IAM 액세스 키를 안전하게 관리하려면 어떻게 합니까?

3분 분량

AWS Identity and Access Management(IAM) 액세스 키를 안전하게 관리하고 싶습니다.

해결 방법

IAM 액세스 키를 관리하려면 다음 작업을 수행하십시오.

IAM 액세스 키를 정기적으로 업데이트

참고: AWS Command Line Interface(AWS CLI) 명령을 실행할 때 오류가 발생하면 AWS CLI 오류 문제 해결을 참조하십시오. 또한 최신 AWS CLI 버전을 사용하고 있는지 확인하십시오.

정기 일정에 맞춰 사용자 액세스 키를 업데이트하여 키가 침해된 경우 권한 없는 액세스 위험을 줄입니다. 액세스 키는 최소 90일마다 교체하는 것이 좋습니다.

사용자 액세스 키를 업데이트하려면 AWS Management Console 또는 AWS CLI를 사용합니다.

IAM 액세스 키 사용량 모니터링

오래된 키나 사용하지 않는 키를 식별해 교체하거나 비활성화하려면 AWS CloudTrail 및 Amazon CloudWatch 경보를 사용해 액세스 키가 어디에서, 어떻게 사용되는지 모니터링합니다.

침해된 IAM 액세스 키에 대응

액세스 키가 침해된 것으로 의심되는 경우, 즉시 침해된 키를 비활성화하여 피해 반경을 제한하고 계정을 보호해야 합니다.

CloudTrail 로그를 검토해 침해된 키로 만든 권한 없는 API 호출을 식별합니다. 액세스 키 ID 기준으로 CloudTrail 이벤트를 필터링하는 방법은 Logging IAM Access Analyzer API calls with AWS CloudTrail(AWS CloudTrail을 사용하여 IAM Access Analyzer API 호출 로깅)을 참조하십시오.

침해된 키를 비활성화한 이후, 다음 작업을 수행합니다.

계정을 검토해 권한 없는 IAM 사용자, 역할 또는 정책이 있는지 확인합니다. 자세한 내용은 AWS 보안 감사 지침을 참조하십시오.
권한 없는 Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스, Amazon Simple Storage Service(Amazon S3) 버킷 정책 변경 사항 및 보안 그룹 수정 사항이 있는지 확인합니다.
수정 단계를 모두 완료할 때까지 AWSCompromisedKeyQuarantineV3 정책을 그대로 유지하십시오. 이 정책을 성급하게 제거하면 보안 인시던트와 관련된 AWS 계정 권한에 대한 자격 조건에 영향이 발생할 수 있습니다.
청구 대시보드에서 권한 없는 리소스 사용을 나타내는, 예기치 않은 비용 급증이 발생했는지 검토합니다.

진행 중인 위협 및 이상 활동을 감지하려면 Amazon GuardDuty를 활성화하십시오.

향후 보안 알림을 받을 AWS 계정 대체 연락처를 업데이트합니다.

장기 IAM 액세스 키 대신 대안 사용

장기 액세스 키는 지속적인 보안 위험을 초래합니다. 이러한 키를 가능하면 임시 자격 증명으로 대체하는 것이 좋습니다.

AWS 서비스의 경우

애플리케이션 코드에 액세스 키를 임베딩하지 말고, Amazon EC2, AWS Lambda 및 Amazon Elastic Container Service(Amazon ECS)에 IAM 역할을 할당해야 합니다. IAM 역할은 자동으로 교체되는 임시 자격 증명을 제공합니다. IAM 역할을 만들고 할당하는 방법은 Create a role to give permissions to an IAM user(역할을 만들어 IAM 사용자에게 권한 부여)를 참조하십시오.

개인 사용자의 경우

AWS IAM Identity Center에서 개인 사용자에게 임시 자격 증명을 사용해 페더레이션된 액세스를 제공합니다. 이렇게 하면 콘솔 및 프로그램 방식 액세스 권한을 얻기 위해 장기 액세스 키를 사용할 필요가 없습니다. 자세한 내용은 What is AWS IAM Identity Center?(AWS IAM Identity Center란 무엇입니까?)를 참조하십시오.

온프레미스 워크로드의 경우

프로그램 방식 액세스가 필요한 AWS 외부 워크로드의 경우, AWS IAM Roles Anywhere를 사용해 X.509 인증서를 사용할 때 임시 자격 증명을 제공하게 합니다. 자세한 내용은 Using IAM Roles Anywhere to authorize off-cloud devices to access AWS resources(IAM Roles Anywhere를 사용해 오프 클라우드 디바이스에 AWS 리소스에 대한 액세스 권한 부여)를 참조하십시오.