이번 주는 데이터 보호의 두 번째 축 — 시크릿(Secrets Manager), 스토리지 보안(S3 암호화·접근통제·노출방지), 인증서(ACM), 민감정보 분류(Macie) — 를 다뤘다. 오늘은 개별 서비스를 시나리오로 엮어, 시험이 실제로 묻는 방식(여러 통제를 조합해 하나의 요구를 충족시키기)으로 복습한다. 핵심은 "각 서비스가 무엇을 하느냐"가 아니라 "어떤 요구에 어떤 조합이 정답이냐"다.
[1. 발견·분류] Macie → "어디에 무엇이 있는가" (민감도 라벨링)
↓
[2. 저장 암호화] SSE-KMS / DSSE-KMS / Object Lock → "정지 상태 보호 + 불변성"
↓
[3. 접근 통제] 버킷 정책 / Access Point / BPA / VPC 엔드포인트 → "누가·어디서 접근"
↓
[4. 채널·시크릿] ACM(TLS) + Secrets Manager(자격증명 회전) → "전송 보호 + 자격증명 수명주기"
💡 관련 이론: 이 4층은 *심층 방어(defense in depth)*의 데이터 평면 구현이다. 어느 한 층이 뚫려도(예: 자격증명 탈취) 다음 층이 막는다 — 탈취된 키로 S3에 접근해도 KMS 키 정책이 복호화를 거부하고(2층), VPC 엔드포인트 조건이 외부 경로를 차단하며(3층), Object Lock Compliance가 데이터 삭제를 물리적으로 막는다(2층)