# AWS IAM 대시보드와 계정 비밀번호 정책 읽고 보안 상태 점검하기

> IAM 대시보드의 보안 권장 사항, 계정 설정의 비밀번호 정책, 보안 인증 보고서 화면을 차례로 열어 현재 계정의 기본값을 읽습니다. 사용자 지정 비밀번호 요건 항목을 저장하지 않고 살펴보는 방법도 정리합니다.

- 주소: https://copyandrun.com/blog/aws-iam-password-policy-security-status-read/
- 분야: 클라우드
- 발행일: 2026-10-18
- 태그: AWS, IAM, 비밀번호 정책, MFA, 보안 인증 보고서

새 AWS 계정을 넘겨받거나 점검할 때 가장 먼저 열어 볼 곳이 IAM 대시보드와 계정 설정입니다. 이 글은 조회만 하는 실습입니다. 아무것도 만들거나 저장하지 않고, 화면에서 읽을 수 있는 것과 읽을 수 없는 것을 구분합니다.

## 준비물

| 항목 | 내용 |
| --- | --- |
| AWS 계정 | 실습용 IAM 사용자. IAM 대시보드와 계정 설정을 볼 수 있는 권한 필요. IAM은 리전과 무관한 전역 서비스입니다 |
| 예상 소요 시간 | 약 15분 |
| 변경 사항 | 없음. 비밀번호 정책 편집 화면은 열기만 하고 저장하지 않습니다 |

화면의 계정 ID, 계정 별칭, 로그인 URL, 사용자 이름은 가렸습니다.

## 1. IAM 대시보드의 보안 권장 사항 읽기

콘솔 위쪽 검색창에서 `IAM`을 찾아 연 뒤 왼쪽 메뉴의 `대시보드`(Dashboard)를 엽니다. 화면의 `암호 정책`은 이 글에서 같은 뜻으로 비밀번호 정책이라고 부릅니다.

![IAM 대시보드의 보안 권장 사항 칸에 루트 사용자에게 MFA 있음, 직접 MFA 추가 경고, 1년 이상 사용하지 않은 활성 액세스 키가 없다는 항목이 보이고 아래 IAM 리소스 칸에 사용자 그룹 0, 사용자 17, 역할 40, 정책 1, ID 공급업체 1이 표시된 것을 확인합니다.](https://copyandrun.com/img/aws-iam-password-policy-security-status-read/01-dashboard.png)

보안 권장 사항에는 세 가지가 보였습니다. 제목 옆의 빨간 숫자 1은 경고 항목 수로 보이며 노란 경고 하나와 일치합니다(추정).

- 루트 사용자에게 MFA가 있음(초록 확인 표시)
- 직접 MFA 추가(노란 경고 표시와 `MFA 추가` 단추). 지금 로그인한 IAM 사용자에게 MFA가 없다는 뜻으로 읽었습니다.
- 현재 사용자에게 1년 이상 사용하지 않은 활성 액세스 키가 없음

이 칸은 지금 로그인한 사용자 기준 항목이 섞여 있으니, 계정 전체의 MFA 현황으로 읽으면 안 됩니다. 계정의 모든 사용자가 MFA를 쓰는지는 이 칸이 아니라 IAM 사용자 목록의 MFA 열이나 보안 인증 보고서에서 봅니다. 이 글에서는 사용자 목록 화면은 열어 보지 않았습니다.

아래 `IAM 리소스` 칸에는 이 계정의 개수가 나옵니다. 이 실습 계정은 사용자 그룹 0, 사용자 17, 역할 40, 정책 1, ID 공급업체 1이었습니다.

## 2. 계정 설정에서 비밀번호 정책 읽기

왼쪽 메뉴의 `계정 설정`(Account settings)을 엽니다. 맨 위 `암호 정책` 칸에 현재 적용 중인 규칙이 있습니다.

![계정 설정 화면 암호 정책 칸에 이 AWS 계정은 기본 암호 정책을 사용한다고 적혀 있고, 암호 최소 길이 8자, 대문자 소문자 숫자 영숫자 제외 문자 중 최소 3개 포함, 비밀번호가 만료되지 않음, AWS 계정 이름 또는 이메일 주소와 동일할 수 없음이 표시된 것을 확인합니다.](https://copyandrun.com/img/aws-iam-password-policy-security-status-read/02-password-policy.png)

이 계정은 IAM 기본 정책을 쓰고 있었습니다. 읽은 내용은 다음과 같습니다.

| 항목 | 이 실습 계정의 값 |
| --- | --- |
| 최소 길이 | 8자 |
| 문자 구성 | 대문자, 소문자, 숫자, 영숫자 외 문자 중 3종류 이상 |
| 만료 | 비밀번호가 만료되지 않음 |
| 그 밖의 요건 | AWS 계정 이름 또는 이메일 주소와 같을 수 없음 |

최소 길이 8자는 짧은 편입니다. 만료 여부와 어느 수준이 적절한지는 조직의 보안 기준에 따릅니다(NIST SP 800-63B는 주기적인 강제 변경을 권장하지 않습니다).

