AWS 계정은 하나로 쓸지, 여러 개로 나눌지 어떻게 정합니까?

계정과 태그는 나누는 대상이 다릅니다

AWS의 다중 계정 백서는 계정을 권한·보안·비용의 기본 경계로 설명합니다. 한 계정에서 생긴 잘못된 설정이나 침해가 다른 계정의 자원으로 번지지 않게 막는 것도 계정 단위입니다. 반면 태그는 같은 계정 안의 자원에 붙이는 이름표라, 비용을 나눠 보는 데는 유용하지만 권한이나 사고 영향을 막아 주지는 않습니다.

비용만 놓고 보면 계정이 가장 확실한 구분 단위입니다. 백서는 계정을 AWS 비용이 배분되는 기본 단위로 설명하며, 계정별 비용은 태그를 하나도 붙이지 않아도 청구 화면에서 바로 나뉩니다. 태그는 그 위에서 더 잘게 나눌 때 씁니다. 그래서 「부서별 비용을 보고 싶다」는 요구만 있다면 태그로 시작해도 되지만, 「개발자가 운영 자원을 건드리지 못하게 하고 싶다」는 요구가 함께 있다면 계정 분리가 답입니다.

계정을 나눠야 하는 신호

다음 중 하나라도 해당하면 계정 분리를 검토할 시점입니다.

• 운영과 개발·테스트가 한 계정에 있습니다. 개발자에게 준 넓은 권한이 운영 자원에도 그대로 미칩니다.
• 개인정보처럼 민감한 데이터를 다루는 시스템이 있습니다. 백서는 민감 데이터 저장소를 전용 계정에 두면 접근할 수 있는 사람과 프로세스를 줄일 수 있다고 설명합니다.
• 부서나 계열사별로 비용 책임이 다릅니다. 계정 단위 비용은 별도 설정 없이 나뉘므로 부서 간 정산이 단순해집니다.
• 한 서비스의 사용량이 다른 서비스의 한도를 잠식합니다. 서비스 한도와 API 요청 한도는 계정마다 따로 매겨집니다.

작은 조직의 최소 구조

AWS Organizations로 계정을 묶으면 청구서는 하나로 합쳐지고, 서비스 제어 정책(SCP)으로 계정 전체에 금지 규칙을 걸 수 있습니다. 작은 조직이 시작하기 좋은 최소 구조는 다음과 같습니다.

1. 관리 계정 — 결제·조직 관리만
2. 운영 계정 — 고객이 쓰는 서비스
3. 개발·검증 계정 — 시험과 실험
4. 필요 시 보안·로그 계정

관리 계정에 업무 시스템을 두지 않는 이유는 분명합니다. AWS Organizations 문서는 SCP가 관리 계정의 사용자와 역할에는 적용되지 않는다며, 관리 계정에는 그 계정에서만 해야 하는 작업만 남기라고 권합니다. 또 2026년 7월 10일 이후 콘솔에서 만든 조직에는 구성원 계정의 조직 탈퇴와 계정 해지를 막는 SCP가 루트에 자동으로 연결됩니다. 그 전에 만들었거나 CLI·SDK·CloudFormation으로 만든 조직이라면 같은 정책을 직접 만들어 연결해야 합니다.

계정이 여러 개로 늘어나면 AWS Control Tower를 검토합니다. Control Tower는 Organizations·IAM Identity Center 등을 엮어 모범 사례 기반의 다중 계정 환경(랜딩 존)을 만들고, 새 계정을 정해진 설정으로 찍어 내는 Account Factory와 규칙 위반을 막거나 찾아내는 통제 기능을 제공합니다. AWS는 계정이 몇 개를 넘어서면 계정 생성과 통제를 맡는 관리 계층을 두는 것이 유리하다고 설명합니다. 계정이 적을 때는 Organizations만으로 시작하고, 계정을 만들고 통제하는 일이 반복되는 시점에 Control Tower를 검토하는 순서가 자연스럽습니다.

태그로 비용을 나눌 때 놓치는 것

태그는 붙이는 순간보다 집계에 반영되는 조건에서 자주 어긋납니다.

• 활성화: 태그를 붙이기만 해서는 비용 화면에 나타나지 않습니다. 관리 계정(또는 단독 계정)의 비용 배분 태그 화면에서 활성화해야 하고, 반영까지 최대 하루가 걸릴 수 있습니다.
• 소급: 관리 계정은 최대 12개월까지 소급 적용을 요청할 수 있지만, 그 기간에 자원에 실제로 태그가 붙어 있었어야 합니다. 태그가 없던 달은 소급해도 비어 있습니다.
• 누락: 태그 없는 자원의 비용은 「태그 없음」으로 남습니다. 자원을 만드는 단계에서 태그를 강제하는 규칙을 둡니다.
• 공용 비용: NAT 게이트웨이·로드 밸런서처럼 여러 부서가 함께 쓰는 자원은 배분 기준을 미리 합의합니다.
• 민감 정보: AWS는 태그에 민감한 정보를 넣지 말라고 안내합니다. 개인 이름이나 비밀 값은 태그로 쓰지 않습니다.

나누는 순서

1. 기준 정하기운영·개발, 부서, 민감 데이터 중 무엇을 경계로 삼을지 정합니다.
2. 조직 만들기현재 계정을 그대로 둔 채 새 관리 계정으로 조직을 만들고 기존 계정을 초대하는 방법도 있습니다.
3. 새 작업부터 새 계정에운영 중인 자원을 한꺼번에 옮기기보다, 새 개발·검증 작업부터 분리된 계정에서 시작합니다.
4. 공통 규칙 적용SCP, 로그 수집, 예산 알림, 태그 규칙을 조직 단위로 겁니다.

계정이 늘어도 사람마다 계정별 사용자를 따로 만들 필요는 없습니다. IAM Identity Center로 한 번 로그인한 뒤 직무에 맞는 권한으로 각 계정에 들어가는 방식이 기본이며, 퇴사자 처리도 한곳에서 끝납니다.

참고 자료

• AWS 백서 — 여러 AWS 계정을 쓰는 이점
• AWS Organizations 사용 설명서 — 관리 계정 모범 사례
• AWS Control Tower 사용 설명서 — 개요
• AWS Billing 사용 설명서 — 비용 배분 태그
• AWS Billing 사용 설명서 — 비용 배분 태그 소급 적용