축하합니다

개발자를 위한 AWS 보안 활용

Rahul Singh

Technical Product Manager

AWS가 확인하는 신원

정리한 내용

  • 행위자와 보안 주체: AWS가 확인하는 신원
  • 명시적 거부가 먼저이며, 일치하는 항목이 없어도 거부입니다

요청 흐름을 처음부터 끝까지 그린 그림입니다. 맨 위에는 회색으로 칠해져 취소선이 그어진 상자에 장기 액세스 키(AKIA로 표시)가 담겨 있습니다. 그 아래에는 작업에 맞게 범위가 지정된 역할이 AWS STS를 거쳐 한 시간 후 만료되는 임시 자격 증명(ASIA로 표시)이 되고, 이는 SigV4로 서명된 요청으로 이어집니다. 이 요청은 순서대로 확인되는 게이트를 통과합니다: 요청을 막는 명시적 거부, 요청을 통과시키는 일치하는 허용, 그리고 아무것도 일치하지 않는 경우를 나타내는 점선 구간(암시적 거부)입니다. 살아남은 요청은 AWS API 호출로 나갑니다.

개발자를 위한 AWS 보안 활용

AWS가 확인하는 신원

정리한 내용

  • 행위자와 보안 주체: AWS가 확인하는 신원
  • 명시적 거부가 먼저이며, 일치하는 항목이 없어도 거부입니다
  • 영원한 키가 아니라, 한 시간짜리 역할입니다
  • 모든 요청에는 SigV4로 서명하고, 사전 서명은 요청 하나에만 적용됩니다

요청 흐름을 처음부터 끝까지 그린 그림입니다. 맨 위에는 회색으로 칠해져 취소선이 그어진 상자에 장기 액세스 키(AKIA로 표시)가 담겨 있습니다. 그 아래에는 작업에 맞게 범위가 지정된 역할이 AWS STS를 거쳐 한 시간 후 만료되는 임시 자격 증명(ASIA로 표시)이 되고, 이는 SigV4로 서명된 요청으로 이어집니다. 이 요청은 순서대로 확인되는 게이트를 통과합니다: 요청을 막는 명시적 거부, 요청을 통과시키는 일치하는 허용, 그리고 아무것도 일치하지 않는 경우를 나타내는 점선 구간(암시적 거부)입니다. 살아남은 요청은 AWS API 호출로 나갑니다.

개발자를 위한 AWS 보안 활용

누가 무엇에 접근할 수 있는가

정리한 내용

  • 사용자 풀은 로그인을 처리하고, 자격 증명 풀은 자격 증명을 발급합니다
  • 토큰을 검증한 후에도 클레임은 의심하세요

모든 계층을 통과하는 하나의 요청입니다. 테넌트 사용자가 Amazon Cognito에 접근하며, 이는 한 프레임 안에 두 개의 상자로 그려집니다: 로그인을 처리하는 사용자 풀과 AWS 자격 증명을 발급하는 자격 증명 풀입니다. 그 아래 토큰은 헤더, 페이로드, 서명의 세 부분으로 구성되며, 서명만 초록색으로 표시됩니다. 이 토큰은 Amazon API Gateway로 들어가며, 코드가 실행되기 전에 확인된다고 표시되고, JWT 인가자, Lambda 인가자, IAM 인증을 제공합니다. 그 아래 report 함수는 Secrets Manager에서 값을 가져와 pw equals 네 개의 별표로 마스킹된 줄을 출력합니다. 그 아래로 권한 계층 세 개가 좁아집니다: 자격 증명 정책, 리소스 정책, 점선으로 표시된 권한 경계입니다. 맨 아래에는 공유 테이블의 한 행이 밝게 표시되고 LeadingKeys로 태그되며, 다른 두 테넌트 행은 점선과 회색으로 남아 있습니다.

개발자를 위한 AWS 보안 활용

누가 무엇에 접근할 수 있는가

정리한 내용

  • 사용자 풀은 로그인을 처리하고, 자격 증명 풀은 자격 증명을 발급합니다
  • 토큰을 검증한 후에도 클레임은 의심하세요
  • 자격 증명, 리소스, 경계: 세 계층이 하나의 답을 만듭니다
  • 테넌트 조건 하나, 이를 우회하는 Scan, 그리고 로그에서 제외된 비밀번호입니다

모든 계층을 통과하는 하나의 요청입니다. 테넌트 사용자가 Amazon Cognito에 접근하며, 이는 한 프레임 안에 두 개의 상자로 그려집니다: 로그인을 처리하는 사용자 풀과 AWS 자격 증명을 발급하는 자격 증명 풀입니다. 그 아래 토큰은 헤더, 페이로드, 서명의 세 부분으로 구성되며, 서명만 초록색으로 표시됩니다. 이 토큰은 Amazon API Gateway로 들어가며, 코드가 실행되기 전에 확인된다고 표시되고, JWT 인가자, Lambda 인가자, IAM 인증을 제공합니다. 그 아래 report 함수는 Secrets Manager에서 값을 가져와 pw equals 네 개의 별표로 마스킹된 줄을 출력합니다. 그 아래로 권한 계층 세 개가 좁아집니다: 자격 증명 정책, 리소스 정책, 점선으로 표시된 권한 경계입니다. 맨 아래에는 공유 테이블의 한 행이 밝게 표시되고 LeadingKeys로 태그되며, 다른 두 테넌트 행은 점선과 회색으로 남아 있습니다.

