주요 기능
- CloudFormation, 수동 IAM 역할, IaC 설정 경로
- 객체 이름뿐 아니라 읽을 수 있는 현재 객체의 내용 검사
- 객체 위치별 발견 건과 건너뛰거나 읽지 못한 객체 기록
- SSE-KMS 객체에는 해당 KMS 복호화 권한 필요
사전 요구사항
- 1Cremit Platform 계정과 AWS 스캔 소스 연결 권한
- 2필요한 S3 목록·객체 읽기 권한을 가진 AWS IAM 역할
- 3검사 대상에 고객 관리 KMS 키가 있다면 해당 키의 복호화 권한
단계별 설정 가이드
연동에 필요한 설정 단계를 순서대로 확인하세요.
연결 후 검사하는 범위
S3 소스는 연결한 버킷의 현재 객체 목록을 읽고, 접근 가능한 지원 형식의 내용을 가져와 자격증명을 검사합니다. 발견 건은 조사할 객체 위치를 기록합니다. 버킷에 접근 가능한 모든 IAM 신원이나 서비스를 목록화하는 기능은 아닙니다.
설정 방식 선택
Configuration → Scan Sources에서 AWS S3 소스를 만듭니다. 현재 제품에는 CloudFormation, 수동 IAM 역할, IaC 설정 경로가 있습니다. 권한을 부여하기 전에 제품과 AWS 콘솔에서 생성된 신뢰 정책과 요청 권한을 검토하세요. 오래된 화면이나 복사한 정책 대신 제품의 현재 안내를 따르세요.
역할에는 S3 목록 및 객체 읽기 권한이 필요합니다. 고객 관리 KMS 키로 암호화한 객체에는 해당 키의 복호화 권한도 필요합니다. 검사를 위해 스캐너가 객체 내용을 가져옵니다. 읽기 전용 IAM 권한이 객체 데이터가 AWS 계정 안에만 머문다는 뜻은 아닙니다. 규제 대상 버킷은 연결 전에 조직의 데이터 처리 요건을 확인하세요.
연결 뒤 검사 범위 확인
대상 버킷 목록과 지원 형식의 테스트 객체를 읽을 수 있는지 확인하세요. 연결 오류, KMS 권한 실패, 접근·보관 계층·형식·크기·실행 제한으로 건너뛴 객체를 함께 봅니다. 현재 검사는 현재 객체를 열거하며 버전 관리 버킷의 이전 버전은 열거하지 않습니다. 발견 건이 없는 실행을 전체 객체 확인으로 해석하지 마세요.
발견 건 조사
객체 위치에서 누가 내용을 읽을 수 있었는지 확인하세요. 지원하는 키 유형은 발급처 유효성을 확인하고, 필요한 경우 지원하는 AWS·GCP 권한 분석을 별도로 봅니다. 조치 담당자를 지정해 발급처에서 노출된 키를 교체·폐기하고 남은 복사본과 사용 가능한 로그를 검토합니다.
