📄 2025.12.03 (Day 28) [AWS 클라우드 기초: AWS 개요, 계정 관리, IAM 서비스]

1. 핵심 개념 정리 (Concepts & Theory)

2. 실습 코드 & 응용 (Practice & Code Walkthrough)

(A) AWS CLI 기본 사용법

AWS CLI 설치 및 구성:

# AWS CLI 버전 확인
aws --version

# AWS CLI 설정 (Access Key ID, Secret Access Key, 리전 입력)
aws configure
# AWS Access Key ID [None]: AKIAIOSFODNN7EXAMPLE
# AWS Secret Access Key [None]: wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
# Default region name [None]: ap-northeast-2
# Default output format [None]: json

# 현재 자격 증명 확인
aws sts get-caller-identity
# Output:
# {
#     "UserId": "AIDACKCEVSQ6C2EXAMPLE",
#     "Account": "123456789012",
#     "Arn": "arn:aws:iam::123456789012:user/developer"
# }

# 설정 파일 위치
~/.aws/credentials   # Access Key 저장
~/.aws/config        # 리전 및 출력 형식 저장

S3 기본 명령어:

# S3 버킷 목록 조회
aws s3 ls

# S3 버킷 생성
aws s3 mb s3://my-unique-bucket-name-20241203 --region ap-northeast-2

# 버킷에 파일 업로드
aws s3 cp test.txt s3://my-unique-bucket-name-20241203/

# 버킷 내 파일 목록 조회
aws s3 ls s3://my-unique-bucket-name-20241203/

# 파일 다운로드
aws s3 cp s3://my-unique-bucket-name-20241203/test.txt ./downloaded.txt

# 버킷 동기화 (로컬 디렉토리 → S3)
aws s3 sync ./local-folder s3://my-unique-bucket-name-20241203/backup/

# 버킷 삭제 (비어있어야 함)
aws s3 rb s3://my-unique-bucket-name-20241203

# 버킷 강제 삭제 (파일 포함)
aws s3 rb s3://my-unique-bucket-name-20241203 --force

EC2 기본 명령어:

# EC2 인스턴스 목록 조회
aws ec2 describe-instances

# 특정 리전의 EC2 인스턴스 목록
aws ec2 describe-instances --region us-east-1

# 실행 중인 인스턴스만 필터링
aws ec2 describe-instances --filters "Name=instance-state-name,Values=running"

# 보안 그룹 목록 조회
aws ec2 describe-security-groups

(B) IAM 사용자 및 정책 생성 실습

1. IAM 사용자 생성 (Console):

1. AWS Management Console → IAM 서비스로 이동
2. 좌측 메뉴 “사용자(Users)” 클릭 → “사용자 추가(Add user)”
3. 사용자 세부 정보:
   • 사용자 이름: developer-john
   • AWS 액세스 유형: ☑ 프로그래밍 방식 액세스 (Access Key) ☑ AWS Management Console 액세스 (비밀번호)
4. 권한 설정:
   • 기존 정책 직접 연결: “AmazonS3ReadOnlyAccess”
5. 태그 추가 (선택사항):
   • Key: Department, Value: Engineering
6. 검토 및 생성
7. Access Key ID와 Secret Access Key 저장 (다시 볼 수 없음)

2. IAM 그룹 생성 및 사용자 추가:

1. IAM → 그룹(Groups) → “그룹 생성(Create group)”
2. 그룹 이름: Developers
3. 정책 연결:
   • AmazonEC2FullAccess
   • AmazonS3FullAccess
   • AmazonRDSReadOnlyAccess
4. 그룹 생성 완료
5. 사용자 → developer-john → 그룹 탭 → “그룹에 사용자 추가”

3. IAM 정책 JSON 예시:

S3 특정 버킷에 대한 읽기 권한:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"
      ],
      "Resource": "arn:aws:s3:::company-data"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": "arn:aws:s3:::company-data/*"
    }
  ]
}

