AWS S3에서 스토리지 접속 IP가 최소화되어 있는지 확인하려면, 핵심은 Bucket Policy에서

aws:SourceIp

조건으로 허용 IP를 제한하고 있는지

확인하는 것입니다.

1. AWS 콘솔에서 확인

S3 → 해당 버킷 → 권한 → 버킷 정책으로 이동합니다.

다음과 같은 정책이 있는지 확인합니다.

{ "Effect": "Allow", "Principal": "*", "Action": "s3:*", "Resource": [ "arn:aws:s3:::my-bucket", "arn:aws:s3:::my-bucket/*" ], "Condition": { "IpAddress": { "aws:SourceIp": [ "203.0.113.10/32", "203.0.113.20/32" ] } } }

점검 포인트

점검 항목 확인 기준

접속 IP 제한

aws:SourceIp

사용

허용 IP 범위

업무상 필요한 공인 IP만 등록

/32

사용

단일 IP라면

/32

로 최소화

0.0.0.0/0

가급적 허용하지 않음

불필요한 IP

정책에서 삭제

Principal: "*"

IP 조건 등으로 접근범위가 제한되는지 확인

별도 Deny 정책

비허용 IP 차단 여부 확인

2. CLI로 확인

aws s3api get-bucket-policy \ --bucket 버킷이름 \ --query Policy \ --output text

JSON으로 보기 좋게 확인하려면:

aws s3api get-bucket-policy \ --bucket 버킷이름 \ --query Policy \ --output text | jq .

aws:SourceIp

를 검색합니다.

aws s3api get-bucket-policy \ --bucket 버킷이름 \ --query Policy \ --output text | jq '.. | objects | select(has("aws:SourceIp"))'

3. 특히 확인해야 할 위험 설정

다음과 같이 되어 있으면 IP 제한이 없는 상태입니다.

"Principal": "*", "Action": "s3:*"

또는

"aws:SourceIp": "0.0.0.0/0"

반대로 다음처럼 필요한 IP만 지정하면 접속 IP를 제한한 것입니다.

"aws:SourceIp": [ "10.10.10.10/32", "10.10.20.10/32" ]

단, S3에 VPC Endpoint를 사용한다면

aws:SourceIp

대신

aws:SourceVpce

또는

aws:SourceVpc

조건으로 제한하는 것이 적절한 경우가 많습니다.

AWS 콘솔에서 S3 버킷 정책을 확인할 때 이 부분도 같이 보시면 됩니다.

보안점검 문구로 작성하면

S3 스토리지 접속 IP가 최소화되어 있는지 확인 (필수)

S3 Bucket Policy의 aws:SourceIp 조건 확인

업무에 필요한 IP만 허용

불필요한 IP 및 0.0.0.0/0 허용 여부 확인

VPC Endpoint 사용 시 aws:SourceVpce 기반 접근제어 여부 확인

<5> S3 스토리지 접속 IP가 최소화되어 있는지

댓글