매일 쓰는 로그인, IAM 사용자와 Identity Center와 aws login
AWS 튜토리얼은 IAM 사용자의 액세스 키를 명령줄 설정에 붙여 넣으라고 하지만, 액세스 키는 지울 때까지 쓰이는 장기 자격 증명이다. 사람이 매일 쓰는 로그인은 Identity Center나 aws login처럼 시간이 정해진 임시 자격 증명을 받는 쪽으로 정하고, 무료 플랜 계정에서는 조직이 생기는 순간 플랜이 바뀐다는 점을 함께 따진다.
접근 통제
접근 통제에 관한 12개의 기록을 모았습니다.
루트 사용자와 MFA, 계정 주인의 로그인을 잠가 두는 이유
AWS 계정을 만들 때 쓴 이메일과 비밀번호는 결제 정보까지 모든 것에 닿는 루트 사용자가 된다. 루트는 없앨 수 없어서 MFA로 잠가 두고, 피싱에 강한 패스키를 쓰고, 장치를 모두 잃었을 때 돌아올 길을 미리 챙긴다.
서브넷과 라우팅 테이블, 퍼블릭을 정하는 한 줄
AWS에는 서브넷을 퍼블릭으로 켜는 설정이 따로 없다. 경로표에 인터넷 게이트웨이로 가는 줄이 있으면 퍼블릭이고, 그 안의 서버가 실제로 인터넷과 통신하려면 공인 주소도 있어야 한다.
Organizations와 SCP, 허용하지 않고 한도만 정하는 정책
SCP는 구성원 계정이 할 수 있는 일의 상한만 정하고 권한을 주지는 않는다. 실제 권한은 IAM 정책으로 따로 줘야 하고, 조직을 만든 관리 계정에는 그 상한조차 걸리지 않는다.
AWS WAF, 막기 전에 세어 보기
WAF 규칙을 처음부터 Block으로 켜면 정상 요청까지 막힐 수 있고, 막힌 요청은 애플리케이션 로그에 남지 않는다. 그래서 새 규칙은 먼저 Count로 붙여 어떤 요청이 걸리는지 확인한 뒤에 막는다.
S3 사전 서명 URL, 서명이 보증하지 않는 것
사전 서명 URL은 만료 전까지 몇 번이든 쓸 수 있고, 만든 쪽의 자격 증명보다 오래 살지 못한다. 누가 보내는지, 무엇이 올라오는지는 서명과 상관없이 서비스가 따로 확인해야 한다.
GitHub Actions와 OIDC, 액세스 키 없이 AWS에 배포하는 원리
GitHub Actions에서 OIDC를 쓰면 저장소에 AWS 액세스 키를 두지 않고도 배포할 수 있다. 대신 AWS가 어떤 저장소의 어떤 작업을 믿을지 역할의 신뢰 조건에 적어야 하고, 옛 키는 따로 찾아 지워야 한다.
ECS 태스크 역할과 실행 역할, 무엇이 다를까
ECS 태스크 정의에는 역할을 넣는 칸이 두 개 있다. 실행 역할은 이미지와 비밀 값, 로그를 다루는 ECS 에이전트가 쓰고, 태스크 역할은 컨테이너 안의 앱 코드가 쓴다.
보안 그룹에선 되는데 네트워크 ACL에선 응답이 막히는 이유
보안 그룹은 허용한 연결의 응답을 기억해서 통과시키지만, 네트워크 ACL은 패킷을 하나하나 따로 판단한다. 그래서 네트워크 ACL에서는 응답이 돌아가는 임시 포트까지 규칙으로 열어야 한다.
보안 헤더와 CSP, 브라우저에게 미리 걸어 두는 제약
보안 헤더 검사에서 낮은 등급을 받으면 낯선 헤더 이름이 줄줄이 나온다. 각 헤더가 브라우저에게 무엇을 지시하는지, CSP는 왜 보고만 하는 모드로 먼저 켜는지 기초부터 설명한다.
포트와 방화벽, 0.0.0.0/0으로 열면 생기는 일
보안 그룹 인바운드 규칙에 0.0.0.0/0을 넣으면 인터넷의 누구나 그 포트로 연결을 시도할 수 있다. 포트, 인바운드와 아웃바운드, IP 범위 표기부터 차례로 정리한다.
BPFDoor, 포트를 열지 않고 명령을 기다리는 백도어
BPFDoor는 서버에 포트를 열지 않고 지나가는 패킷을 지켜보다가 약속된 신호에만 반응한다. 포트와 리슨, BPF와 RAW 소켓의 기초부터 2025년 통신사 침해 사고, 점검 결과를 읽을 때 헷갈리기 쉬운 점까지 정리한다.