RDS, Aurora Cluster 유저 인증 방법 설정의 의의 및 종류

이 페이지에서는 AWS CloudWatch (CW) 에서 제공하는 주요 기능 중 하나인 Log Insight 기능에 대하여 다룬다.

 

또한 이 페이지는 아래의 AWS Document 및 이전 게시글을 참조한다.

 

[1] https://docs.aws.amazon.com/ko_kr/AmazonRDS/latest/AuroraUserGuide/database-authentication.html

 

[2] https://docs.aws.amazon.com/ko_kr/AmazonRDS/latest/AuroraUserGuide/database-authentication.html

[3] https://docs.aws.amazon.com/ko_kr/AmazonRDS/latest/UserGuide/rds-secrets-manager.html

 

[4] 2021.11.04 - [DB 관련 지식/DB 연관 IT 개념] - 인증, 인가 (Authentication, Authorization), MFA (Multi Factor Authentication)

 

RDS, Aurora Cluster 유저 인증 방법 설정의 의의

 

기업에서 사용되는 IT 서비스에서는 보안유지를 항상 최우선 목표 중 하나로 상정하고 운영되기 때문에 항시 보안과 관련된 프로세스 또는 서비스를 항시 도입하고 이에 근거하여 정기적으로 매년 보안 인증등을 받게 된다.

 

이 때, 클라우드 서비스또한 각 서비스 별로 보안을 유지하는 방법을 서비스 또는 부가기능등으로 제공하여 사용자들이 이를 통해 보안유지를 이룰 수 있도록 지원한다.

 

특히, 데이터베이스 관련 클라우드 서비스를 사용시에는 여기에 사용자들의 데이터가 보관되기 때문에 특히나 각별한 관리가 필요하다.

 

RDS, Aurora Cluster 유저 인증 방법 종류

 

RDS, Aurora Cluster 에서는 크게 3가지의 방법이 있다.

 

위의 Document 내용을 기준으로 어떤 의의 가 있는지 아래와 같이 기재한다.

 

- 암호 인증

 

온프레미스에서 특정 서비스 또는 기능을 도입하지 않고 DB 를 사용하는 것과 같이 P/W 만으로 유저 인증을 하는 방법이며 가장 보편적이다. RDS, Aurora Cluster 에서는 여기에 AWS Secrets Manager 서비스를 도입하여 P/W 텍스트를 암호화 하여 보안을 강화할 수 있다.  이 때, 일반적으로 기존에 사용하는 kms 키를 통해 암호화를 하고 이 kms 를 DB 관리자들만 사용하도록 설정하여 암호 인증 과정을 강화 할 수 있다. 암호를 그대로 사용한다는 점에서 사용자들에게 유저 인증 방법 중에서 가장 친근하고 가깝게 와 닿는 방법이다.

 

특히, 아래와 같이  Secrets Manager 서비스를 Master User 사용시에 인증 수단으로 쓰면 Master User 를 더욱더 안전하게 쓸 수 있다.

 

 

출처 : https://docs.aws.amazon.com/ko_kr/AmazonRDS/latest/UserGuide/rds-secrets-manager.html

 

출처 : https://docs.aws.amazon.com/ko_kr/AmazonRDS/latest/UserGuide/rds-secrets-manager.html

 

- IAM 인증

 

기존에 각 사용자 별로 IAM role 를 받아서 사용하고 있었다면, 이에 따른 도입을 고려 해 볼 수 있는 방법이다.

만일 IAM 분리 없이 AWS 서비스를 사용한다면 IAM 생성 및 설정이 필요하므로, 아래의 Document 를 참조하자.

 

[+] https://docs.aws.amazon.com/ko_kr/AmazonRDS/latest/AuroraUserGuide/UsingWithRDS.IAMDBAuth.IAMPolicy.html

 

[+] https://docs.aws.amazon.com/ko_kr/AmazonRDS/latest/AuroraUserGuide/UsingWithRDS.IAMDBAuth.Enabling.html

 

이 방법은 MFA 등을 이용하여 개인만 사용 할 수 있는 개인별 고유 IAM role 을 사용중인 환경에서 매우 유용한 방법이다.

 

- Kerberos

 

암호 전송이 필요없이 지정된 티켓과 대칭 키 암호화를 사용하는 Kerberos 프로토콜을 사용하는 인증 방법이다.

이를 사용하려면 Microsoft Active Directory 에 프로토콜을 구성해야 하며 DB 를 이용시에는 무조건 이 Directory 를 거치면서 DB 접속 가능 여부를 허가 받게 된다. 보안 중계점을 이용한다는 측면에서 매우 강력한 보안 인증 방법이지만 구성이 까다롭고, 특히 Aurora Cluster 같은 경우에는 지원이 가능한 버전 제한이 있다. (ex: Kerberos 인증은 Aurora MySQL 버전 3.03 이상에서 지원)