클라우드 관리체계 보안 취약점 평가기준 (퍼블릭 클라우드) / 6. 접근통제 / 6.1 계정 및 권한 관리

PISM-042API 자격 증명 다중 발급 방지 여부

위험도 3 기술적 보안 IAM 평가 구분: 스크립트

API 자격 증명(AWS Access Key 등)을 안전하게 관리하기 위해 API 자격 증명을 다중 보유한 식별자(계정, 애플리케이션 등) 존재 유무를 점검합니다.

1. 점검 대상 확인

2. CLI 진단

3. 양호/취약 판정

4. 조치 · 재확인

방법 1AWS Management Console 경로

IAM → 사용자 → 사용자 목록의 액세스 키 ID 컬럼 확인 (안 보이면 우측 상단 설정에서 활성화)

콘솔은 화면이 자주 바뀝니다. 실제 점검에서는 아래 CLI(방법 2) 로 증적을 남기는 편이 재현성이 높습니다.

방법 2AWS CLI 진단

아래 명령을 눌러 실행하거나, 직접 입력해 보세요. 응답은 실제 AWS CLI 출력 형식을 따릅니다.

$ aws sts get-caller-identity { "UserId": "AIDA4XQ7N2VZK3RJTPLWE", "Account": "382011749265", "Arn": "arn:aws:iam::382011749265:user/audit-readonly" } 진단 계정으로 로그인되었습니다. 아래 명령을 실행해 점검을 시작하세요.

판정이 환경은 양호합니까, 취약합니까?

평가기준의 판단 근거는 명령 출력입니다. 먼저 위에서 명령을 실행해 출력을 확인하세요.

🛠️ 조치 방법

미사용 키를 비활성화한 뒤 삭제합니다. 곧바로 지우지 않고 비활성화 단계를 두는 이유는, 저빈도 배치가 그 키를 쓰고 있을 가능성 때문입니다.

# 1) 미사용 키 비활성화 (되돌리기 쉬움) $ aws iam update-access-key --user-name fin-batch-svc \ --access-key-id AKIA4XQ7N2VZP3MDQ8RT --status Inactive # 2) 2~4주 관찰 후 삭제 $ aws iam delete-access-key --user-name fin-batch-svc \ --access-key-id AKIA4XQ7N2VZP3MDQ8RT # 3) 근본 해결 — 서비스 계정의 키를 없앤다 # EC2 배치라면 인스턴스 프로파일, EKS 라면 IRSA, 외부 CI 라면 OIDC 페더레이션 $ aws iam create-open-id-connect-provider \ --url https://token.actions.githubusercontent.com \ --client-id-list sts.amazonaws.com \ --thumbprint-list 6938fd4d98bab03faadb97b34396831e3780aea1 # → GitHub Actions 가 장기 키 없이 역할을 맡는다

📐 IaC 로 고정하기

콘솔에서 한 번 고쳐도 다음 배포에서 되돌아갑니다. 코드로 고정해야 재발하지 않습니다.

# 가장 좋은 조치는 "키를 만들지 않는 것"이다. resource "aws_iam_role" "github_deploy" { assume_role_policy = jsonencode({ Version = "2012-10-17" Statement = [{ Effect = "Allow" Principal = { Federated = aws_iam_openid_connect_provider.github.arn } Action = "sts:AssumeRoleWithWebIdentity" Condition = { StringEquals = { "token.actions.githubusercontent.com:sub" = "repo:fin-org/core:ref:refs/heads/main" } } }] }) } # 장기 키 생성 자체를 조직에서 금지 — SCP # Deny iam:CreateAccessKey (예외: 승인된 몇 개 계정만)

주의 — get-access-key-last-used 의 LastUsedDate 가 비어 있다고 해서 안 쓰는 키가 아닙니다. AWS 는 2015년 이후 사용분만 기록하고, 일부 서비스는 기록이 지연됩니다. 그리고 키를 지우기 전에 CloudTrail 로 최근 90일 호출을 교차 확인하세요. 분기·연말 배치가 쓰는 키를 지워 결산이 멈추는 사고가 실제로 자주 납니다.

📋 평가항목 정보

평가항목 ID	PISM-042
구분	기술적 보안
통제분야	6. 접근통제
통제구분(대)	6.1 계정 및 권한 관리
평가항목	API 자격 증명 다중 발급 방지 여부
위험도	3
평가 구분 (AWS)	스크립트
상세설명	API 자격 증명(AWS Access Key 등)을 안전하게 관리하기 위해 API 자격 증명을 다중 보유한 식별자(계정, 애플리케이션 등) 존재 유무를 점검합니다.

📎 확인 자료 (증적)

자격증명 보고서의 access_key_1_active · access_key_2_active 컬럼
다중 보유 계정별 list-access-keys 출력 (생성일)
키별 get-access-key-last-used 결과
비활성화·삭제 조치 내역 및 관찰 기간
장기 키를 역할·OIDC 로 대체한 전환 내역

평가에서는 화면 캡처보다 CLI 출력이 강한 증적입니다. 명령·실행시각·계정 ARN 이 함께 남기 때문입니다. 위 진단 탭의 출력을 그대로 보고서에 붙이면 됩니다.

🏦 금융 관점

액세스 키는 만료되지 않는 자격증명입니다. 금융권의 접근통제 원칙은 "필요한 사람에게, 필요한 기간만"인데 장기 키는 그 반대입니다. 다중 보유는 교체 절차가 완결되지 않았다는 신호이며, 방치된 키가 소스코드·설정 파일에 남아 유출되는 것이 실제 사고의 주된 경로입니다.

「클라우드 관리체계 보안 취약점 평가기준(퍼블릭 클라우드)」의 평가항목을 교육용으로 재구성한 시뮬레이터입니다. 계정 ID·ARN·리소스 ID 는 형식만 실제와 같게 만든 가상 값이며, 어떤 AWS 환경에도 접속하지 않습니다. 실제 평가에서는 기관의 최신 평가기준 원문과 AWS 공식 문서를 따르십시오.