AWS 신규 가입 후 Lightsail 서울 리전 403 오류 해결 — SCP RegionFloor 정책 수정

2026년 9월부터 AWS가 새 가입자에게 “프로젝트” 방식의 간소화된 계정을 제공하기 시작했습니다. 이 방식으로 가입한 뒤 Lightsail에서 서울 리전으로 변경하려고 보니 리전 선택 메뉴가 없고, 고급 기능을 켠 뒤에는 403 권한 오류까지 생겼습니다. 원인과 해결 과정을 직접 겪은 순서대로 정리합니다.

결론

• 한국 주소로 새 방식 가입 시 프로젝트 리전이 시드니(ap-southeast-2)로 자동 배정되고, 콘솔에서 리전을 바꿀 수 없습니다.
• 서울로 변경하려면 고급 기능(Activate advanced features)을 켜야 합니다.
• 고급 기능을 켠 뒤에도 조직 정책(SCP) AdvancedModeRegionRestrictionSecurityControlPolicy의 RegionFloor 구문이 서울 선택을 막고 있어 403오류가 납니다.
• 관리 계정 루트 사용자로 로그인해 RegionFloor 허용 목록에 "ap-northeast-2" 한 줄을 추가하면 해결됩니다.

환경

증상 1. Lightsail에 리전 선택 메뉴가 없음

인스턴스 생성 화면에 인스턴스 위치(리전 및 가용 영역 변경) 항목이 보이지 않았습니다. 대신 플랜 선택 아래에 이런 안내가 나왔습니다.

시드니의 플랜에는 다른 리전보다 낮은 데이터 전송 한도가 포함되어 있습니다.

즉, 아무것도 고르지 않았는데 시드니 리전으로 만들어지려던 상태였습니다.

증상 2. 고급 기능을 켠 뒤 Lightsail 403 오류

서울을 쓰기 위해 고급 기능을 활성화했더니 프로젝트가 AWS Organizations 구조로 바뀌면서 계정이 3개로 나뉘었습니다.

그런데 멤버 계정에서 Lightsail에 들어가자 “Lightsail 액세스에 문제가 있을 수 있습니다 (403)” 화면과 함께 GetInstances, GetBundles, GetRegions 등이 모두 거부됐습니다. 오류 항목을 펼치면 원인이 나옵니다.

작업: lightsail:GetInstances
리소스: arn:aws:lightsail:ap-northeast-2:111122223333:*
컨텍스트: a service control policy explicitly denies the action
정책 ARN: arn:aws:organizations::444455556666:policy/o-xxxxxxxxxx/service_control_policy/p-xxxxxxxx

핵심은 “a service control policy explicitly denies the action”입니다. 계정 권한이 아니라 조직 정책(SCP)이 막고 있다는 뜻입니다. (계정 ID와 정책 ID는 임의 값으로 바꿨습니다.)

원인. RegionFloor 구문이 서울을 막고 있음

관리 계정에서 AWS Organizations → 정책 → 서비스 제어 정책을 열면 아래 정책들이 있습니다.

• AdvancedModeRegionRestrictionSecurityControlPolicy ← 오류 메시지의 정책 ID와 일치
• BudgetsSpendLimitDeny... 4개 (지출 한도 기능용)
• FullAWSAccess (기본 허용)
• ManagedAccountSecurityControlPolicy

문제의 정책을 열어 보면 마지막 RegionFloor 구문이 “목록에 없는 리전에서의 작업은 모두 거부”하도록 되어 있고, 목록에 서울이 없습니다.

"Sid": "RegionFloor",
"Effect": "Deny",
...
"Condition": {
  "StringNotEquals": {
    "aws:RequestedRegion": [
      "ap-southeast-2",
      "unspecified",
      "us-east-1",
      "us-west-2"
    ]
  }
}

해결 방법

1. 관리 계정 루트 사용자로 로그인

처음에 Identity Delegated Admin 계정으로 정책 편집을 시도했더니 목록과 내용은 보이는데 저장할 때 아래 메시지가 나왔습니다.

