피드로 돌아가기
Dev.toSecurity
원문 읽기
IAM Access Analyzer 오탐으로 인한 월 $1,000 비용 낭비 및 과잉 권한 해결
IAM Access Analyzer Lied to Us: The $1,000/Month Overprovisioning Mistake
AI 요약
Context
IAM Access Analyzer를 통한 권한 최적화를 시도했으나 도구의 자동 제안 한계로 인한 Overprovisioning 발생. 특히 Lambda의 Provisioned Concurrency 설정 오류와 불필요한 IAM Permissions가 결합되어 불필요한 비용 지출 초래.
Technical Solution
- Least Privilege 원칙 기반의 IAM Policy 수동 분석 및 불필요한 권한 제거
- Permission Boundaries와 Service Control Policies(SCPs) 도입을 통한 민감 리소스 접근 제어
- Lambda Provisioned Concurrency의 Idle 상태 비용 발생 지점 식별 및 최적화
- AWS SDK v3(@aws-sdk/client-iam, @aws-sdk/client-lambda)를 활용한 권한 및 설정 업데이트 자동화
- CloudFormation 및 CloudWatch 기반의 Resource Tagging 자동화로 리소스 가시성 확보
- Explicit Deny 우선순위 원칙을 적용한 접근 제어 로직 검증
Impact
- Overprovisioning 해결을 통한 월 $1,000 수준의 비용 절감
Key Takeaway
자동화 도구의 분석 결과에 의존하지 않고 Least Privilege 원칙을 수동으로 검증하는 교차 확인 프로세스의 중요성 확인.
실천 포인트
- IAM Access Analyzer 결과 기반의 정책 적용 전 실제 사용 권한 수동 검토 - Lambda Provisioned Concurrency 설정 시 실제 트래픽 패턴 분석 및 Idle 비용 계산 - SCP 및 Permission Boundaries를 통한 계층적 방어 체계 구축 - 리소스 식별자 및 비용 추적을 위한 태깅 자동화 파이프라인 구성