Downgrading user roles in Amazon Quick

🖼️ 인포그래픽

🖼️ 4컷 인포그래픽

💡 한 줄 요약

Amazon Quick의 사용자 역할 하향은 최소 권한과 비용 절감을 위한 조치로, Quick Identity 사용자는 자산 소유권을 정리한 뒤 삭제·재생성 또는 AWS CLI의 단계적 역할 전환을 적용하고, 외부 인증 사용자는 그룹 매핑으로 관리한다.

📌 핵심 요약

• Amazon Quick은 Quick Identity, AWS IAM Identity Center, Active Directory를 통한 사용자 관리를 지원한다. 원문은 월별 또는 분기별 역할 점검과 업무 변경 시 자산 소유권 이전을 권장하며, 역할 하향의 목적을 최소 권한 유지와 업무 연속성 확보로 설명한다.
• Authors와 Admins는 사용자별 고정 월 요금을 내고 Readers는 세션 기반 요금을 사용한다. 대시보드만 소비하는 Author를 Reader로 조정하면 비용을 상당히 줄일 수 있다는 것이 원문의 주장이다. Custom Permissions와 AWS Identity and Access Management(IAM)는 기본 역할을 보완하는 권한 통제를 제공한다.
• Amazon Quick Enterprise는 Admin Pro·Author Pro·Reader Pro와 BI 및 AI 기능을, Amazon Quick Sight는 Admin·Author·Reader와 전통적인 BI 기능을 제공한다. 콘솔은 Admin 또는 Author에서 Reader로 직접 하향하는 경로를 제공하지 않으며, update-user API도 Author 계층에서 Reader 계층으로의 직접 하향을 거부한다.
• Quick Identity 사용자는 삭제 후 Reader로 재초대하거나 AWS CLI에서 Admin > Author > Restricted Reader > Reader 순서로 전환할 수 있다. Pro 사용자도 중간 단계에 기존 BI 역할을 사용하면 Author Pro > Author > Restricted Reader > Reader Pro 전환이 가능하다. IAM Identity Center 사용자는 Quick-Admins에서 Quick-Readers로 그룹을 이동하며 단계적 전환이 필요하지 않다.
• 역할 변경 전에는 대상이 현재 Admin 또는 Author인지 확인하고 대시보드·데이터셋·분석의 소유권을 정리해야 한다. Share의 공동 소유자 지정, Manage assets의 일괄 이전, 그룹 공유가 제시되며, 삭제 시 미이전 자산은 단일 관리자에게 넘길 수 있다. 수동 재생성 후에는 Reader의 조회 권한과 생성·수정 제한을 검증해야 하며, 제공 원문은 AWS CLI 예제의 두 번째 단계 명령 도중에 끝난다.

🧩 주요 포인트

1. 인증 방식에 따른 처리 분기: Quick Identity는 사용자 계정의 역할 전환을, IAM Identity Center와 Active Directory는 외부 그룹 매핑을 중심으로 관리하므로 적용 절차가 달라진다.
2. 직접 하향 제약과 우회 경로: 콘솔·update-user API의 제약 때문에 삭제·재생성 또는 기존 BI 역할을 거치는 단계적 전환이 필요하며, Pro 사용자도 중간 역할 선택이 중요하다.
3. 권한·비용·자산의 연계: Author를 Reader로 조정하면 권한과 과금 방식이 바뀌고 기존 자산의 편집도 제한되므로, 소유권 정리와 최종 권한 검증이 업무 연속성을 좌우한다.

🧠 상세 정리

1. 사용자 생애주기와 정기적인 권한 관리

Amazon Quick의 접근 권한 관리는 보안과 협업 환경을 유지하는 중요한 운영 과제로 제시된다. 사용자는 Quick Identity를 통해 직접 등록하거나 AWS IAM Identity Center, Active Directory 같은 기업용 인증 체계로 관리할 수 있으며, Admin·Author·Reader 역할은 업무 기능과 보안 요구에 맞춰 배정된다. 구성원이 입사하거나 업무를 바꾸거나 조직을 떠날 때에는 업무 흐름을 방해하거나 보안 공백을 만들지 않도록 권한을 조정해야 한다. 원문은 월별 또는 분기별 역할 점검을 계획하고, 담당 업무가 바뀌면 대시보드와 분석의 소유권을 선제적으로 이전할 것을 권장한다. 이러한 소유권 관리는 AWS Well-Architected Framework의 권고와 연결되며, 업무상 중요한 시각화 자료의 연속성을 지키는 근거로 설명된다.