You don't have permissions to access this resource.

• 정책 수정은 관리 계정(Management Account)에서만 됩니다.
• 세션 선택 화면의 계정 목록이 헷갈리면 signin.aws.amazon.com → 루트 사용자로 가입 이메일을 넣어 로그인하는 것이 가장 확실합니다.
• 우측 상단 계정 ID가 오류 메시지의 정책 ARN에 들어 있는 계정 ID와 같은지 확인하세요.

2. RegionFloor에 서울 추가

1. AWS Organizations → 정책 → 서비스 제어 정책
2. AdvancedModeRegionRestrictionSecurityControlPolicy 클릭 → 정책 편집
3. 맨 아래 "aws:RequestedRegion": [ 바로 다음 줄에 "ap-northeast-2", 추가
4. 변경 사항 저장

"aws:RequestedRegion": [
  "ap-northeast-2",
  "ap-southeast-2",
  "unspecified",
  "us-east-1",
  "us-west-2"
]

• 쉼표 위치가 틀리면 저장되지 않습니다. 위 블록을 통째로 바꿔 넣는 것이 안전합니다.
• 정책을 통째로 분리(Detach)하지 마세요. 쓰지 않는 리전에서 몰래 리소스가 만들어지는 것을 막아주는 보안 장치이고, 고급 기능을 켜면 지출 한도도 사라지기 때문에 더 중요해집니다.
• 위쪽 us-east-1 구문에는 Lightsail 도메인·인증서·배포(CDN) 작업이 허용되어 있으니 그대로 둡니다.

3. 멤버 계정에서 확인

1. 루트에서 로그아웃 → 세션 선택 화면에서 기존 프로젝트(멤버) 계정으로 접속
2. Lightsail 새로고침 → 403 없이 홈 화면이 나오면 성공
3. 인스턴스 생성 화면 맨 위에 리전 선택이 생기고 서울, 영역 A를 고를 수 있음

고급 기능을 켜기 전에 알아둘 것

• 지출 한도 대신 Budgets 예산 알림을 관리 계정에 꼭 걸어 두세요.
• 자동 중지 장치가 없어지는 만큼 루트 계정 MFA를 먼저 등록하세요.
• 처음부터 서울이 필요하다면, 새 방식 대신 고급 가입(Sign up for AWS – advanced)으로 일반 계정을 만드는 방법도 있습니다.

참고. CLI로 같은 작업하기

정책 목록 확인

aws organizations list-policies --filter SERVICE_CONTROL_POLICY

• 조직에 있는 SCP 목록과 정책 ID를 보여줍니다.
• AdvancedModeRegionRestrictionSecurityControlPolicy의 Id(p-로 시작)를 확인합니다.

정책 내용 내려받기

aws organizations describe-policy --policy-id p-xxxxxxxx --query 'Policy.Content' --output text > scp.json

• 정책 JSON을 scp.json 파일로 저장합니다.
• 파일을 열어 RegionFloor의 aws:RequestedRegion 목록에 "ap-northeast-2"를 추가합니다.

수정한 정책 반영

aws organizations update-policy --policy-id p-xxxxxxxx --content file://scp.json

• 수정한 JSON으로 정책을 덮어씁니다.
• 결과에 정책 정보가 다시 출력되면 반영된 것입니다.

정리

1. 새 가입 방식은 연락처 국가 기준으로 리전이 고정 배정된다 (한국 → 시드니).
2. 서울로 변경하려면 고급 기능을 켠다. 단, 지출 한도는 사라진다.
3. 고급 기능을 켜도 SCP의 RegionFloor가 서울을 막아 403 오류가 난다.
4. 관리 계정 루트로 RegionFloor에 ap-northeast-2를 추가하면 해결된다.

같은 문제를 겪고 계신다면 댓글로 상황을 남겨 주세요. 다른 해결 방법이나 AWS 동작이 바뀐 걸 확인하면 이 글에 반영하겠습니다.