AWS 비밀 관리, 중앙 집중 vs 분산, 당신의 선택은?
비밀 관리(Secrets Management)의 핵심 측면(생성, 저장, 교체, 모니터링)을 중앙 집중화 또는 분산화하는 방식의 장단점을 분석
중앙 집중식 생성은 표준화된 명명 규칙과 CI/CD 파이프라인 검사를 통해 보안을 강화하지만, 골든 패스(Golden Path) 유지에 리소스가 소요됨
분산형 생성은 개발 속도와 유연성을 높이지만, 표준화 부족과 개발자의 부담 증가라는 트레이드오프(Trade-off) 존재
중앙 집중식 저장은 모니터링 용이성을 제공하지만, 추가적인 운영 오버헤드(Operational Overhead)와 KMS 비용 발생
중앙 집중식 생성 방식의 장점과 단점
중앙 집중식 비밀 생성 방식은 IaC(Infrastructure as Code)를 통해 인프라 배포를 자동화하고, 개발자 포털(Developer Portal)을 활용하여 개발 생산성을 향상시킨다.
일관된 명명 규칙(Consistent Naming)과 액세스 제어(Access Control)를 통해 보안을 강화하고, 속성 기반 액세스 제어(ABAC)를 구현하기 용이하다는 장점이 있다.
CI/CD 파이프라인 내에서 최소 권한(Least Privilege) 검사를 수행하여 보안 취약점을 사전에 방지할 수 있다.
하지만, 골든 패스(Golden Path)를 유지 관리하는 데 시간과 노력이 필요하며, 지원하는 서비스의 기능 업데이트에 따라 골든 패스도 지속적으로 업데이트해야 하는 단점이 존재한다.
분산형 생성 방식의 특징
분산형 비밀 생성 방식은 각 팀이 자체적으로 IaC 템플릿과 배포 메커니즘을 소유하므로, 개발 속도와 유연성을 높일 수 있다.
개발 속도(Speed): 중앙 조직에 의존하지 않고 빠르게 인프라를 배포할 수 있다.
유연성(Flexibility): 각 팀이 자체적으로 파이프라인을 구현하므로, 다양한 요구 사항에 유연하게 대응할 수 있다.
하지만, 표준화 부족(Lack of Standardization)으로 인해 명명 및 태깅 규칙을 적용하기 어렵고, 액세스 제어 및 리소스 정책의 일관성을 유지하기 어렵다는 단점이 있다. 또한, 개발자가 기본 인프라와 배포 파이프라인을 더 많이 관리해야 하는 부담이 있다.
중앙 집중식 저장 방식의 장단점
중앙 집중식 저장 방식은 비밀을 단일 계정에 보관하여 모니터링 및 관찰성을 간소화한다.
모니터링 간소화(Simplified Monitoring): 비밀을 중앙에서 관리하므로, 모니터링 및 감사(Audit)를 용이하게 수행할 수 있다.
AWS KMS 고객 관리형 키(Customer Managed Key) 사용 시 추가 비용 발생 및 정책 관리 필요
민감한 데이터(Sensitive Data)의 높은 집중으로 인한 보안 위험 증가
계정 할당량(Account Quota)을 고려하여 프로덕션 환경에서 할당량에 도달하지 않도록 주의해야 한다.
분산형 저장 방식의 특징
분산형 저장 방식은 비밀을 워크로드와 동일한 계정에 저장하여 계정 경계(Account Boundary)를 활용한 보안을 강화한다.
계정 경계(Account Boundary): AWS 계정 간의 자연스러운 분리를 통해 보안을 강화하고, 리소스 제어 정책을 사용하여 계정 간 비밀 공유를 방지할 수 있다.
AWS KMS 키 선택(AWS KMS Key Selection): 계정 간 비밀 공유가 없는 경우, AWS KMS 고객 관리형 키 또는 AWS 관리형 키를 사용하여 비밀을 암호화할 수 있다.
애플리케이션 소유자(Application Owner)에게 권한 관리 위임
하지만, 감사 및 모니터링을 위해 교차 계정 간 배포가 필요하며, 자동화된 복구 워크플로(Automated Recovery Workflow) 구축이 복잡하다는 단점이 있다.
비밀 관리 방식 통합 구성
대부분의 조직은 중앙 집중식과 분산형 방식을 혼합하여 사용한다. 예를 들어, 중앙 보안 팀이 조직 표준을 적용하기 위해 생성 프로세스를 중앙 집중화하고, 애플리케이션 소유자에게 제어권을 위임하기 위해 비밀 저장을 분산화할 수 있다.
생성 프로세스 중앙 집중화: 명명, 태깅 및 액세스 제어에 대한 조직 표준 적용
비밀 저장 분산화: 워크로드가 운영되는 계정에 비밀을 저장하여 애플리케이션 소유자에게 제어권 위임
수명 주기 관리 분산화: 애플리케이션 소유자가 자체 교체 함수를 관리
감사 중앙 집중화: AWS Config, Security Hub, IAM Access Analyzer 등을 활용하여 중앙 보안 팀이 비밀의 보안 상태에 대한 인사이트 확보
이처럼 조직의 요구 사항과 역량에 따라 적절한 방식을 선택하고, 자동화 및 IaC를 통해 일관된 보안 제어를 적용하는 것이 중요하다.