2. 역할 하향의 보안·비용상 이유

역할 하향의 첫 번째 이유는 사용자가 자신의 업무에 필요한 권한만 가져야 한다는 최소 권한 원칙이다. 작성이나 관리 기능이 더 이상 필요하지 않은 사용자에게 해당 권한을 계속 부여하면 불필요한 보안 노출 범위가 남기 때문에, 책임 변화에 맞춰 역할을 낮추는 것이 필요하다고 설명한다. 비용 측면에서는 Authors와 Admins가 사용자별 고정 월 요금을 내는 반면 Readers는 세션 기반 요금을 사용한다는 차이가 있다. 원문은 대시보드만 소비하는 사용자가 Author로 등록되어 있다면 Reader로 조정해 비용을 상당히 줄일 수 있다고 주장하지만, 구체적인 요금이나 절감액은 제시하지 않는다. 기본 역할보다 세밀한 통제가 필요할 때에는 역할 계층 안의 특정 기능을 제한하는 Custom Permissions와 추가 권한 경계를 제공하는 AWS Identity and Access Management(IAM)를 함께 고려할 수 있다.

3. 인증 방식에 따른 적용 범위와 준비 조건

원문의 주된 대상은 Quick-managed users라고도 부르는 Amazon Quick Identity 사용자이며, 인증 방식에 따라 실제 역할 변경 절차가 달라진다는 점을 먼저 구분한다. IAM Identity Center나 Active Directory로 인증하는 사용자는 일반적으로 외부 인증 제공자의 그룹 매핑을 통해 역할을 변경한다. IAM Identity Center 환경의 예로는 사용자를 Quick-Admins 그룹에서 Quick-Readers 그룹으로 이동하는 방식이 제시되며, 이 경우에는 중간 역할을 거치는 단계적 전환이 필요하지 않다. Quick Identity 사용자에게는 수동 삭제·재생성과 AWS CLI 방식이라는 두 가지 해결책을 소개하고, 시작 전에 Amazon Quick 관리자 접근 권한이 있는 활성 AWS 계정이 필요하다고 설명한다. 로컬에서 CLI 방식을 사용할 경우 AWS CLI를 설치하고 구성해야 하며, 역할을 변경할 사용자 목록을 미리 준비하는 것도 도움이 된다.

4. 구독별 역할과 직접 하향의 제약

Amazon Quick Enterprise의 역할은 Admin Pro·Author Pro·Reader Pro이며, BI 기능과 함께 agents, topics, Q&A, stories, generative summaries 같은 AI 기능을 제공한다. BI 전용인 Amazon Quick Sight의 역할은 Admin·Author·Reader로, 전통적인 BI 작성과 소비 기능을 제공한다고 구분한다. 콘솔에는 Admin에서 Reader 또는 Author에서 Reader로 직접 하향하는 경로가 없으며, update-user API도 Author 계층에서 Reader 계층으로 바로 낮추는 요청을 “You cannot downgrade a user role” 오류로 거부한다. 원문은 기존 BI 역할에서 Admin > Author > Restricted Reader > Reader 순서로 전환하면 CLI 방식이 안정적으로 작동한다고 설명한다. Pro 사용자도 중간 단계에 기존 역할을 사용하면 전환할 수 있으며, Author Pro > Author > Restricted Reader > Reader Pro가 성공하는 예로 제시된다.

5. 역할 변경 전 확인과 개별·일괄 소유권 이전

변경을 시작하기 전에는 대상 사용자가 현재 Admin 또는 Author인지 확인해야 하며, 이미 낮은 권한을 가진 사용자에게 하향을 시도하면 오류가 발생할 수 있다. CLI로 계정을 유지하면서 역할을 바꾸더라도 사용자는 이전에 소유한 자산을 더 이상 편집할 수 없으므로, 소유권 문제는 삭제 방식에만 한정되지 않는다. 특히 사용자를 삭제하기 전에는 대시보드·데이터셋·분석 같은 자산을 재배정해 업무 중단과 소유자 없는 자산을 방지해야 한다. 가장 통제하기 쉬운 방법은 각 자산의 Share에서 다른 관리자를 공동 소유자로 지정하는 것으로, 중요한 자산을 팀의 책임 구조에 맞춰 배분할 수 있지만 대규모 환경에서는 시간이 많이 걸릴 수 있다. 자산 수가 많다면 Admin 영역의 Manage assets를 통해 여러 자산의 소유권을 일괄 이전하거나 공유 권한을 함께 갱신하는 방법이 제시된다.

6. 그룹 공유와 삭제 시 내장 이전 기능

원문은 개별 사용자에게만 자산을 공유하는 대신 사용자 그룹에 대시보드나 데이터셋을 공유하는 방법도 제시한다. Quick Identity 환경에서는 Quick 그룹을 만들고 관련 구성원을 추가할 수 있으며, IAM Identity Center나 Active Directory와 통합된 환경에서는 해당 외부 시스템에서 관리하는 그룹을 접근 통제에 사용한다. 그룹 공유는 특정 사용자가 삭제되어도 공유 자원에 대한 접근을 유지하고, 구성원이 자주 바뀌는 팀에서 향후 소유권 재배정의 필요를 줄이는 방식으로 설명된다. 사전 소유권 이전을 모두 끝내지 않은 상태에서 사용자를 삭제하면 Quick은 다른 관리자를 선택하도록 하는 이전 대화상자를 표시하며, Delete and transfer로 자산 이전과 삭제를 진행할 수 있다. 다만 이 내장 기능은 모든 자산을 단일 관리자에게 넘기므로, 자산별로 다른 담당자를 지정해야 하는 경우에는 앞서 소개한 선제적 이전 방식이 더 세밀한 통제를 제공한다.

