Infrastructure Security

Kiro는 AWS 위에서 동작하는 관리형 서비스로, AWS 글로벌 네트워크의 보안 기반을 그대로 활용합니다. 이 문서에서는 Kiro에 접근할 때 클라이언트가 충족해야 하는 네트워크 보안 요건과 인증 방식을 정리합니다.

관리형 서비스로서의 Kiro

Kiro는 자체 인프라를 운영하지 않고 AWS의 검증된 네트워크 보안 위에서 제공됩니다. 즉, 데이터센터 물리 보안, DDoS 완화, 네트워크 격리 등 인프라 단계의 통제는 AWS의 통제 환경을 따릅니다. 보안 설계와 운영 원칙에 대한 더 자세한 배경은 다음 자료를 참고하세요.

클라이언트가 충족해야 하는 네트워크 요구사항

Kiro 사용자는 공개된 AWS API 엔드포인트를 통해 서비스에 접근합니다. 클라이언트(예: IDE, SDK, 사용자 환경)는 다음 조건을 만족해야 안정적으로 통신할 수 있습니다.

전송 계층 암호화

  1. 최소 TLS 1.2 이상을 지원해야 합니다.
  2. 가능하다면 TLS 1.3 사용을 권장합니다.

전방 비밀성(PFS)을 제공하는 암호 스위트

세션 키가 노출되더라도 과거 트래픽이 복호화되지 않도록, Perfect Forward Secrecy를 지원하는 암호 스위트를 사용해야 합니다. 대표적인 예시는 다음과 같습니다.

참고 — Java 7 이상을 비롯한 대부분의 최신 런타임과 운영체제는 위 암호 스위트를 기본으로 지원하므로 별도의 설정 변경 없이 요구사항을 충족하는 경우가 많습니다.

요청 서명과 인증

Kiro로 보내는 API 요청은 모두 서명되어야 하며, 서명에는 IAM 자격 증명이 사용됩니다. 일반적인 흐름은 다음과 같습니다.

  1. IAM principal에 연결된 access key ID와 secret access key로 요청을 서명합니다.
  2. 장기 자격 증명을 직접 사용하는 대신, AWS Security Token Service(AWS STS)에서 발급한 임시 자격 증명을 사용해 서명할 수도 있습니다.
주의 — 장기 access key를 코드나 설정 파일에 직접 포함하지 마세요. 가능한 경우 IAM Role과 임시 자격 증명을 통해 서명하는 방식을 우선 사용하는 것이 안전합니다.

STS API의 사용법과 발급 가능한 자격 증명 종류는 AWS STS API Reference에서 확인할 수 있습니다.

요약