암호 정책 칸 아래에는 `Role Manager` 칸과 `멤버 계정에 대한 중앙 집중식 루트 액세스` 칸이 있고, 각각 `활성화` 단추가 보입니다. 별도 기능이라 이 글에서는 누르지 않았습니다. 이 실습 계정의 Role Manager 칸에는 조직의 서비스 제어 정책 때문에 사용하지 못할 수 있다는 안내가 표시됐습니다.

## 3. 사용자 지정 요건 항목 살펴보기(저장 안 함)

`암호 정책` 칸의 `편집`을 누르면 편집 화면이 열립니다. `사용자 지정`을 선택하면 설정할 수 있는 항목이 나타납니다. 이 글에서는 확인만 하고 `취소`로 나왔습니다.

![암호 정책 편집 화면에서 사용자 지정이 선택되어 있고 최소 길이 입력칸의 값 8과 6에서 128 사이라는 안내, 대문자 소문자 숫자 특수문자 필수 확인란 4개, 암호 만료 활성화와 관리자 재설정 필요와 사용자 자신의 암호 변경 허용과 암호 재사용 제한 확인란 4개가 보이는 것을 확인합니다.](https://copyandrun.com/img/aws-iam-password-policy-security-status-read/03-custom-options.png)

사용자 지정에서 고를 수 있는 항목은 다음과 같았습니다.

- 최소 길이: 6자에서 128자 사이
- 암호 강도: 대문자, 소문자, 숫자, 특수문자(`! @ # $ % ^ & * ( ) _ + - = [ ] { } | '`) 중 필수로 요구할 것
- 기타 요구 사항: 암호 만료 활성화, 만료 시 관리자 재설정 필요, 사용자 자신의 암호 변경 허용, 암호 재사용 제한

이 화면의 사용자 지정에는 확인란이 모두 비어 있는 상태가 보였습니다. 기본값에 있던 "세 종류 이상 포함" 규칙은 사용자 지정 화면에 같은 형태로 보이지 않았습니다. 따라서 사용자 지정으로 바꿀 때는 필요한 항목을 직접 모두 체크했는지 확인합니다. 특히 `사용자 자신의 암호 변경 허용`을 비워 두면 IAM 사용자가 자기 비밀번호를 바꾸지 못할 수 있습니다. 저장은 시험하지 않았으며, 이 설명은 화면과 AWS 문서(UpdateAccountPasswordPolicy)를 근거로 한 것입니다.

## 4. 보안 인증 보고서

왼쪽 메뉴 `보안 인증 보고서`(Credential report)에서는 루트 사용자를 포함한 계정의 모든 사용자의 비밀번호, 액세스 키, MFA 상태를 CSV로 내려받을 수 있습니다.

![보안 인증 보고서 화면에 이 계정의 IAM 사용자에 대한 보안 인증 보고서 설명, 보안 인증 보고서 다운로드 단추, 지난 4시간 동안 생성된 보고서가 없다는 안내가 보이는 것을 확인합니다.](https://copyandrun.com/img/aws-iam-password-policy-security-status-read/04-credential-report.png)

화면에는 보고서가 생성되면 최대 4시간 동안 저장된다고 적혀 있고, 이 실습 시점에는 지난 4시간 안에 만들어진 보고서가 없다고 표시됐습니다. 이 글에서는 보고서를 만들거나 내려받지 않았습니다. 화면에 `새 보고서가 생성됩니다`라고 적혀 있으므로, 다운로드 단추를 처음 누르면 보고서가 생성됩니다. 이 글의 변경 사항 "없음"은 이 글의 단계에만 해당합니다. 보고서에는 모든 사용자의 이름이 들어 있어서, 내려받은 파일은 공유하지 않고 점검 후 지우는 것이 좋습니다.

## 자주 막히는 곳

- **대시보드의 MFA 경고를 계정 전체 상태로 읽기**: 현재 사용자 기준 항목입니다. 전체 현황은 사용자 목록이나 보안 인증 보고서에서 확인합니다.
- **편집 화면에서 저장하기**: 이 글의 목적은 읽기입니다. 값을 바꿀 생각이 없으면 `취소`로 나옵니다.
- **권한 부족**: 권한이 부족하면 계정 설정이나 보고서 화면이 열리지 않을 수 있습니다. 관리자에게 IAM 조회 권한을 요청합니다.

## 이어서 해 볼 것

- 보안 인증 보고서를 내려받아 비밀번호 사용 여부와 마지막 사용 시각, MFA 활성 여부 열을 읽기
- 조직 기준에 맞춰 사용자 지정 비밀번호 정책을 만들고 사용자 한 명으로 로그인 시험하기
- [CloudTrail 이벤트 기록 글](/blog/aws-cloudtrail-event-history-read/)에서 비밀번호 정책을 바꿨을 때 남는 이벤트 찾아보기

## 확인한 범위와 확인하지 않은 것

- 확인한 것: IAM 대시보드의 보안 권장 사항과 리소스 개수, 기본 비밀번호 정책의 값, 사용자 지정 편집 화면의 항목, 보안 인증 보고서 화면.
- 확인하지 않은 것: 사용자 목록의 MFA 열, 보안 인증 보고서의 내용, 비밀번호 정책을 저장했을 때의 동작. 화면의 숫자와 문구는 이 실습 시점의 것이며 계정마다 다릅니다.