이 문서는 AWS CloudFront와 S3를 활용한 정적 웹 사이트 호스팅의 보안 구성 및 운영 전략을 다루는 기술 가이드입니다.

---

[기술 가이드] CloudFront & S3 보안 구성 및 운영 최적화

1. 개요 (Introduction)

현대적인 클라우드 아키텍처에서 정적 콘텐츠(이미지, JS, CSS, HTML)를 배포할 때, S3는 저장소로 사용하고 CloudFront는 전송 네트워크(CDN)로 사용하는 것이 표준입니다. 본 가이드는 보안 사고를 방지하고 성능을 극대화하기 위한 OAC(Origin Access Control) 설정과 운영 전략을 설명합니다.

---

2. 핵심 보안 아키텍처: OAC (Origin Access Control)

과거에는 OAI(Origin Access Identity)를 사용했으나, 현재 AWS는 더 강력한 보안과 기능(예: SSE-KMS 지원)을 제공하는 OAC 사용을 권장합니다.

2.1 보안 설계의 핵심 원칙

* S3 공개 차단: S3 버킷의 "모든 퍼블릭 액세스 차단(Block Public Access)" 설정을 활성화하여 인터넷에서 S3로의 직접 접근을 원천 봉쇄합니다. * 최소 권한 원칙 (Least Privilege): 오직 지정된 CloudFront 배포(Distribution)만이 S3 버킷의 객체를 읽을 수 있도록 정책을 제한합니다.

2.2 S3 버킷 정책 (Bucket Policy) 설정

CloudFront를 통해서만 접근 가능하도록 아래와 같은 정책을 S3 버킷에 적용해야 합니다.

```json { "Version": "2012-10-17", "Statement": { "Sid": "AllowCloudFrontServicePrincipalReadOnly", "Effect": "Allow", annual_access": [ { "Principal": { "Service": "cloudfront.amazonaws.com" }, "Action": "s3:GetObject", "Resource": "arn:aws:s3:::YOUR_BUCKET_NAME/*", "Condition": { "StringEquals": { "AWS:SourceArn": "arn:aws:cloudfront::YOUR_ACCOUNT_ID:distribution/YOUR_DISTRIBUTION_ID" } } } ] } } ``` > 주의: `YOUR_BUCKET_NAME`, `YOUR_ACCOUNT_ID`, `YOUR_DISTRIBUTION_ID`를 실제 환경에 맞게 수정하십시오. `Condition` 절을 통해 특정 CloudFront 배포 외의 접근을 차단하는 것이 보안의 핵심입니다.

---

3. 성능 최적화 전략 (Performance Optimization)

3.1 캐싱 전략 (Caching Strategy)

* TTL (Time To Live) 설정: 콘텐츠의 변경 빈도에 따라 `Default TTL`, `Min TTL`, `Max TTL`을 최적화하십시오. 자주 변하지 않는 정적 자산은 높은 TTL을 부여하여 Origin(S3) 요청을 줄입니다. * Cache Key 최례화: Query String, Cookie, Header 중 캐싱에 반드시 필요한 요소만 Cache Key에 포함시켜 Cache Hit Ratio를 높이십시오.

3.2 전송 가속화

* Compression (압축): CloudFront의 `Compress Objects Automatically` 설정을 활성화하여 Gzip 또는 Brotli 압축을 통해 페이로드 크기를 줄이고 로딩 속도를 개선하십시오. * Edge Location 활용: 사용자와 가장 가까운 Edge Location에서 콘텐츠를 서빙하여 네트워크 지연 시간(Latency)을 최소화합니다.

---

4. 운영 및 모니터링 (Operations & Monitoring)

4.1 장애 대응: Cache Invalidation (무효화)

S3의 파일을 업데이트했음에도 CloudFront에서 이전 파일이 보이는 경우, Invalidation을 수행해야 합니다. * 방법: CloudFront 콘래솔에서 `Create Invalidation` 선택 후 경로(예: `/images/*` 또는 `/*`) 입력. * 주의: 너무 빈번한 전체 경로(`/*`) 무효화는 비용을 발생시키고 캐시 효율을 떨어뜨리므로, 특정 경로를 지정하는 습관을 들여야 합니다.

4.2 모니터링 및 로깅

* CloudFront Standard Logs (Access Logs): 모든 요청에 대한 상세 로그(IP, 요청 경로, 응답 코드 등)를 S3에 저장하여 보안 감사 및 트래픽 분석에 활용하십시오. * CloudWatch Metrics: `4xx Error Rate`나 `5xx Error Rate`를 모니터링하여 애플리케이션 오류나 권한 문제를 즉시 감지하십시오.

---

5. 체크리스트 (Security & Operations Checklist)

| 항목 | 확인 사항 | 상태 | | :--- | :--- | :---: | | S3 보안 | S3 버킷의 "모든 퍼블릭 액세스 차단"이 활성화되어 있는가? | [ ] | | 권한 제어 | S3 Bucket Policy에 CloudFront OAC 설정이 정확히 반영되었는가? | [ ] | | 암호화 | S3 버킷에 AES-256 또는 KMS 암호화가 적용되어 있는가? | [ ] | | HTTPS | CloudFront에서 `Viewer Protocol Policy`가 `Redirect HTTP to HTTPS`로 설정되었는가? | [ ] | | 비용 관리 | CloudFront의 데이터 전송량(Data Transfer Out) 모니터링 체계가 있는가? | [ ] |

--- 작성자 주석: 본 문서는 인프라 엔지니어를 위한 가이드라인이며, 실제 배포 시에는 조직의 보안 컴플라이언스 정책을 반드시 우선적으로 준수해야 합니다.