사람 계정과 비인간 신원: 권한·담당자·종료 처리

사람 계정은 시스템에 로그인하는 개인을 나타냅니다. 비인간 신원은 서비스, 애플리케이션, 자동화 작업처럼 시스템에서 권한을 행사하는 주체입니다. API 키, 인증서, 액세스 토큰은 인증에 쓰는 자격증명이지 언제나 신원 자체인 것은 아닙니다. 한 주체에 여러 자격증명이 있을 수 있고, 같은 키의 복사본이 여러 소스에 남을 수도 있습니다.

권한을 행사하는 주체는 누구인가요?

사람은 조직의 신원 제공자에 등록된 계정, 현재 권한, 승인 담당 부서에서 확인을 시작합니다. 워크로드는 서비스 계정, IAM 역할 또는 연합 인증 주체를 찾고, 어떤 애플리케이션이나 작업이 이를 쓰며 어디까지 접근하는지 확인합니다. 키를 코드에 올린 작성자는 복사본의 단서일 뿐, 그 워크로드의 현재 담당자나 조치 담당자라고 단정할 수 없습니다.

인증 수단은 어떻게 발급되나요?

AWS는 사람에게 연합 인증으로 받은 임시 권한을, 워크로드에는 역할 기반 임시 자격증명을 권합니다. Google Cloud는 가능한 환경에서 장기 서비스 계정 키를 내보내기보다 워크로드 신원 연합이나 연결된 서비스 계정을 권합니다. 이는 권장 구성이지 모든 기존 계정의 특성은 아닙니다. 사람과 워크로드 모두 임시 세션을 쓸 수 있으며, 어느 쪽이든 과도한 권한이나 탈취된 자격증명은 위험합니다.

발견 결과를 검토할 때는 발급처, 권한 주체, 자격증명 종류, 확인 가능한 발급·만료 시각, 부여된 권한, 발견 위치를 기록하세요. 토큰이 단기라는 이유만으로 안전하다고 판단하지 마세요. 장기 키를 교체할 때는 의존하는 워크로드를 먼저 찾아 운영 중단을 피해야 합니다.

누가 권한을 회수하나요?

사람의 퇴사나 역할 변경에는 디렉터리와 권한 검토 기록이 있습니다. 서비스에는 퇴사 기록이 없습니다. 서비스 담당자가 애플리케이션, 배포 또는 연동의 종료 시점을 알고 권한을 제거하고, 쓰지 않는 계정을 비활성화하며 남은 키를 폐기·교체해야 합니다. Google Cloud는 서비스 계정에 애플리케이션과 연락처를 기록하라고 권합니다. 공유 서비스 계정의 감사 로그만으로는 어느 애플리케이션이 사용했는지 모를 수도 있습니다.

검토 기록에는 권한 주체, 사용하는 워크로드, 노출된 자격증명의 위치, 확인 가능한 발급처 상태와 접근 범위, 서비스 담당자, 결정과 발급처 조치를 함께 남기세요. 담당자를 모르면 파일을 마지막으로 편집한 사람을 대신 적지 말고 미확인으로 표시하세요. OWASP도 부적절한 종료 처리와 시크릿 노출을 별도 위험으로 다룹니다. 하나를 해결했다고 다른 하나까지 해결된 것은 아닙니다.

Cremit이 돕는 범위

Cremit은 지원하는 연결 소스에서 자격증명 패턴을 찾고, 지원 유형은 발급처 상태를 확인합니다. 확인 가능한 AWS·GCP 접근 정보와 담당자 단서를 발견 결과에 모읍니다. 소스 작성자는 단서이지 확정된 담당자가 아닙니다. Cremit이 모든 실행 중인 워크로드를 열거하거나, 인사 디렉터리를 대체하거나, 키 악용을 입증하거나, 자격증명을 자동 폐기하지는 않습니다. 담당자가 권한 주체와 서비스 책임자를 확인하고 발급처에서 조치해야 합니다.