EC2 인스턴스 시작/중지 권한 (특정 리전만):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:StartInstances",
        "ec2:StopInstances",
        "ec2:DescribeInstances"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestedRegion": "ap-northeast-2"
        }
      }
    }
  ]
}

시간 기반 액세스 제어:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:*",
      "Resource": "*",
      "Condition": {
        "DateGreaterThan": {"aws:CurrentTime": "2024-01-01T00:00:00Z"},
        "DateLessThan": {"aws:CurrentTime": "2024-12-31T23:59:59Z"}
      }
    }
  ]
}

4. IAM 역할 생성 (EC2 → S3 접근):

1. IAM → 역할(Roles) → “역할 만들기(Create role)”
2. 신뢰할 수 있는 엔터티 유형: AWS 서비스
3. 사용 사례: EC2
4. 권한 정책 연결: AmazonS3FullAccess
5. 역할 이름: EC2-S3-Access-Role
6. 역할 생성 완료

EC2 인스턴스에 역할 연결

7. EC2 콘솔 → 인스턴스 선택 → 작업 → 보안 → IAM 역할 수정
8. EC2-S3-Access-Role 선택 → 업데이트

EC2 인스턴스 내부에서 테스트

ssh ec2-user@ aws s3 ls # Access Key 없이 S3 접근 가능

(C) AWS Management Console 실습

S3 버킷 생성 및 파일 업로드:

1. AWS Console → S3 서비스로 이동
2. “버킷 만들기(Create bucket)” 클릭
3. 버킷 설정:
   • 버킷 이름: my-first-bucket-20241203 (전역적으로 고유한 이름 필요)
   • AWS 리전: 아시아 태평양(서울) ap-northeast-2
   • 퍼블릭 액세스 차단: ☑ 모든 퍼블릭 액세스 차단 (기본값)
   • 버킷 버전 관리: 비활성화 (선택사항)
   • 태그: Key=Environment, Value=Learning
4. 버킷 만들기 완료

버킷 정책으로 퍼블릭 읽기 허용 (주의: 보안 위험):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "PublicReadGetObject",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::my-first-bucket-20241203/*"
    }
  ]
}

(D) AWS Budgets 설정

예산 알림 설정 (과금 방지):

1. AWS Console → Billing and Cost Management
2. Budgets → “Create budget”
3. 예산 유형: Cost budget
4. 예산 설정:
   • 예산 이름: Monthly-Budget-10USD
   • 기간: Monthly
   • 예산 금액: $10.00
5. 알림 설정:
   • 임계값: Actual cost >= 80% of budgeted amount
   • 이메일: your-email@example.com
6. 예산 생성 완료

결과:

• 월 사용 비용이 $8 (80%) 초과 시 이메일 알림 발송

CloudWatch Billing Alarm (대체 방법):

1. CloudWatch 서비스로 이동 (us-east-1 리전 필수)
2. Alarms → “Create alarm”
3. 지표 선택: Billing → Total Estimated Charge
4. 조건: Greater/Equal than $10
5. 알림: SNS 주제 생성 → 이메일 추가
6. 알람 생성 완료

3. 실무/보안 관점 분석 (Insight & Scenario Mapping)

4. 개인 인사이트 및 다음 단계 (Reflection & Next Steps)

• 배운 점/느낀 점:

  • 클라우드의 패러다임 전환: 물리적 서버를 직접 구매하고 관리하던 On-Premise 환경과 달리, 클라우드는 “필요한 만큼, 필요한 때에” 리소스를 사용하는 완전히 다른 접근 방식임을 체감했습니다.
  • IAM의 중요성: AWS 보안의 핵심은 IAM임을 명확히 깨달았습니다. 루트 계정 노출, 과도한 권한 부여, Access Key 하드코딩 등 IAM 설정 실수가 대형 데이터 유출 사고로 이어지는 사례가 많습니다.
  • 정책 작성의 어려움: IAM 정책 JSON 문법이 처음에는 복잡하게 느껴졌지만, Effect-Action-Resource-Condition 구조를 이해하니 명확해졌습니다.
  • 역할(Role)의 강점: Access Key를 코드나 인스턴스에 하드코딩하지 않고, IAM 역할로 임시 자격 증명을 부여하는 방식이 훨씬 안전하다는 것을 실습으로 확인했습니다.
  • 비용 관리의 필요성: 프리 티어가 있지만, 한도를 초과하면 즉시 과금되므로 CloudWatch Billing Alarm과 AWS Budgets 설정이 필수입니다.

