2024.10.16 권한 관리

시스템으로 권한 관리를 할 때의 원칙은 모두가 알고 있다. 리소스(그것이 사람이든 기계든)에게 1) 가능한한 최소의 권한을 2) 역할보다는 속성이나 관계 기반으로 완전히 세세하게 부여하고, 3) 필요 없는 권한은 최대한 빨리 자동으로 회수한다 등등의 원칙을 이야기 하는데, 대체 지구상에 이걸 진짜 원칙대로 지키는 회사가 있기는 한지 궁금하다. 빅테크들도 제대로 못지킬 것 같은데.. 한 펜타곤이나 CIA 이 정도나 되면 시스템이 저런 원칙을 지키고 있을지 궁금하다.

현실적으로는 귀찮아서 많은 권한을 꽤 넉넉하게 열어두고 권한회수도 제대로 안되고, 더이상 해당 업무를 맡지 않는 담당자가 그대로 다시 시스템 들어올 수도 있고 이런 식으로 개판인데, 뭔가 종합적으로 이런 부분을 자동으로 진단/실행 해 줄 수 있다면 그것도 가치있는 서비스일 것 같다. (나는 안할거임)

그래도 새로운 마음으로 새로운 회사에서는 모든 것을 원칙에 맞춰서 최소권한으로 운영해야지 하다가 오늘 하루 종일 IAM 지옥에 빠졌다. 예전같았으면 그냥 나이브하게 키/시크릿페어 환경변수에 박아놓고 GitHub Actions에서 돌리고 이랬을텐데, 좀 더 근본있는 방법으로 OIDC로 통신하고 하는 방식으로 열심히 구현에 성공했다.

오늘의 결론: 어쩌다 그렇게 되었는지는 대충 알겠지만 IAM을 어떻게 좀 대혁신하지 않으면 AWS에게도 언젠가 큰 업보로 돌아올 것 같다..