[AWS SAA-C03] - Domain 1 Review_ 2.Design Secure Workloads and Applications

🛡️ Domain 1-2: Design Secure Workloads and Applications

✨ 핵심 주제

• 사람, 도구, 애플리케이션이 안전하게 AWS 서비스에 접근하도록 설계
• VPC 보안 아키텍처 및 네트워크 계층 보안이 중심

---

🌐 Amazon VPC Fundamentals

• VPC 유형: Default VPC vs Custom VPC (초기 보안 설정 다름)
• VPC 범위: Regional 서비스
• Subnet: AZ 단위(= Zonal 서비스)
• 구성 요소
  • Security Group (SG): 인스턴스 단위 가상 방화벽
  • NACL (Network ACL): 서브넷 단위 네트워크 필터
  • Route Table: 트래픽 라우팅 제어
  • NAT Gateway: 프라이빗 서브넷 → 아웃바운드 인터넷 액세스

네트워크 설계 고려사항

• Public Subnet ↔ Private Subnet 구분
• CIDR, 라우팅, 보안 필터 설계
• VPN, Direct Connect, Transit Gateway, VPC Peering, PrivateLink 활용

---

🔒 외부 연결 보안

• VPN 연결
  • Site-to-Site VPN
  • Client VPN
• Direct Connect: 전용선, 안정적·보안적 연결
• PrivateLink
  • 서비스 공유 시 인터넷 노출 없이 다른 VPC에서 접근 가능
  • VPC Peering보다 보안적이고 관리 효율적

---

📂 데이터 보안 & 개인 정보 (PII)

• Amazon Macie: ML 기반 S3 내 PII(개인정보) 탐지/보호
• Amazon Cognito: 인증·인가 (User Pool, Identity Pool, Federation)
• Amazon GuardDuty: 위협 탐지 서비스

---

🔑 애플리케이션 보안

• Secrets 관리
  • AWS Secrets Manager: 자동 Credential Rotation, Secret 저장
  • SSM Parameter Store: 설정값/비밀 관리 (Secrets Manager보다 단순)
• 방화벽 & 보호 서비스
  • AWS WAF: ALB, API Gateway, CloudFront에 적용 가능
  • AWS Shield:
    • Standard (무료, 기본 DDoS 보호)
    • Advanced (추가 DDoS 보호, SLA 보장)

---

🔐 기타 보안 서비스 통합

• IAM Identity Center (SSO)
• AWS Systems Manager Parameter Store
• Amazon CloudWatch & CloudTrail (추적/모니터링)

---

📌 시험 대비 핵심 체크

• VPC = Regional / Subnet = Zonal
• SG vs NACL 차이 (상태 저장 여부, 적용 단위)
• Private Subnet ↔ NAT GW ↔ 인터넷 아웃바운드 구조
• PrivateLink vs VPC Peering → 대규모 확장 시 PrivateLink 선택
• Macie → PII 보호
• Cognito → Federation & User Pool
• Secrets Manager vs Parameter Store 차이
• WAF 배포 가능한 리소스 기억 (ALB, API GW, CloudFront)
• Shield Standard vs Shield Advanced 차이

---

📊 시각화 다이어그램

 

flowchart TD A[Secure Workloads & Applications] A --> B[VPC Security] B --> B1[Default vs Custom VPC] B --> B2[SG / NACL / Route Tables] B --> B3[Subnet (Public vs Private)] B --> B4[NAT GW, IGW] A --> C[Secure Connections] C --> C1[Site-to-Site VPN] C --> C2[Client VPN] C --> C3[Direct Connect] C --> C4[PrivateLink] A --> D[Data Security] D --> D1[Amazon Macie - PII] D --> D2[Encryption / Keys] D --> D3[Backup & DR] A --> E[App Security Services] E --> E1[Secrets Manager] E --> E2[Parameter Store] E --> E3[AWS WAF] E --> E4[AWS Shield] A --> F[Identity & Monitoring] F --> F1[Amazon Cognito] F --> F2[IAM Identity Center] F --> F3[GuardDuty] F --> F4[CloudWatch & CloudTrail]

---

✅ 정리

• VPC 보안 설계 능력이 핵심 (SG, NACL, 서브넷, NAT, PrivateLink)
• 데이터 보호 서비스 (Macie, Cognito, GuardDuty 등) 숙지
• 비밀 관리 차이점 (Secrets Manager vs Parameter Store)
• 네트워크 보안 (VPN, Direct Connect, PrivateLink 활용)
• WAF/Shield의 특징과 배포 가능한 서비스 구분