• 심화 방향:

  • EC2 인스턴스 배포: 실제 웹 서버를 EC2에 배포하고, Security Group 설정, Elastic IP 할당, SSH 접속 실습. Auto Scaling과 Load Balancer 연동으로 확장 가능한 아키텍처 구성.
  • VPC 네트워킹: VPC, Subnet, Internet Gateway, NAT Gateway, Route Table, Security Group, NACL 구성. Public Subnet과 Private Subnet 분리, Bastion Host를 통한 안전한 SSH 접속.
  • CloudFormation/Terraform: 인프라를 코드로 관리하는 IaC 실습. VPC부터 EC2, RDS까지 전체 스택을 템플릿으로 정의하고 자동 배포.
  • 보안 강화: GuardDuty(위협 탐지), AWS Config(규정 준수 점검), Security Hub(통합 보안 대시보드), Secrets Manager(비밀번호 암호화 저장) 실습.
  • Well-Architected Framework 학습: AWS의 5가지 기둥(Operational Excellence, Security, Reliability, Performance Efficiency, Cost Optimization) 기반으로 아키텍처 설계 원칙 습득.

5. 추가 참고사항 (Quick Reference)

AWS 주요 서비스 & 포트 번호

IAM 정책 JSON 키워드 정리

IAM 모범 사례 체크리스트

☑ 루트 계정 MFA 활성화 ☑ 루트 계정 Access Key 삭제 ☑ 일상 작업용 IAM 사용자 생성 (Administrator 권한) ☑ IAM 사용자 MFA 활성화 ☑ IAM 비밀번호 정책 강화 (최소 14자, 대소문자/숫자/특수문자) ☑ 그룹 기반 권한 관리 (개별 사용자에게 직접 정책 연결 지양) ☑ 최소 권한 원칙 적용 (: 권한 금지) ☑ Access Key 90일마다 교체 ☑ 미사용 IAM 사용자 및 Access Key 삭제 ☑ EC2 인스턴스에 IAM 역할 연결 (Access Key 하드코딩 금지) ☑ CloudTrail 활성화 (모든 API 호출 로깅) ☑ IAM Access Analyzer로 외부 공유 리소스 점검

AWS 아키텍처 설계 원칙 (Well-Architected Framework)

1. Operational Excellence (운영 우수성)

• Infrastructure as Code (CloudFormation, Terraform)
• 모니터링 및 로깅 (CloudWatch, X-Ray)
• 장애 대응 프로세스 문서화
• 정기적인 게임 데이 연습

2. Security (보안)

• IAM 최소 권한 원칙
• 데이터 암호화 (저장 시, 전송 중)
• 다층 방어 (Security Group, NACL, WAF)
• 보안 이벤트 탐지 (GuardDuty, Security Hub)

3. Reliability (안정성)

• 다중 AZ 배포
• Auto Scaling으로 자동 복구
• 정기 백업 및 DR 계획
• 장애 테스트 (Chaos Engineering)

4. Performance Efficiency (성능 효율성)

• 적절한 인스턴스 타입 선택
• 캐싱 (CloudFront, ElastiCache)
• 모니터링 및 지속적 최적화
• Serverless 아키텍처 활용

5. Cost Optimization (비용 최적화)

• Reserved Instances / Savings Plans
• Auto Scaling으로 유휴 리소스 제거
• S3 Lifecycle Policy
• Cost Explorer로 비용 분석

리전 선택 기준표