클라우드 관리체계 보안 취약점 평가기준 (퍼블릭 클라우드) / 6. 접근통제 / 6.1 계정 및 권한 관리

PISM-043API 자격 증명의 정기적 갱신 이행 여부

위험도 3 기술적 보안 IAM 평가 구분: 스크립트

API 자격 증명이 유출된 경우 악용될 위험을 줄이기 위해 API 자격 증명의 정기적 갱신 정책을 수립하고 이행 여부를 점검합니다.

1. 점검 대상 확인

2. CLI 진단

3. 양호/취약 판정

4. 조치 · 재확인

방법 1AWS Management Console 경로

IAM → 사용자 → 사용자 목록의 활성 키 수명 컬럼 확인 (안 보이면 우측 상단 설정에서 활성화)

콘솔은 화면이 자주 바뀝니다. 실제 점검에서는 아래 CLI(방법 2) 로 증적을 남기는 편이 재현성이 높습니다.

방법 2AWS CLI 진단

아래 명령을 눌러 실행하거나, 직접 입력해 보세요. 응답은 실제 AWS CLI 출력 형식을 따릅니다.

$ aws sts get-caller-identity { "UserId": "AIDA4XQ7N2VZK3RJTPLWE", "Account": "382011749265", "Arn": "arn:aws:iam::382011749265:user/audit-readonly" } 진단 계정으로 로그인되었습니다. 아래 명령을 실행해 점검을 시작하세요.

판정이 환경은 양호합니까, 취약합니까?

평가기준의 판단 근거는 명령 출력입니다. 먼저 위에서 명령을 실행해 출력을 확인하세요.

🛠️ 조치 방법

키를 교체하되 무중단 절차를 지킵니다. 그리고 다음부터는 사람이 기억하지 않아도 되도록 AWS Config 규칙으로 자동 탐지합니다.

# 1) 무중단 교체 — 새 키 발급 → 앱 전환 → 구 키 비활성화 → 삭제 $ aws iam create-access-key --user-name fin-batch-svc # → 새 키를 Secrets Manager 에 저장하고 앱이 참조하도록 전환 $ aws iam update-access-key --user-name fin-batch-svc \ --access-key-id AKIA4XQ7N2VZL9WFHC26 --status Inactive # (관찰 후) $ aws iam delete-access-key --user-name fin-batch-svc \ --access-key-id AKIA4XQ7N2VZL9WFHC26 # 2) 자동 탐지 — 90일 초과 키를 규정 위반으로 표시 $ aws configservice put-config-rule --config-rule '{ "ConfigRuleName": "access-keys-rotated-90", "Source": {"Owner": "AWS", "SourceIdentifier": "ACCESS_KEYS_ROTATED"}, "InputParameters": "{\"maxAccessKeyAge\":\"90\"}" }' # 3) 자동 조치 — 위반 시 자동 비활성화 (선택) $ aws configservice put-remediation-configurations --remediation-configurations '[{ "ConfigRuleName":"access-keys-rotated-90", "TargetType":"SSM_DOCUMENT", "TargetId":"AWSConfigRemediation-RevokeUnusedIAMUserCredentials", "Automatic": false }]'

📐 IaC 로 고정하기

콘솔에서 한 번 고쳐도 다음 배포에서 되돌아갑니다. 코드로 고정해야 재발하지 않습니다.

resource "aws_config_config_rule" "access_keys_rotated" { name = "access-keys-rotated-90" source { owner = "AWS" source_identifier = "ACCESS_KEYS_ROTATED" } input_parameters = jsonencode({ maxAccessKeyAge = "90" }) } # 더 나은 답 — 키 자체를 없애고 임시 자격증명으로 resource "aws_iam_role" "batch" { max_session_duration = 3600 # STS 임시 자격증명은 1시간 후 자동 만료 }

주의 — 자격증명 보고서의 last_rotated 는 키 생성일이지 "교체 이벤트" 기록이 아닙니다. 키를 지우고 새로 만들면 갱신으로 보이지만, 구 키를 지우지 않으면 PISM-042(다중 보유) 위반이 됩니다 — 두 항목은 세트로 봐야 합니다. 그리고 자동 조치(remediation)를 Automatic: true 로 걸 때는 운영 배치가 한밤중에 죽을 수 있다는 점을 반드시 검토하세요.

📋 평가항목 정보

평가항목 ID	PISM-043
구분	기술적 보안
통제분야	6. 접근통제
통제구분(대)	6.1 계정 및 권한 관리
평가항목	API 자격 증명의 정기적 갱신 이행 여부
위험도	3
평가 구분 (AWS)	스크립트
상세설명	API 자격 증명이 유출된 경우 악용될 위험을 줄이기 위해 API 자격 증명의 정기적 갱신 정책을 수립하고 이행 여부를 점검합니다.

📎 확인 자료 (증적)

자격증명 보고서의 last_rotated 컬럼 (전 계정)
갱신 주기 정책 문서 (기준일 수·대상·책임자)
AWS Config ACCESS_KEYS_ROTATED 규칙 및 준수 상태
교체 수행 기록 (신규 발급 → 전환 → 구 키 삭제)

평가에서는 화면 캡처보다 CLI 출력이 강한 증적입니다. 명령·실행시각·계정 ARN 이 함께 남기 때문입니다. 위 진단 탭의 출력을 그대로 보고서에 붙이면 됩니다.

🏦 금융 관점

전자금융감독규정은 비밀번호 등 인증정보의 주기적 변경을 요구합니다. API 자격증명도 같은 성격이지만 사람이 쓰지 않아 잊히기 쉽습니다. 금융권 클라우드 평가에서는 "정책이 있는가"보다 "실제 키 수명이 얼마인가"를 숫자로 확인하므로, 자동 점검 체계 없이는 통과하기 어렵습니다.

「클라우드 관리체계 보안 취약점 평가기준(퍼블릭 클라우드)」의 평가항목을 교육용으로 재구성한 시뮬레이터입니다. 계정 ID·ARN·리소스 ID 는 형식만 실제와 같게 만든 가상 값이며, 어떤 AWS 환경에도 접속하지 않습니다. 실제 평가에서는 기관의 최신 평가기준 원문과 AWS 공식 문서를 따르십시오.