졸프를 위해서 서버를 만들기 위해 계속 AWS 콘솔에 로그인하려고 하는데 안됐다....!! 계속해서 Authotication failed 이라는 둥 ..머라는 둥 ....오류가 났다...그 전 노트북에서는 항상 패스키를 이용해 로그인했는데 이번에 노트북을 바꾸고 나서 해당 패스키가 원래 노트북에만 있어서 ...현재 맥북에서는 로그인이 불가하다는 것을 알게되었다...절망적이었지만 열시미 알아봤고 난 바로 AWS 측에 문의를 했지..
내가 보낸 문의 내용!
내가 패스키를 분실했는데 여러 방법을 써도 안된다. 날 좀 도와주소~~
이렇게 보냈더니 답장이 왔다 한 20분만에 온듯..?
바로 전화가 갈거고 도와주겠다는 내용이었다.
그러고 한 5분뒤에 전화가 왔는데 미국 본사에서 전화를 해주신다
그래서 당연히 영어만 되시는 분이고, 나도 영어로 대화해야했다
사실 밖이었고 영국 발음이신 분이라 난 좀 힘들어서
내가 잘 못알아들었음...지송지송 난 미국 발음이 더 편해
하지만 잘 해결이 되었고,
그 분이 말씀하시길 패스키를 백업 해놓든지 다른 수단을 만들어놓아라
그리고 전화번호를 입력할 때 무조건 앞에 0은 없애고 적어놔라
근데 이거는 왜인지는 잘 몰겠음
쨋든 해결이 되었기에 바로 root 사용자로 로그인을 하고
다른 MFA 수단을 등록해놓기로 하였다!
여기서 MFA 수단을 등록하는 법에 대해서 기록했다
사실 그동안은 AWS가 이정도로 보안이 빡센 곳인지 몰랐다..
그냥 다른 인스타그램처럼 어느 컴퓨터든지 로그인하면 되는 줄 알았던 나의 부족함때문에 시간을 많이 잡아먹었다
하지만 이또한 경험이고 MFA 수단에 대해서 자세히 알아가는 과정이 되었다!!
이젠 백업이 필수인 것을 알게되었고, 패스키에 대한 개념도 생겼다
(몇번 작업물이 날라가다보니까 백업을 자동으로 하게 된다..)
1. MFA란 무엇인가?
: MFA (Multi-Factor Authentication) 는 로그인 시 2가지 이상의 인증 수단을 요구하는 보안 방식.
AWS에서는 보통 이 2단계가 쓰임:
-
ID/PW 입력
-
6자리 MFA 코드 입력 (시간마다 바뀜)
-> 누군가 비밀번호를 알아도, MFA 코드가 없으면 로그인 불가능하기 때문에 매우 안전.
2. 루트 사용자에 MFA 추가 + 백업하는 방법
스마트폰에 Authy 앱 설치 (MFA + 백업 지원)
나는 클라우드 백업을 해놓기 위해서 이 앱을 사용했다
단계별 설정
① AWS 루트 계정 로그인
콘솔 → 우측 상단 사용자 클릭 → 보안 자격 증명(Security credentials) 클릭
② MFA 섹션으로 이동
"MFA 장치 할당됨" 또는 "관리" 클릭
③ 가상 MFA 디바이스 선택 → 계속
④ QR 코드 표시됨 → Authy 앱으로 스캔
Authy 실행 → + 버튼 → "Scan QR Code"
-> AWS 항목 생성됨
⑤ Authy에서 6자리 코드 2개 입력
30초 간격으로 2개 입력 → 할당 클릭
-> 완료되면 루트 계정은 MFA 보호됨
☁️ Authy 클라우드 백업 설정 (매우 중요)
Authy 앱에서:
-
Settings > Accounts > Authenticator Backups → 켜기
-
백업 암호(PIN/생체) 설정
-
Devices > Allow Multi-device → 켜면 다른 기기에서도 복원 가능
-> 이제 스마트폰 잃어버려도 복구 가능
3. IAM 사용자 생성 후 MFA 설정
난 졸프에서 서버 관리는 내가 맡을 것이기 때문에 IAM은 하나만 만들어서 내가 관리하기로 했다!
그리고 루트 사용자에도 MFA 설정을 하는 방식과 동일하게 IAM 사용자에도 MFA를 설정을 해야한다.루트 계정만 사용하는 것은 위험도가 높기에 나는 IAM 사용자를 생성했다!
그리고 이 과정에서 기본적인 AWS 기본 규칙들에 대해서 공부하게 되었다.
AWS IAM 모범 사례
👉 AWS 계정 루트 사용자 액세스 키 잠금
루트 사용자를 봉인합니다. 루트 사용자는 빌링 정보를 비롯해 모든 자원에 접근 가능합니다. 만약 빌링 정보 조회가 필요하다면 이에 상응하는 사용자를 생성하고 권한을 부여하세요.
👉 개별 IAM 사용자 만들기
구성원별로 IAM 사용자를 생성하세요. 이는 구성원의 역할에 따라서 서로 다른 보안 자격 증명 조합을 부여할 수 있습니다.
👉 그룹을 사용하여 IAM 사용자에게 권한을 할당
보통 사업팀, 개발팀 그리고 어드민팀 등 업무 범위에 따라 그룹을 생성하고 이에 관련된 서비스에 접근 가능하도록 그룹에 정책을 붙여주세요. 만약 사업팀에게 새로운 권한이 필요하면 그룹에 새로운 정책만 붙여주면 모든 작업이 끝납니다. 또한 구성원의 부서 이동시 그룹을 편집하면 그만입니다.
👉 최소 권한 부여
일단 모든 권한을 없애고, 필요한 권한을 하나씩 부여해주세요.
👉 MFA 활성화
모든 사용자에게 MFA를 요구하는게 좋습니다. 이는 사용자의 인증 정보가 탈취되더라도 리소스를 보호합니다.
👉 AWS 계정의 활동 모니터링
AWS의 로깅 기능(CloudTrail 등)을 통해서 사용자가 하는 모든 행동을 감시할 수 있습니다.
이렇게 여러 규칙들이 있는 것을 난 처음 알게되었고, 나 또한 root 사용자를 봉인하기로 결정!
1단계: IAM 사용자 생성
난 이 단계에서 권한을 AdministratorAccess 이것으로 넣었다
- AdministratorAccess: 전체 관리 권한을 갖는 IAM 사용자
2단계: IAM 사용자에 MFA 설정
여기서도 MFA 설정을 할건데 동일하게 Authy앱을 이용해서 함!
대충 이정도! 그리고 나는 비밀번호 보안을 위해서 bitwarden과 노션 개인 lock페이지를 사용했다
이상 AWS 계정 복구 완료 ...
