핵심 요약
AWS의 CloudHSM 기반 대규모 서명 시스템을 당근이 다계층 접근 제어로 보호하는 아키텍처를 제시합니다.
구현 방법
- 서명 애플리케이션(Token Issuer)을 Amazon EKS의 Pod로 운용
- CloudHSM 접근을 제어하는 NodeGroup/전용 보안그룹과 HSM 관리 인스턴스 구성
- 다중 AZ CloudHSM 클러스터, Istio 서비스 메시, Secrets Manager, Certbot CronJob으로 운영 체계 구축
- Istio AuthorizationPolicy, Kyverno로 Pod/토큰 수준의 접근 제어 강화
- PKCS#11 기반 CloudHSM 연동 및 Token Issuer용 Read-only Crypto User 분리, Admin/Key 관리/Read-only 유저 역할 분리
- IRSA로 Secrets Manager 접근 허용, PKCS#11 클라이언트 초기화 제어
- 키 속성 설정(Extractable/Destroyable)과 Read-Owner 공유로 최소 권한 유지
- CloudTrail로 접속 이력 모니터링 및 보안 감사
주요 결과
- 키가 HSM 밖으로 노출되지 않도록 다층 제어를 적용
- 허용된 경로에서만 서명이 수행되며, 보안 감사 로그가 지속적으로 남습니다.
