[AWS] IAM 사용자, 그룹 보안 | MFA 알아보기

IAM으로 사용자와 그룹을 만들어서 관리를 할 때, 보안을 신경써야한다.

IAM 사용자와 그룹을 보호하기 위한 방법에는 두가지가 있다.

 

1. 비밀번호 정책

여러 옵션들로 비밀번호 정책을 설정할 수 있다.

• 비밀번호 최소길이
• 비밀번호 타입 설정(대문자, 소문자, 특수문자 포함 등)
• IAM 사용자가 비밀번호를 변경할 수 있도록 허용
• 비밀번호 만료기간 설정
• 이전에 사용했던 비밀번호 재사용 제한

 

2. MFA(Multi Factor Authentication) - 다중인증

AWS에서 필수이며 매우 권장하는 보안 매커니즘이다.

MFA는 비밀번호와 사용자가 소유한 보안장치와 조합하여 사용한다.

MFA로 다중인증 설정을 해두면, 해커에게 비밀번호를 도난 당하더라도 해커가 물리적장치를 가지고 있지 않기 때문에 계정에 접근 할 수 없다.

 

📌 MFA 장치 옵션

1) 가상MFA 장치

단일장치에서 여러 토큰을 지원함.

루트계정, IAM 사용자, 다른 계정, 다른 IAM 사용자를 가질 수 있다.

가장 많이 쓰인다.

 

2) UTF 보안키 (Universal 2nd Factor Security Key)

단일 보안키를 사용한다.

여러 루트 및 IAM 사용자를 지원한다.

그래서 사용자 수만큼 필요하지 않다.

다만, 콘솔 전용이다. CLI , API 에서 사용할 수 없다.

 

3) 하드웨어 MFA 장치

은행에서 OTP카드를 발급받아 사용해본 적이 있다면, 익숙한 비주얼일 것이다.

보안 수준이 높지만, 구매가 번거롭고 고장가능성이 있기때문에 잘 쓰이지는 않는다.

 

 

3. MFA 실습

✅ 오른쪽 상단에 계정명 클릭 → 보안 자격 증명 클릭

 

MFA에 대한 액세스 권한을 잃어버려서 계정에 락이 걸려버리는 경우도 있으니 주의하자.

ex) 휴대폰으로 MFA를 설정했는데 휴대폰을 잃어버리는 경우.

 

✅ MFA 할당 클릭

 

 

✅ 디바이스 이름을 원하는 것으로 할당 → 인증 관리자 앱 선택

 

이제 디바이스 설정을 해야하는데, 인증 관리자 앱이 없다면 설치해야한다.

인증앱이 없어서 Twilio Authy를 설치했다.

Twilio Authy로 SMS 인증을 하고 백업키를 설정한다.

디바이스 설정 설명대로 잘 따라하면 된다.

 

✅  'MFA 추가' 버튼 클릭

MFA 디바이스 할당이 끝났다.

안내문구를 보면 8개까지 장치를 등록할 수 있다고 나온다.

 

이제 로그아웃을 하고 다시 로그인을 해보자.

이전에는 비밀번호만으로 로그인을 했는데, 이제 비밀번호 인증 후 MFA code를 입력하라는 창이 뜬다.

인증관리앱에 뜬 코드를 입력하면 된다.