데브옵스
당근이 AWS CloudHSM으로 대규모 서명키 관리 시스템을 구축한 방법– 2부: CloudHSM 아키텍처와 다계층 접근 제어
두줄요약
AWS CloudHSM 기반 서명 시스템을 네트워크·애플리케이션·HSM 내부의 3계층으로 보호하는 구조를 소개했습니다. Istio, Kyverno, mTLS, 키 속성 설정으로 허용된 경로에서만 서명되도록 설계했습니다.
구조와 흐름
- EKS 기반 Token Issuer, 전용 HSM 접근 NodeGroup, CloudHSM 클러스터, HSM 관리 인스턴스, Istio, Secrets Manager, Certbot CronJob으로 구성된 서명 시스템 아키텍처
- 네트워크, 애플리케이션, HSM 내부의 3계층으로 접근 제어를 분리한 설계
선택 이유
- 서명 키가 HSM 밖으로 나오지 않도록 보장하면서 허용된 경로에서만 서명이 이뤄지도록 보호
- 단일 자격 증명 유출과 비인가 워크로드 접근에 대한 추가 방어 계층 확보
주의할 점
- mTLS 인증서 자동 갱신 실패가 서명 장애로 이어지지 않도록 만료 전 여유 갱신과 모니터링 필요
- 키 속성과 소유권·공유 설정은 생성 시점에 결정되므로 사전 체크리스트 필요
- PKCS#11 연동에서는 프록시·도메인 기반 라우팅이 일반 패턴처럼 동작하지 않을 수 있음
적용해볼 점
- Istio AuthorizationPolicy, Security Group, mTLS, Kyverno, IRSA, CloudTrail을 조합한 다계층 방어
- CloudHSM user 분리와 Extractable/Destroyable 비활성화로 최소 권한과 키 보호 강화
- HSM 목록 관리는 SDK 권장 방식 활용이 더 안정적
