Phantom File

수동으로 AWS 콘솔에서 리소스를 만들면 어떤 설정을 했는지 추적이 안 되고, 실수로 삭제하면 동일한 환경을 재현하기 어렵습니다. 특히 Lambda, DynamoDB, SQS, EventBridge, S3, API Gateway, IAM 등 다수의 서비스가 연동된 서버리스 아키텍처에서는 리소스 간 의존 관계를 코드로 명시하고 버전 관리하는 것이 필수적이었습니다.

• ▸콘솔에서 수동 생성한 리소스의 설정값 추적 불가 — 어떤 설정을 했는지 기억에 의존
• ▸실수로 리소스 삭제 시 동일한 환경 재현이 어려움
• ▸다수의 AWS 서비스(Lambda, DynamoDB, SQS, EventBridge, S3, API Gateway, IAM) 간 의존 관계 관리 복잡
• ▸AI 도구로 생성한 인프라 코드의 보안 설정 검증 필요

Kiro AWS Terraform MCP로 초기 인프라 코드를 생성한 뒤, 보안 검증 과정에서 IAM 과도 권한과 S3 퍼블릭 접근 차단 누락 2건을 발견하여 수정했습니다. Lambda, DynamoDB, SQS(Main + DLQ), EventBridge Pipes, S3, API Gateway, IAM Role/Policy를 모두 Terraform으로 관리합니다.

# Cleanup Lambda IAM 정책 — 최소 권한 원칙 적용
resource "aws_iam_role_policy" "cleanup_lambda" {
  name = "cleanup-lambda-s3-delete"
  role = aws_iam_role.cleanup_lambda.id

  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect   = "Allow"
        Action   = ["s3:DeleteObject"]  # s3:* → s3:DeleteObject로 축소
        Resource = "${aws_s3_bucket.files.arn}/*"
      }
    ]
  })
}

# S3 퍼블릭 접근 전면 차단 — AI 생성 코드에서 누락된 리소스
resource "aws_s3_bucket_public_access_block" "files" {
  bucket = aws_s3_bucket.files.id

  block_public_acls       = true
  block_public_policy     = true
  ignore_public_acls      = true
  restrict_public_buckets = true
}

AI 생성 코드의 보안 검증 과정에서 2건의 보안 문제를 발견하고 수정했습니다. 이 경험을 바탕으로 AI 생성 인프라 코드를 검증하는 체크리스트를 수립했습니다.

• AI 생성 코드 보안 검증 체크리스트
• 1. IAM 정책에 와일드카드(*) 액션/리소스 없는지 확인
• 2. S3 퍼블릭 접근 차단 블록 존재 여부 확인
• 3. 환경 변수에 시크릿(API 키, DB 비밀번호) 하드코딩 여부 확인
• 4. 리소스 간 의존 관계(ARN 참조) 정합성 확인
• 5. terraform plan으로 의도하지 않은 리소스 변경 없는지 확인
• terraform plan → apply 과정에서 의도하지 않은 리소스 변경 없이 정상 배포 확인