 경우 가장 오래된 버전이 자동으로 삭제됩니다.

Abuse

환경 구성 : IAM Policy Version

# 현재 IAM 사용자가 적용받는 IAM Policy 열거
aws iam list-attached-user-policies --user-name '<username>'

# IAM Policy의 ARN을 특정하여 버전 열거
aws iam list-policy-versions --policy-arn '<iam-policy-arn>'

# ARN 하위 특정 버전의 속성 확인
aws iam get-policy-version --policy-arn '<iam-policy-arn>' --version-id '<version>'

# 특정 버전을 기본 IAM Policy로 사용
aws iam set-default-policy-version --policy-arn '<iam-policy-arn>' --version-id '<version>'

해당 시나리오는 다음과 같은 권한이 요구됩니다.

1. iam:ListAttachedUserPolicies

2. iam:ListPolicyVersions

3. iam:GetPolicyVersion

4. iam:SetDefaultPolicyVersion

References

IAM 정책 버전 관리 - AWS Identity and Access ManagementAWS Identity and Access Management