개발자를 위한 AWS 보안 활용

증명한 후 배포하세요

정리한 내용

  • 기본적으로 암호화되지만, 어떤 모드와 누구의 키를 사용할지는 여러분의 선택입니다
  • 키에는 두 개의 게이트가 있으며, 둘 다 열려야 합니다

네 개의 영역으로 구성됩니다. 전송 중에는 클라이언트가 aws:SecureTransport로 표시된 채널을 통해 Amazon S3에 접근합니다. 저장 시에는 외부로 나가지 않는 KMS 키가 GenerateDataKey를 호출해 데이터 키를 생성하며, 그 위에는 둘 다 열려야 하는 두 개의 게이트인 IAM 정책과 키 정책이 있습니다. 그 아래에는 추적 기록이 보관하는 항목들이 있습니다: userIdentity, eventName, sourceIPAddress, errorCode이며, 요청 전까지는 데이터 이벤트가 꺼져 있음을 나타내는 점선 구간이 있습니다. 이어서 점선으로 넓게 그려진 허용된 권한 막대 안에 작게 실선으로 표시된 사용된 부분이 있으며, 이는 좁혀진 정책으로 이어집니다. 맨 아래에는 번호가 매겨진 여섯 가지 질문이 배포 단계로 이어집니다.

개발자를 위한 AWS 보안 활용

증명한 후 배포하세요

정리한 내용

  • 기본적으로 암호화되지만, 어떤 모드와 누구의 키를 사용할지는 여러분의 선택입니다
  • 키에는 두 개의 게이트가 있으며, 둘 다 열려야 합니다
  • 기록 중이었다면, 추적 기록에 보안 주체 이름이 남습니다
  • 허용된 권한과 실제 사용된 권한을 비교한 후, 여섯 가지 질문을 던지세요

네 개의 영역으로 구성됩니다. 전송 중에는 클라이언트가 aws:SecureTransport로 표시된 채널을 통해 Amazon S3에 접근합니다. 저장 시에는 외부로 나가지 않는 KMS 키가 GenerateDataKey를 호출해 데이터 키를 생성하며, 그 위에는 둘 다 열려야 하는 두 개의 게이트인 IAM 정책과 키 정책이 있습니다. 그 아래에는 추적 기록이 보관하는 항목들이 있습니다: userIdentity, eventName, sourceIPAddress, errorCode이며, 요청 전까지는 데이터 이벤트가 꺼져 있음을 나타내는 점선 구간이 있습니다. 이어서 점선으로 넓게 그려진 허용된 권한 막대 안에 작게 실선으로 표시된 사용된 부분이 있으며, 이는 좁혀진 정책으로 이어집니다. 맨 아래에는 번호가 매겨진 여섯 가지 질문이 배포 단계로 이어집니다.

개발자를 위한 AWS 보안 활용

이 과정이 이끄는 곳

 

  • 다음 서비스에서도: 동일한 여섯 가지 질문
  • 어떤 공급자를 사용하든: 신원, 인가, 키, 증거

위에서 아래로 읽는 단일 열입니다. 이 과정이라고 표시된 블록에는 신원, 인가, 키와 증거가 담겨 있습니다. 화살표가 아래로 내려가 다음 서비스라고 표시된 패널로 이어지며, 여기서 호출자는 여섯 가지 질문을 거쳐 데이터에 도달한 후 추적 기록으로 이어집니다. 두 번째 화살표는 아래로 내려가 DVA-C02라고 표시된 패널로 이어지며, 네 구간으로 나뉜 시험 막대 중 두 번째 구간이 주황색으로 채워지고 Security 26%로 표시되며, 그 위에는 도메인 2 역량이라는 제목 아래 스물한 개의 초록색 체크 표시가 줄지어 있습니다. 점선 화살표는 계속 아래로 내려가 SCS-C03, Security - Specialty라고 표시된 점선 패널로 이어지며, 이는 여러분의 보안 학습 여정에서 다음 단계로 표시됩니다.

개발자를 위한 AWS 보안 활용

이 과정이 이끄는 곳

 

  • 다음 서비스에서도: 동일한 여섯 가지 질문
  • 어떤 공급자를 사용하든: 신원, 인가, 키, 증거
  • DVA-C02: 보안은 시험에서 큰 비중을 차지하며, 이 과정이 해당 영역을 다룹니다
  • 그다음 단계: AWS Certified Security - Specialty, 보안만 다루는 시험입니다

위에서 아래로 읽는 단일 열입니다. 이 과정이라고 표시된 블록에는 신원, 인가, 키와 증거가 담겨 있습니다. 화살표가 아래로 내려가 다음 서비스라고 표시된 패널로 이어지며, 여기서 호출자는 여섯 가지 질문을 거쳐 데이터에 도달한 후 추적 기록으로 이어집니다. 두 번째 화살표는 아래로 내려가 DVA-C02라고 표시된 패널로 이어지며, 네 구간으로 나뉜 시험 막대 중 두 번째 구간이 주황색으로 채워지고 Security 26%로 표시되며, 그 위에는 도메인 2 역량이라는 제목 아래 스물한 개의 초록색 체크 표시가 줄지어 있습니다. 점선 화살표는 계속 아래로 내려가 SCS-C03, Security - Specialty라고 표시된 점선 패널로 이어지며, 이는 여러분의 보안 학습 여정에서 다음 단계로 표시됩니다.

개발자를 위한 AWS 보안 활용

다음으로 할 일

개발자를 위한 AWS 보안 활용

Preparing Video For Download...