비인간 신원(NHI)이란?

정기 보고서를 만드는 작업은 Google Cloud 서비스 계정으로 스토리지 버킷을 읽을 수 있습니다. 서비스 계정이 신원이며, 부여된 IAM 역할에 따라 허용되는 작업이 결정됩니다.

AWS에서 실행되는 애플리케이션은 IAM 역할을 수임해 임시 자격증명을 받을 수 있습니다. 이 역할에 영구 액세스 키가 필요한 것은 아닙니다. Microsoft Entra의 서비스 주체와 관리 ID도 애플리케이션과 서비스가 사용하는 신원의 예시입니다.

API 키와 토큰은 자격증명입니다. 워크로드, 애플리케이션, 사람 중 누구의 접근을 나타내는지는 발급 서비스에 따라 다릅니다. 이 관계를 확인한 뒤 NHI 자격증명으로 분류해야 합니다.

하나의 신원이 여러 자격증명을 사용할 수 있습니다. 유출된 키를 교체해도 신원의 권한이 함께 바뀌는 것은 아니며, 같은 키가 여러 곳에서 발견됐다고 신원이 여러 개라는 뜻도 아닙니다.

자동화된 서비스는 사람이 요청을 하나씩 승인하지 않는 동안에도 리소스에 접근합니다. 사용 가능한 자격증명이 노출되면 다른 사람이 그 권한을 행사할 수 있습니다. 작업의 목적이나 담당 팀이 바뀐 뒤에도 접근 권한이 남아 있을 수 있습니다.

조사할 때는 노출된 값뿐 아니라 연결된 신원, 현재 접근 범위, 책임자를 함께 확인해야 합니다. 시크릿 스캔은 자격증명의 위치를 찾을 수 있지만, 탐지 결과만으로 권한·소유자·악용 여부가 확인되지는 않습니다.

워크로드의 목적과 책임자, 발급처와 신원 식별자, 허용된 작업과 리소스, 자격증명 위치와 만료 시점, 사용 로그를 기록합니다. 저장된 장기 키를 단기 자격증명이나 페더레이션으로 대체할 수 있는지도 확인합니다.

접근이 더 이상 필요하지 않으면 발급처에서 권한을 제거하고 연결된 워크로드를 점검합니다. 유효한 키가 노출됐다면 책임자와 교체·폐기를 진행하고, 발급처 로그에서 예상 밖의 활동을 확인합니다.