7. 수동 삭제·재생성과 Reader 권한 검증

CLI 사용이 어려운 환경에서는 기존 사용자를 삭제한 뒤 Reader로 다시 생성하는 수동 방식이 대안이며, Admin뿐 아니라 Author에서 Reader로 낮추는 경우에도 적용된다. 계정 삭제가 먼저 이루어지므로 사전에 자산 소유권 이전을 완료해야 하며, 삭제 시 기존 사용자의 시스템 접근은 완전히 제거된다. 절차는 AWS Management Console에서 Amazon Quick으로 이동한 뒤 프로필 아이콘의 Manage Quick, Manage users를 열고 대상 사용자의 삭제 아이콘을 선택해 삭제를 확인하는 흐름이다. 이후 Users 페이지에서 Invite users를 선택하고 같은 사용자의 이메일 주소와 Reader 역할을 입력해 초대를 보내면, 사용자는 제한된 권한으로 다시 참여할 수 있다. 초대를 수락한 뒤에는 역할이 Reader로 바뀌었는지, 대시보드와 보고서를 조회할 수 있는지, 콘텐츠를 생성하거나 수정할 수 없는지를 확인해야 한다.

8. 권장 CLI 전환과 제공 예제의 한계

원문은 AWS CLI 또는 AWS CloudShell을 이용한 단계적 역할 전환을 권장하며, Admin에서 Reader로 직접 이동하지 않고 중간 역할을 순서대로 거쳐야 한다고 설명한다. 명령에는 실제 AWS 계정 ID, 사용자 이름, 이메일 주소를 넣어야 하고, --role 값은 API 역할 이름과 정확히 일치해야 한다. 로컬 AWS CLI에서는 --region을 지정해야 하지만 AWS CloudShell은 현재 콘솔의 리전 맥락을 자동으로 사용하므로 리전 지정을 생략할 수 있으며, 대규모 조직에서는 이메일 주소를 코드에 직접 넣는 대신 CSV 파일에서 읽는 방식을 고려할 수 있다. 제공된 첫 번째 명령은 aws quicksight update-user에 계정 ID·사용자 이름·이메일·--namespace default·--role AUTHOR를 지정해 Admin을 Author로 바꾸는 내용이다. 이어지는 두 번째 단계는 Author에서 Restricted Reader로 변경하는 것으로 소개되지만 명령이 --a에서 끊기므로, 제공 원문만으로는 두 번째 단계 이후의 전체 명령이나 실행 결과를 확인할 수 없다.

🧾 핵심 주장 / 시사점

• 역할 하향 절차는 인증 방식에 종속된다. Quick Identity에 필요한 계정 처리 절차를 IAM Identity Center나 Active Directory 환경에도 그대로 적용하는 것으로 이해해서는 안 된다.
• CLI 방식으로 계정을 삭제하지 않더라도 기존 자산의 편집 권한은 달라진다. 계정 유지 여부와 별개로 소유권 및 공유 관계를 검토해야 업무 연속성을 확보할 수 있다.
• Author에서 Reader로의 조정은 권한 축소와 과금 방식 변경을 함께 수반한다. 실제 비용 절감 규모는 제시되지 않았으므로, 원문의 상당한 절감 가능성과 구체적인 절감액을 구분할 필요가 있다.

✅ 액션 아이템

• 월별 또는 분기별 역할 점검에서 대시보드만 소비하는 Author의 Reader 전환 필요성과 과금 방식 변경을 검토한다.
• Admin 또는 Author의 역할 변경 전에 대시보드·데이터셋·분석 소유권을 정리하고, 변경 후 Reader의 조회 권한과 생성·수정 제한을 검증한다.
• Quick Identity에는 삭제·재생성 또는 AWS CLI 단계적 전환을 적용하고, IAM Identity Center에는 Quick-Admins에서 Quick-Readers로의 그룹 이동을 적용한다.

❓ 열린 질문

• 대시보드만 소비하는 Author를 Reader로 전환할 때 사용자별 고정 월 요금과 세션 기반 요금의 차이는 실제 비용을 얼마나 줄이는가?
• 역할을 변경할 Admin 또는 Author의 대시보드·데이터셋·분석은 어떤 관리자나 그룹에 배정해야 업무 연속성을 유지할 수 있는가?
• 두 번째 단계 명령 도중에 끝난 AWS CLI 예제에서 Restricted Reader와 최종 Reader 전환에 필요한 전체 명령은 무엇인가?