보안이야기

[AWS] KMS symmetric key import

0. 개요 KMS 키의 메타데이터에는 데이터를 암호화하고 해독하는 데 사용되는 키 자료의 ID가 포함됩니다. KMS 키를 생성할 때 기본적으로 AWS KMS는 해당 KMS 키에 대한 키 자료를 생성합니다. 그러나 키 자료 없이 KMS 키를 생성한 다음 자체 키 자료를 해당 KMS 키로 가져와 사용할 수 있습니다. CLI를 통해서 KMS key 생성 및 가져오기를 보여드리도록 하겠습니다. 1. 키 자료 없이 KMS 키 생성 aws kms create-key --origin EXTERNAL 2. 256 비트 대칭 키 생성 openssl rand -out PlaintextKeyMaterial.bin 32 3. wrapping public key and import token 가져오기 export KEY=`aw..

[AWS] Springboot에 Secrets Manager 연동하기

0. 개요 AWS EC2에 JAVA Spring Boot를 구축 후 AWS Secrets Manager에 저장된 값을 불러오는 방안을 알아보겠습니다. 해당 값을 사용하여 DB에 연결하는 등 다양한 용도로 사용할 수 있습니다. 1. 인스턴스 실행 후 Spring Boot 구축 인스턴스와 Spring Boot는 설치되어 있다고 가정하겠습니다. 2. 의존성 파일 추가 pom.xml에 의존성 파일을 추가합니다. com.amazonaws.secretsmanager aws-secretsmanager-jdbc 1.0.8 3. Secrets Manager를 불러오기 위한 설정 application.yaml에 config 설정 cloud: aws: secretsmanager: endpoint: secretsmanager..

[AWS] Secrets Manager를 사용한 IAM Access keys 자동 교체

0. 개요 AWS 장기 자격 증명으로 액세스키를 사용할 수 있습니다. 액세스키를 사용하는것을 권장하지 않으나, 사용자 환경에 따라 불가피하게 사용이 필요한 경우가 있을 것으로 생각됩니다. 자격증명을 위하여 코드 단에 액세스키를 하드코딩 하지 않고, Secrets Manager에 액세스키를 저장하여 API 호출로 자격증명을 할 뿐 아니라 일정 기간이 지나면 액세스키를 교체하는 방안을 소개하겠습니다. 1. 액세스 키 생성 액세스 키는 생성되어 있으시다고 가정하겠습니다. 액세스 키 생성 관련해서는 다음 문서를 참고해주세요. IAM 사용자의 액세스 키 관리 - https://docs.aws.amazon.com/ko_kr/IAM/latest/UserGuide/id_credentials_access-keys.htm..

[AWS] AWS SSO SAML with Azure (AWS IAM Identity Center)

1. AWS Identity Center 구성 1) IAM Identity Center -> 설정 -> 자격 증명 소스 -> 작업 -> 자격 증명 소스 변경 -> 외부 자격 증명 공급자 2) 메타데이터 파일을 다운로드하여 2-3)에 Azure에 업로드 한다. -> 2. Azure 구성 먼저 진행 3) IdP SAML 메타데이터 업로드 -> 자격 증명 소스 변경 4) IdP 사용자 SSO로 동기화 2-4) 참조 5) IdP에서 생성 후 프로비저닝 된 사용자가 SSO 사용자에 정상적으로 등록된지 확인 후 로그인 시도 2. Microsoft Azure 구성 1) Azure portal -> Azure Active Directory -> 엔터프라이즈 애플리케이션 -> 새로운 애플리케이션 -> AWS IAM Id..

[AWS] Secrets Manager 강제 삭제

AWS Secrets Manager를 사용하면 DB credential, API key 등 다양한 암호를 자동으로 rotation이 가능하고 소스코드 단에 하드코딩을 하지 않아도 된다는 이유로 사용하실 수 있습니다. 하지만 잘못된 Secrets를 생성하게 되면, Secrets Manager는 보안 암호를 삭제하기 전에 7일~30일의 대기 기간을 요구합니다. 이를 AWS CLI를 사용하여 즉시 삭제가 가능합니다. 즉시 삭제하게되면 secrets을 복구할 수 없기에 신중한 작업이 필요합니다. 콘솔에서 삭제하려면 최소 7일을 대기해야 하는 것을 확인할 수 있습니다. 콘솔에서 삭제 예약을 하면 예약 기간동안 삭제 취소가 가능합니다. $ aws secretsmanager delete-secret --secret-..

