AWS IAM 대시보드와 계정 비밀번호 정책 읽고 보안 상태 점검하기

새 AWS 계정을 넘겨받거나 점검할 때 가장 먼저 열어 볼 곳이 IAM 대시보드와 계정 설정입니다. 이 글은 조회만 하는 실습입니다. 아무것도 만들거나 저장하지 않고, 화면에서 읽을 수 있는 것과 읽을 수 없는 것을 구분합니다.

준비물

화면의 계정 ID, 계정 별칭, 로그인 URL, 사용자 이름은 가렸습니다.

1. IAM 대시보드의 보안 권장 사항 읽기

콘솔 위쪽 검색창에서 IAM을 찾아 연 뒤 왼쪽 메뉴의 대시보드(Dashboard)를 엽니다. 화면의 암호 정책은 이 글에서 같은 뜻으로 비밀번호 정책이라고 부릅니다.

보안 권장 사항에는 세 가지가 보였습니다. 제목 옆의 빨간 숫자 1은 경고 항목 수로 보이며 노란 경고 하나와 일치합니다(추정).

• 루트 사용자에게 MFA가 있음(초록 확인 표시)
• 직접 MFA 추가(노란 경고 표시와 MFA 추가 단추). 지금 로그인한 IAM 사용자에게 MFA가 없다는 뜻으로 읽었습니다.
• 현재 사용자에게 1년 이상 사용하지 않은 활성 액세스 키가 없음

이 칸은 지금 로그인한 사용자 기준 항목이 섞여 있으니, 계정 전체의 MFA 현황으로 읽으면 안 됩니다. 계정의 모든 사용자가 MFA를 쓰는지는 이 칸이 아니라 IAM 사용자 목록의 MFA 열이나 보안 인증 보고서에서 봅니다. 이 글에서는 사용자 목록 화면은 열어 보지 않았습니다.

아래 IAM 리소스 칸에는 이 계정의 개수가 나옵니다. 이 실습 계정은 사용자 그룹 0, 사용자 17, 역할 40, 정책 1, ID 공급업체 1이었습니다.

2. 계정 설정에서 비밀번호 정책 읽기

왼쪽 메뉴의 계정 설정(Account settings)을 엽니다. 맨 위 암호 정책 칸에 현재 적용 중인 규칙이 있습니다.

이 계정은 IAM 기본 정책을 쓰고 있었습니다. 읽은 내용은 다음과 같습니다.

최소 길이 8자는 짧은 편입니다. 만료 여부와 어느 수준이 적절한지는 조직의 보안 기준에 따릅니다(NIST SP 800-63B는 주기적인 강제 변경을 권장하지 않습니다).

암호 정책 칸 아래에는 Role Manager 칸과 멤버 계정에 대한 중앙 집중식 루트 액세스 칸이 있고, 각각 활성화 단추가 보입니다. 별도 기능이라 이 글에서는 누르지 않았습니다. 이 실습 계정의 Role Manager 칸에는 조직의 서비스 제어 정책 때문에 사용하지 못할 수 있다는 안내가 표시됐습니다.

3. 사용자 지정 요건 항목 살펴보기(저장 안 함)

암호 정책 칸의 편집을 누르면 편집 화면이 열립니다. 사용자 지정을 선택하면 설정할 수 있는 항목이 나타납니다. 이 글에서는 확인만 하고 취소로 나왔습니다.

사용자 지정에서 고를 수 있는 항목은 다음과 같았습니다.

• 최소 길이: 6자에서 128자 사이
• 암호 강도: 대문자, 소문자, 숫자, 특수문자(! @ # $ % ^ & * ( ) _ + - = [ ] { } | ') 중 필수로 요구할 것
• 기타 요구 사항: 암호 만료 활성화, 만료 시 관리자 재설정 필요, 사용자 자신의 암호 변경 허용, 암호 재사용 제한

이 화면의 사용자 지정에는 확인란이 모두 비어 있는 상태가 보였습니다. 기본값에 있던 "세 종류 이상 포함" 규칙은 사용자 지정 화면에 같은 형태로 보이지 않았습니다. 따라서 사용자 지정으로 바꿀 때는 필요한 항목을 직접 모두 체크했는지 확인합니다. 특히 사용자 자신의 암호 변경 허용을 비워 두면 IAM 사용자가 자기 비밀번호를 바꾸지 못할 수 있습니다. 저장은 시험하지 않았으며, 이 설명은 화면과 AWS 문서(UpdateAccountPasswordPolicy)를 근거로 한 것입니다.

4. 보안 인증 보고서

왼쪽 메뉴 보안 인증 보고서(Credential report)에서는 루트 사용자를 포함한 계정의 모든 사용자의 비밀번호, 액세스 키, MFA 상태를 CSV로 내려받을 수 있습니다.

화면에는 보고서가 생성되면 최대 4시간 동안 저장된다고 적혀 있고, 이 실습 시점에는 지난 4시간 안에 만들어진 보고서가 없다고 표시됐습니다. 이 글에서는 보고서를 만들거나 내려받지 않았습니다. 화면에 새 보고서가 생성됩니다라고 적혀 있으므로, 다운로드 단추를 처음 누르면 보고서가 생성됩니다. 이 글의 변경 사항 "없음"은 이 글의 단계에만 해당합니다. 보고서에는 모든 사용자의 이름이 들어 있어서, 내려받은 파일은 공유하지 않고 점검 후 지우는 것이 좋습니다.

자주 막히는 곳

• 대시보드의 MFA 경고를 계정 전체 상태로 읽기: 현재 사용자 기준 항목입니다. 전체 현황은 사용자 목록이나 보안 인증 보고서에서 확인합니다.
• 편집 화면에서 저장하기: 이 글의 목적은 읽기입니다. 값을 바꿀 생각이 없으면 취소로 나옵니다.
• 권한 부족: 권한이 부족하면 계정 설정이나 보고서 화면이 열리지 않을 수 있습니다. 관리자에게 IAM 조회 권한을 요청합니다.

이어서 해 볼 것

• 보안 인증 보고서를 내려받아 비밀번호 사용 여부와 마지막 사용 시각, MFA 활성 여부 열을 읽기
• 조직 기준에 맞춰 사용자 지정 비밀번호 정책을 만들고 사용자 한 명으로 로그인 시험하기
• CloudTrail 이벤트 기록 글에서 비밀번호 정책을 바꿨을 때 남는 이벤트 찾아보기

확인한 범위와 확인하지 않은 것

• 확인한 것: IAM 대시보드의 보안 권장 사항과 리소스 개수, 기본 비밀번호 정책의 값, 사용자 지정 편집 화면의 항목, 보안 인증 보고서 화면.
• 확인하지 않은 것: 사용자 목록의 MFA 열, 보안 인증 보고서의 내용, 비밀번호 정책을 저장했을 때의 동작. 화면의 숫자와 문구는 이 실습 시점의 것이며 계정마다 다릅니다.