AssumeRole 및 세션 수명

AssumeRole 작업을 사용하면 보안 주체가 자신의 자격 증명을 역할의 권한과 일시적으로 바꿀 수 있습니다. 그 결과는 시간제한이 있는 세션입니다. 이 세션의 지속 시간과 권한 범위를 제어하는 내용은 세션 수명이 보안 노출에 직접 영향을 주기 때문에 SCS-C02에서 자주 다루는 주제입니다.

AssumeRole이 성공하면 호출자는 arn:aws:sts::ACCOUNT:assumed-role/RoleName/SessionName과 같은 ARN으로 식별되는 역할 수임 세션으로 작동합니다. 세션이 지속되는 동안 호출자는 역할의 권한을 가지며 원래 권한은 가지지 않습니다. 전달한 세션 이름은 감사 목적으로 보존됩니다.

DurationSeconds 매개변수는 세션의 지속 시간을 설정합니다. 최소 900초(15분)부터 역할에 정의된 최댓값까지 지정할 수 있습니다. 세션이 짧을수록 유출된 자격 증명이 유효한 시간이 줄어들므로, 최소 권한 원칙에서는 현실적으로 가능한 가장 짧은 기간을 선호합니다.

각 역할에는 MaximumSessionDuration 설정이 있으며, 범위는 1시간에서 12시간입니다. DurationSeconds에 이보다 긴 시간을 요청하면 거부됩니다. 민감한 역할에 적절한 최댓값을 설정하면 한 번의 수임이 지속될 수 있는 시간을 제한할 수 있으며, 고위험 역할에 맞게 조정할 수 있는 제어 수단이 됩니다.

수임한 역할이 다른 역할을 수임하면 이를 역할 연결이라고 합니다. AWS는 역할에 설정된 최댓값과 관계없이 연결된 세션을 최대 1시간으로 제한합니다. 이 제한을 알고 있으면 역할이 연결된 경우 일부 장시간 요청이 실패하는 이유를 이해할 수 있습니다. 시험에서 자주 놓치는 세부 사항입니다.

세션은 만료되므로 애플리케이션이 계속 작동하려면 역할을 다시 수임해야 합니다. SDK는 인스턴스 프로필과 구성된 역할 프로필에 대해 이 과정을 투명하게 처리하며, 기존 자격 증명이 만료되기 전에 새 자격 증명을 가져옵니다. 기존 세션의 지속 시간을 연장하는 방법은 없으며, 새 세션을 얻어야 합니다.

AssumeRole은 지속 시간 외에도 Policy 또는 PolicyArns(권한 범위를 좁히는 세션 정책), Tags(ABAC용 세션 태그), 그리고 MFA용 SerialNumber와 TokenCode를 받습니다. 이를 사용하면 역할 수임이 발생하는 순간마다 각 수임의 범위를 정확히 지정하고 보호할 수 있습니다.

역할의 신뢰 정책에서 MFA를 요구할 수 있습니다. 이 경우 AssumeRole 요청에 MFA 장치 ARN과 현재 토큰 코드를 포함해야 합니다. 따라서 도난당한 자격 증명만으로는 권한이 높은 역할을 수임할 수 없습니다. 민감한 역할에 짧은 세션과 MFA를 함께 적용하는 것은 시험에서도 권장하는 강력한 제어 수단입니다.

개별 임시 자격 증명을 삭제할 수는 없지만, 특정 시점 이전에 발급된 토큰의 작업을 거부하는 인라인 정책을 연결하여 역할의 모든 활성 세션을 해지할 수 있습니다. 이때 aws:TokenIssueTime 조건을 사용합니다. 콘솔의 "활성 세션 해지" 버튼이 바로 이 작업을 수행하며, 중요한 사고 대응 도구입니다.

세션 수명이 짧으면 임시 자격 증명이 유출되더라도 곧 사용할 수 없게 됩니다. 여기에 해지, MFA, 최소 권한 세션 정책을 함께 적용하면 공격자가 활동할 수 있는 시간이 크게 줄어듭니다. 시험에서는 어떤 자격 증명도 유효한 상태로 남아 있는 시간을 최소화하는 답을 선호합니다.

AssumeRole은 역할의 MaximumSessionDuration 내에서 DurationSeconds로 제어되는 시간제한 세션을 만들며, 연결된 역할의 세션은 1시간으로 제한됩니다. 정책, 태그, MFA로 각 세션의 범위를 지정하고, TokenIssueTime을 이용한 해지 방법으로 침해된 세션을 즉시 종료하세요. 짧고 범위가 제한된 세션이 안전한 기본 설정입니다.

세션 수명에 관한 지식을 테스트해 보세요.

AssumeRole은 15분에서 역할의 MaximumSessionDuration(최대 12시간)까지 지속되는 역할 수임 세션을 만들며, 역할 연결 시에는 1시간으로 제한됩니다. 세션 정책, 태그, MFA로 세션의 범위를 지정하세요. aws:TokenIssueTime을 사용한 거부 방법으로 침해된 세션을 해지하세요. 짧고 범위가 제한된 세션을 우선 사용하세요.