액세스 키 교체, 유출을 가정한 운영

사용처를 모르면 교체가 장애가 됩니다

열쇠 교체가 장애로 이어지는 이유는 거의 같습니다. 그 열쇠를 어디서 쓰는지 몰라서 일부를 바꾸지 못한 채 예전 열쇠를 지우는 것입니다. 그래서 교체의 첫 작업은 사용처 조사입니다. 조사 방법은 두 가지를 함께 씁니다. 첫째, 열쇠의 최근 사용 기록을 확인해 어떤 서비스에서 언제 쓰였는지 봅니다. 둘째, 코드와 설정 저장소를 열쇠 식별자로 검색합니다. 두 방법을 함께 쓰는 이유는 기록에는 나오지만 코드에 없는 경우와 그 반대 경우가 모두 있기 때문입니다. 조사가 끝나면 사용처 목록을 만들고 각 항목의 담당자를 적습니다.

두 열쇠를 겹쳐 두고 바꿉니다

무중단 교체의 핵심은 새 열쇠와 예전 열쇠가 동시에 유효한 기간을 두는 것입니다. 순서는 이렇습니다. 1단계로 새 열쇠를 만듭니다. 2단계로 사용처를 하나씩 새 열쇠로 바꾸고 동작을 확인합니다. 3단계로 목록의 모든 항목이 끝났는지 대조합니다. 4단계로 예전 열쇠를 비활성화합니다. 5단계로 며칠 동안 오류가 없는지 확인한 뒤 삭제합니다. 4단계와 5단계를 나누는 이유는 비활성화는 되돌릴 수 있지만 삭제는 되돌릴 수 없기 때문입니다. 비활성화 뒤에 오류가 나면 바로 되살려 원인을 찾을 시간을 벌 수 있습니다.

교체 작업량을 계산합니다

학습용 가정으로 계산합니다. 가정값은 교체할 열쇠가 8개이고, 사용처 조사에 열쇠당 20분, 교체와 확인에 열쇠당 10분이 든다고 두겠습니다. 조사는 160분, 교체는 80분이므로 합계 240분입니다. 내부 시간 비용을 시간당 30,000원으로 가정하면 120,000원입니다. 이것이 중간 계산값입니다. 최종 판단은 반복 비용으로 합니다. 이 작업이 분기마다 반복되면 연 480,000원이고, 역할 기반 자격 증명으로 옮길 수 있는 사용처가 많다면 그만큼 이 금액이 줄어듭니다. 그래서 교체 작업 중에 각 사용처가 역할로 전환 가능한지 함께 표시합니다.

유출이 확인되면 순서가 바뀝니다

결론을 뒤집는 조건은 유출입니다. 열쇠가 공개된 저장소나 로그에 노출된 것이 확인되면 무중단 교체를 기다릴 수 없습니다. 이때는 순서를 뒤집어 먼저 비활성화하고 그다음에 사용처를 복구합니다. 서비스 중단이 생기지만, 노출된 열쇠가 유효한 시간을 줄이는 것이 우선입니다. 그래서 사고 대응 절차에는 평시 교체 절차와 유출 대응 절차를 따로 적습니다. 두 번째 조건은 저장소 이력입니다. 열쇠를 지웠더라도 과거 이력에 남아 있으면 계속 노출된 상태이므로, 이력 정리와 교체를 함께 수행해야 합니다. 점검 항목에 이력 확인을 넣습니다.

서버 운영 실행 전 점검표

• 사용 기록과 저장소 검색으로 사용처 목록을 만들었다
• 새 열쇠와 예전 열쇠를 겹쳐 둔 상태로 교체했다
• 비활성화와 삭제를 나누어 수행했다
• 유출 대응 절차를 평시 절차와 따로 적었다