Day 4 - 엣지 보안 통합: CloudFront(OAC, 서명 URL), ACM 인증서, 경계 보안 아키텍처

지금까지의 WAF, Shield, Network Firewall는 각자 한 계층을 방어했다. 오늘은 이들을 *엣지에서 하나의 경계(perimeter)*로 묶는다. CloudFront는 단순 CDN이 아니라 보안 관점에서 "가장 앞에 선 방어선이자 정책 집행점"이다. 여기서 TLS 종료(ACM), 오리진 보호(OAC), 콘텐츠 접근 통제(서명 URL/쿠키), WAF·Shield 통합이 한데 모인다. 보안 시험은 "이 통제들을 어떻게 결합해 공격 표면을 최소화하는가"를 묻는다.

CloudFront: 보안 통제의 집결지

CloudFront 배포 하나에 다음이 결합된다:

• TLS 종료: 뷰어↔CloudFront 구간을 HTTPS로 강제(Viewer Protocol Policy: redirect-to-https), 인증서는 ACM.
• WAF Web ACL: 엣지에서 L7 위협 차단(Day 1).
• Shield: L3/L4 흡수, Advanced 시 L7 통합(Day 2).
• OAC(Origin Access Control): S3/오리진을 CloudFront만 접근하도록 잠금.
• 서명 URL/서명 쿠키: 콘텐츠 단위 접근 통제.
• 응답 헤더 정책: HSTS, X-Content-Type-Options 등 보안 헤더 주입.
• 지리적 제한(Geo Restriction): 국가 단위 허용/차단.