범위가 명확한 AWS 보안 제어로 애플리케이션 파일, 자격 증명, 설정, 웹 요청을 보호합니다. 각 제어를 허용된 작업과 의미 있는 거부 결과에 연결합니다.
안내형 실습 5개에서 KMS, S3 SSE-KMS, Secrets Manager, Parameter Store, WAF를 다룹니다. 독립 도전 과제에서는 필요한 시크릿을 읽지 못하는 애플리케이션을 진단합니다.
배울 내용
- 고객 KMS 키로 비공개 내보내기 파일 암호화 및 복호화하기
- 암호화 컨텍스트, 권한, 키 상태 실패 진단하기
- SSE-KMS로 S3 객체를 보호하고 객체와 키 권한을 별도로 테스트하기
- 애플리케이션에 직접 넣은 자격 증명을 범위가 제한된 Secrets Manager 접근으로 옮기기
- 계층형 Parameter Store 이름으로 개발과 프로덕션 구분하기
- 제공된 엔드포인트에 WAF 규칙을 연결하고 허용 및 차단 요청 테스트하기
- 관련 없는 리소스의 경계를 유지하면서 시크릿 읽기 실패 복구하기
이 과정의 대상
IAM 지식을 애플리케이션 데이터와 접근 제어에 적용하려는 AWS 학습자를 위한 과정입니다.
사전 요구 사항: AWS 준비, 범위를 제한한 IAM 정책과 임시 역할 세션을 먼저 학습하세요. SEC02는 S3와 SEC01 KMS, SEC03은 Lambda 설정과 데이터 접근(FN02/FN03)이 필요합니다. SEC04는 SEC03과 SEC01 다음입니다. WAF는 독립 REST 스테이지를 제공해 준비와 정책 학습 후 별도로 진행할 수 있습니다. Secret 챌린지는 SEC03 후에 진행하고 각 실험의 요구 사항을 따르세요.
학습 환경: 모든 활동은 브라우저에서 제공되는 LabEx Linux 환경에서 진행합니다. AWS CLI 명령에는 Terminal을 사용하고, 옆의 AWS View에서 동일한 리소스와 애플리케이션 상태를 확인합니다. 도구와 연결은 준비되어 있으므로 개인 AWS 계정이나 액세스 키가 필요하지 않습니다. 각 실습은 새로운 VM에서 독립적으로 시작합니다. AWS View는 리소스 상태, 안전한 암호학적 해시, 실제 실행, 로그를 표시합니다. WAF 실습은 자체 HTTP 예제를 제공하므로 이전에 ALB나 VPC를 구축할 필요가 없습니다.
자주 묻는 질문
객체 읽기 권한이 키 복호화도 허용하나요?
그 권한만으로는 허용되지 않습니다. S3/KMS 실습은 객체 접근과 키 복호화를 별도로 테스트합니다. Parameter Store 실습도 파라미터 읽기와 KMS 복호화를 구분합니다.
실제 애플리케이션 자격 증명을 제공해야 하나요?
아니요. 제공된 합성 데이터를 사용하고 비공개 파일을 보호하며 자격 증명을 출력하지 마세요. 의도한 리소스만 테스트하고 관련 없는 참조 리소스를 보존하세요.
정리할 때 KMS 키가 즉시 삭제되나요?
아니요. 키는 문서화된 삭제 대기 기간을 사용합니다. 삭제 예약이 즉시 존재하지 않게 되었음을 증명하지는 않습니다. 기능 확인을 먼저 완료하고 성공한 쿼리로 필요한 정리 상태를 확인하세요.
모든 AWS 보안 기능을 다루나요?
아니요. 사용자 정의 KMS 키 정책 및 권한 부여, 계정 간 접근, 관리형 기본 키는 이 단원의 범위 밖입니다. 배운 제어를 연습하며 완전한 프로덕션 호환성을 주장하지 않습니다.