[AWS] EC2 인스턴스 Tag-based 관리 방법 - 2

인스턴스를 운영하면서 특정 IAM user에게만 인스턴스를 제어하거나 multi-account 환경일 경우 특정 account에서는 인스턴스 작업을 하지 못하게 하는 방안에 대해 고려하고 있는 사용자들이 많을 것이라고 생각이 됩니다. IAM 사용자에게 EC2 리소스를 사용할 수 있는 권한을 부여하는 IAM 정책을 생성할 때 정책의 Condition 요소에 태그 정보를 포함하여 태그를 기반으로 액세스를 제어할 수 있습니다. 이를 속성 기반 액세스 제어(ABAC)라고 합니다. IAM Condition을 사용한 몇 가지 사례를 소개해 드리도록 하겠습니다. Exam 1. 특정 IAM user가 "Env" Key를 보유하고 있을 경우에만 인스턴스 Start / Stop 가능하게 하기 https://ehdtn121..

[AWS] EC2 인스턴스 Tag-based 관리 방법 - 1

인스턴스를 운영하면서 특정 IAM user에게만 인스턴스를 제어하거나 multi-account 환경일 경우 특정 account에서는 인스턴스 작업을 하지 못하게 하는 방안에 대해 고려하고 있는 사용자들이 많을 것이라고 생각이 됩니다. IAM 사용자에게 EC2 리소스를 사용할 수 있는 권한을 부여하는 IAM 정책을 생성할 때 정책의 Condition 요소에 태그 정보를 포함하여 태그를 기반으로 액세스를 제어할 수 있습니다. 이를 속성 기반 액세스 제어(ABAC)라고 합니다. IAM Condition을 사용한 몇 가지 사례를 소개해 드리도록 하겠습니다. Exam 1. 특정 IAM user가 "Env" Key를 보유하고 있을 경우에만 인스턴스 Start / Stop 가능하게 하기 Step 1) Policy 생..

[AWS] Cognito Userpool 생성

Amazon Cognito는 웹 및 모바일 앱에 대한 인증, 권한 부여 및 사용자 관리를 제공합니다. 사용자는 사용자 이름과 암호를 사용하여 직접 로그인하거나 Facebook, Amazon, Google 또는 Apple 같은 타사를 통해 로그인할 수 있습니다. Amazon Cognito의 두 가지 주요 구성 요소는 사용자 풀과 자격 증명 풀입니다. 사용자 풀은 앱 사용자의 가입 및 로그인 옵션을 제공하는 사용자 디렉터리입니다. 자격 증명 풀을 통해 사용자에게 기타 AWS 서비스에 액세스할 수 있는 권한을 부여할 수 있습니다. 1. Cognito Console 2. Userpool 생성 3. Attribute 선택 참고 사항: Attribute를 선택 후에는 Userpool 생성 후 변경이 불가능하므로 주..

[AWS] EC2에 도메인 연결하기(가비아 도메인)

안녕하세요. 인스턴스에 도메인 연결하는 방법을 알아보겠습니다. 우선 AWS Instance를 Launch를 하였다면, 가비아에서 도메인을 구매해보겠습니다. https://domain.gabia.com/regist/ngtld_regist_step1.php 가비아 - 대한민국 도메인 1위, 도메인 검색 TLD 선택 검색 원하는 tld를 입력하세요. TLD 선택 검색 원하는 tld를 입력하세요. 등록 가능 domain.gabia.com 저는 .site 도메인을 이벤트 가로 1년 2천원에 구매하였습니다. 도메인을 구매하셨다면, 관리페이지로 이동하여 가비아 네임서버를 AWS에 적용해보겠습니다. AWS Route53에 들어와서 호스팅영역을 생성해줍니다. 이후, 레코드를 NS, A 레코드를 생성해주겠습니다. NS 레..

[AWS] IAM(Identity and Access Management) 이란

안녕하세요. AWS IAM(Identity and Access Management)에 대해서 알아보도록 하겠습니다. IAM(Identity and Access Management) 란? AWS Identity and Access Management(IAM)은 AWS 리소스에 대한 액세스를 안전하게 제어할 수 있는 웹 서비스입니다. IAM을 사용하여 리소스를 사용하도록 인증(로그인) 및 권한 부여(권한 있음)된 대상을 제어합니다. AWS 계정을 처음 생성할 때는 해당 계정의 모든 AWS 서비스 및 리소스에 대한 완전한 액세스 권한을 지닌 통합 인증(SSO) 자격 증명으로 시작할 수 있습니다. 이 자격 증명은 AWS 계정 루트 사용자라고 하며, 계정을 생성할 때 사용한 이메일 주소와 암호로 로그인하여 액세스..