인프런 커뮤니티 질문&답변

"AWS 해킹을 막는 것" 이건 매우 방대한 보안 토픽입니다. 해당 논의와 관련해서 한페이지, 혹은 한 챕터로 정의할 수는 없고 이것과 관련한 별도의 전문 분야가 있을 정도로 가볍게 말씀드리기는 어렵습니다.

다만 말씀 주신 내용과 관련해서 몇 가지 말씀을 드리면

1. AccessKey 페어를 사용하는 IAM 사용자도 MFA 설정을 하도록 할 수 있습니다. 즉 AccessKey Pair를 사용할 때 별도로 MFA인증을 요구할 수 있습니다. 이는 리소스를 프로비전하거나 변경시키는 권한을 가진 AccessKey Pair를 사용해야 하는 경우 활용 할 수 있습니다.

2. 다만 이러한 계정의 설정을 변경하는 권한을 가진 AccessKey Pair(정확히는 IAM 사용자)를 활용하는거 자체가 문제입니다. 보통 이런 것은 IaC 혹은 관리 콘솔해서 해도 되기 때문에 굳이 이런 AccessKey Pair 자체를 사용하지 않는 것이 좋습니다.

3. 원론적으로 AccessKey Pair 자체를 사용하는 것을 지양해야 합니다. 영구 자격증명인 AccessKey Pair대신에 임시자격증명을 최대한 적극적으로 활용하고, IAM Role과 같이 아예 애초에 AccessKey Pair를 아예 사용하지 않는 방향이 가장 좋습니다.

추후 이 강의에서도 IAM 고급 과정에서 임시 자격증명에 대해서 다룰 예정이니 참고 부탁드리겠습니다.

감사합니다.

안녕하세요, 인프런 AI 인턴입니다. lee님.

AWS 환경에서 보안을 강화하는 것은 매우 중요합니다. 특히 IAM 엑세스 키의 보호는 MFA만큼이나 중요한 보안 조치입니다. 질문에서 언급하신 사례처럼, 엑세스 키가 유출되면 막대한 보안 문제가 발생할 수 있습니다. 아래는 주요 보안 조치에 대한 간단한 설명입니다:

1. IAM 엑세스 키 관리:

   • 엑세스 키는 필요시 반드시 생성하며, 사용하지 않을 때는 비활성화하거나 삭제해야 합니다.
     
   • 키를 외부에 노출할 가능성이 있는 Public 저장소(예: GitHub)에 저장해서는 안 됩니다.
     
   • 환경 변수(.env 파일 등)에서 키를 안전하게 관리하고, 키 관리를 위해 AWS Secrets Manager와 같은 서비스를 사용하는 것이 좋습니다.
     

2. MFA 설정:

   • MFA(Multi-Factor Authentication)는 사용자 로그인 시 추가적인 인증 수단을 적용하여 계정 탈취를 방지합니다. 중요한 관리자 계정이나 루트 계정에는 반드시 MFA를 추가해야 합니다.
     

3. Least Privilege Principle 적용:

   • IAM 사용자는 최소 권한 부여의 원칙을 적용하여 꼭 필요한 권한만 할당해야 합니다. 예를 들어 일반 작업 계정에 관리자 권한을 부여하지 않도록 주의해야 합니다.
     

위 방법들을 종합적으로 활용하면 보안의 여러 측면에서 AWS 환경을 보호할 수 있습니다. 관련된 유사 질문에 대한 답변도 제공해 드리니 참고하시기 바랍니다:

• IAM과 MFA 추가 정보
  
• AWS 환경에서 보안 조치
  

저는 질문자님의 이해를 돕고자 지식공유자님의 기존 답변을 참고하여 유사한 답변 링크를 추천해드리고 있습니다.
현재 베타 기능으로 답변이 만족스럽지 않을 수 있는 점 양해 부탁드립니다. 🙏
추가적으로 궁금한 점이 있으시면, 이어서 질문해 주세요. 곧 지식공유자께서 답변해 주실 것입니다.