GCP API 키 제한 설정 분석
연결용 서비스 계정으로 지원하는 GCP API 키를 조회해 API와 호출자 제한 설정을 확인합니다.
주요 기능
- 프로젝트 권한 확인을 거치는 서비스 계정 키 JSON 등록
- 발견된 API 키를 API Keys API에서 조회
- 설정된 API 대상과 브라우저·서버·Android·iOS 호출자 제한
- 발견 건별 성공과 오류 상태
사전 요구사항
- 1API Keys API의 lookup·get 권한이 있는 프로젝트의 서비스 계정 키 JSON
- 2권한 분석을 설정할 수 있는 Cremit 계정
- 3분석기가 접근할 수 있는 프로젝트의 지원하는 GCP API 키 발견 건
단계별 설정 가이드
연동에 필요한 설정 단계를 순서대로 확인하세요.
어떤 키를 분석하나요?
이 분석기는 서비스 계정을 연결 자격증명으로 사용합니다. 실제 분석 대상은 발견된 GCP API 키입니다. 작업자는 API Keys API에서 키를 찾아 설정된 API 대상과 허용된 리퍼러, IP 주소, 앱 식별자 등의 호출자 제한을 읽습니다. 서비스 계정의 IAM 역할, 조직·폴더에서 상속된 바인딩, 노출된 서비스 계정 개인키의 최종 권한은 조사하지 않습니다. 제한 설정이 없다는 사실도 공격자가 키를 사용했다는 증거는 아닙니다.
연결한 프로젝트 밖의 키, API 권한 부족, 유효하지 않은 키 또는 API 오류로 분석이 끝나지 않거나 실패할 수 있습니다. 발견 건마다 결과와 분석 시각을 확인하세요. 분석기가 연결됐다는 이유만으로 모든 GCP 자격증명을 검사했다고 볼 수 없습니다.
연결 등록하기
Cremit Platform의 Security → Permission Analysis에서 GCP 분석기를 추가하세요. 현재 입력 화면은 서비스 계정 키 JSON을 받습니다. Cremit은 저장하기 전에 액세스 토큰을 발급받을 수 있는지, JSON 키의 프로젝트에서 해당 서비스 계정에 apikeys.keys.lookup과 apikeys.keys.get 권한이 있는지 확인합니다. Workload Identity Federation 구성은 이 화면에 입력할 수 없습니다.
의도한 프로젝트에 필요한 권한만 부여하고 개인키를 자격증명으로 보호하세요. Google은 더 안전한 인증 방식이 가능하면 사용자가 관리하는 서비스 계정 키를 피하라고 권고합니다. 정책상 이런 키를 만들 수 없다면 현재 연결 방식이 맞지 않을 수 있습니다. 키 없는 연합 인증을 지원한다는 오래된 안내를 근거로 예외를 만들지 마세요.
결과 확인과 조치
지원하는 GCP API 키 발견 건에서 분석이 끝난 뒤 프로젝트, API 대상과 호출자 제한을 확인하세요. 의도한 작업과 비교하고 실제 사용 여부는 관련 Google Cloud 로그에서 검토합니다. 노출이 확인된 키는 담당자가 발급처에서 제한하거나 교체·삭제하고 의존하는 앱을 확인해야 합니다. 소스 텍스트만 지워도 키가 무효가 되지는 않습니다.