[AWS SAA-C03] - Domain 1 Review_ 1. Introduction

🔐 Domain 1-1: Design Secure Access to AWS Resources

✨ 핵심 개념

• 보안은 아키텍처 설계 시 가장 먼저 고려해야 할 요소
• 사람, 도구, 애플리케이션이 어떻게 AWS 리소스와 데이터를 접근할지 정의해야 함
• 접근 제어 범위:
  • 누가/무엇이 리소스를 시작·중지할 수 있는지
  • 언제/어떻게 접근 권한을 주고 운영 권한을 제어할지

---

🧱 기본 지식 (Fundamentals)

• 공유 책임 모델 (Shared Responsibility Model)
• AWS 글로벌 인프라 (리전, AZ, 엣지 로케이션)
• 서비스 내구성 & 가용성

---

🧑‍💻 AWS 계정과 IAM

• AWS IAM은 Global 서비스 → 모든 리전 공통으로 적용
• Root User
  • 계정 생성 시 자동으로 생성되는 슈퍼 계정
  • 권한 변경 불가, 탈취 시 전체 환경이 위험 → 절대 일상 사용 금지
  • 보호 방법: MFA 활성화, 별도 권한이 제한된 IAM 사용자 생성
• IAM User / Group / Role
  • 신규 IAM 사용자는 기본 권한 없음
  • Least Privilege(최소 권한 원칙) 적용 → 필요 최소 권한만 부여
  • Users : 특정 사용자에게 직접 권한 부여
  • Groups : 공통 권한을 여러 사용자에게 부여
  • Roles : AWS 리소스나 외부 사용자/서비스가 임시로 권한 획득

---

🔑 권한 부여 (Policies)

• Policy = 권한을 정의하는 객체
• Identity-based Policy
  • User/Group/Role에 부착 → “누가 무엇을 할 수 있는가”
• Resource-based Policy
  • S3, SQS, KMS, VPC Endpoint 등에 부착 → “누가 이 리소스에 접근할 수 있는가”
  • 차이점: Principal 명시 필요
• IAM Policy 문서 구조
  • Version
  • Statement
    • Effect (Allow/Deny)
    • Action (어떤 API 호출 가능?)
    • Resource (대상 리소스)
    • Principal (리소스 정책에만 존재)

---

🌍 연동 & Federation

• STS(Security Token Service) → 임시 보안 자격 증명 제공
• Federation
  • 회사 AD(Active Directory)나 외부 IdP와 연동 → AWS 리소스 접근 위임
  • SAML 2.0, OIDC 기반 싱글사인온(SSO) 활용

---

🚫 잘못된 접근

• 앱 코드에 하드코딩된 AWS 키 ❌
• 대신 사용해야 하는 방법:
  • IAM Role + Instance Profile (EC2, Lambda 등)
  • AWS SDK + IAM Role 자동 인증
  • AWS Secrets Manager / SSM Parameter Store

---

📊 추적 & 모니터링 (Traceability)

• 누가, 무엇이, 언제, 어디서 접근했는지 기록/추적 필수
• 관련 서비스:
  • AWS CloudTrail (API 호출 기록)
  • AWS Config (리소스 변경 추적)
  • Amazon CloudWatch (로그/메트릭)
  • GuardDuty, Security Hub, Inspector, Macie (위협 탐지 & 보안 분석)

---

🏛 멀티 계정 관리

• AWS Organizations → 다계정 구조 관리
• Service Control Policies(SCP) → 계정 단위 권한 제한
• AWS Control Tower → 계정 생성·거버넌스 자동화

---

📌 정리

• IAM = 글로벌 서비스, Root User는 반드시 보호(MFA 필수, 사용 지양)
• 사용자 접근: Users / Groups / Roles 조합 + 최소 권한 원칙
• 권한 부여: Identity-based Policy vs Resource-based Policy 구분
• 외부 사용자 접근: Federation + STS
• 애플리케이션 접근: 절대 키 하드코딩 금지 → Role/Secrets Manager 활용
• 추적성(Traceability) 확보: CloudTrail, Config, GuardDuty 등
• 멀티 계정 전략: Organizations + SCP + Control Tower