AWS S3 & CloudFront 403 Access Denied 에러 완벽 해결: OAC 보안 아키텍처

AWS S3 & CloudFront 403 Access Denied 에러 완벽 해결: OAC 보안 아키텍처

"React로 만든 멋진 웹사이트를 AWS S3에 올리고, CDN을 태우기 위해 CloudFront까지 완벽하게 연동했는데 도메인에 접속하면 403 ERROR - The request could not be satisfied라는 차가운 접근 거부 메시지만 나타납니다."

서버리스(Serverless) 정적 웹 호스팅을 구축하려는 데브옵스(DevOps) 엔지니어들이 가장 오랜 시간 삽질을 하는 마의 구간입니다. 이 에러를 마주하면 대부분 급한 마음에 S3 버킷의 '퍼블릭 액세스 차단'을 모조리 해제하고 버킷 정책(Bucket Policy)에 와일드카드(*)를 남발하여 대문을 활짝 열어버립니다.

하지만 이는 CloudFront라는 튼튼한 성벽을 세워둔 의미를 완전히 상실하게 만드는 치명적인 보안 사고입니다. 본 가이드에서는 S3 버킷을 외부 인터넷으로부터 완벽히 차단(Private)하면서도, 오직 CloudFront만이 안전하게 데이터를 가져갈 수 있도록 허락하는 최신 OAC(Origin Access Control) 아키텍처 설정법을 단호하게 제시합니다.

📌 이 글의 핵심 포인트

  • 403 Access Denied 에러의 근본적 원인 이해: CloudFront와 S3 간의 권한(Permission) 불일치
  • 레거시 OAI(Origin Access Identity) 방식의 한계와 최신 OAC(Origin Access Control) 도입의 필요성
  • 단 3단계로 끝내는 S3 버킷 정책(Bucket Policy) 자동 생성 및 무결점 보안 셋업

1단계: 핵심 원인 - 성문을 잠그고 열쇠를 주지 않은 실수

CloudFront(CDN)는 전 세계에 퍼져있는 엣지 서버입니다. 유저가 웹사이트에 접속하면 CloudFront가 원본 저장소인 S3에 다가가 "내가 유저 대신 파일 좀 가져갈게"라고 요청합니다.

그런데 S3 버킷은 기본적으로 세상의 모든 접근을 차단(Block Public Access)하도록 단단히 잠겨 있습니다. 아무리 CloudFront라 할지라도, S3 입장에서 보면 '초대장(버킷 정책) 없이 담을 넘으려는 외부인'일 뿐이므로 가차 없이 403 Forbidden(접근 거부) 에러를 던지며 쫓아내는 것입니다.

2단계: 최신 방어 체계 - OAC(Origin Access Control) 설정

과거에는 OAI(Origin Access Identity)라는 방식을 썼지만, 보안상의 헛점이 많아 AWS는 2022년부터 OAC라는 훨씬 강력하고 정교한 암호화 통신 방식을 표준으로 권장하고 있습니다. S3를 완벽한 Private 상태로 유지하면서 OAC를 뚫어주는 방법은 다음과 같습니다.

  1. AWS 콘솔에서 CloudFront 배포(Distribution) 설정으로 들어갑니다.
  2. [원본(Origins)] 탭을 클릭하고 현재 연결된 S3 원본을 선택 후 [편집]을 누릅니다.
  3. '원본 액세스(Origin access)' 항목에서 '원본 액세스 제어 설정(권장)'을 선택합니다.
  4. 드롭다운 메뉴 우측의 [제어 설정 생성] 버튼을 누르고 이름 확인 후 그대로 생성합니다.
  5. 화면 맨 아래의 [변경 사항 저장]을 누릅니다.

3단계: S3 버킷 정책(Bucket Policy) 자동 업데이트

CloudFront에서 OAC를 설정하고 저장 버튼을 누르면, 화면 상단에 "S3 버킷 정책을 업데이트해야 합니다"라는 노란색 경고 배너와 함께 [정책 복사] 버튼이 친절하게 나타납니다. 이 버튼이 핵심입니다.

복사된 정책은 대략 아래와 같은 구조를 갖습니다. (직접 타이핑하지 말고 반드시 AWS가 복사해 준 정책을 사용하세요)


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCloudFrontServicePrincipal",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudfront.amazonaws.com"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::your-bucket-name/*",
            "Condition": {
                "StringEquals": {
                    "AWS:SourceArn": "arn:aws:cloudfront::123456789012:distribution/E1ABCDEFGHIJ"
                }
            }
        }
    ]
}

이 코드는 "오직 내 AWS 계정(123456789012)에 속한, 특정 CloudFront 배포(E1ABCDEFGHIJ)만이 이 버킷 안의 객체(s3:GetObject)를 읽어갈 수 있다"라는 아주 견고한 보안 규칙입니다.

  1. 복사한 정책을 들고 S3 콘솔로 이동합니다.
  2. 해당 버킷의 [권한(Permissions)] 탭으로 갑니다. (이때 '퍼블릭 액세스 차단'은 반드시 '모든 퍼블릭 액세스 차단(On)' 상태여야 합니다.)
  3. [버킷 정책(Bucket Policy)] 섹션의 [편집]을 누르고, 복사해 온 JSON 코드를 붙여넣기 한 뒤 저장합니다.

이제 도메인에 다시 접속해 보십시오. 차갑던 403 에러가 사라지고, CloudFront를 타고 날아온 React 웹사이트가 0.1초 만에 당신을 반겨줄 것입니다.

💡 아키텍트의 시선 (Insight)

클라우드 인프라 구축에서 '작동하는 것(Works)'과 '안전하게 작동하는 것(Works Securely)'은 하늘과 땅 차이입니다. 403 에러를 피하려고 S3를 퍼블릭(Public)으로 여는 것은, 도둑질을 막겠다고 아예 대문을 부숴버리는 것과 같습니다. CloudFront와 S3 OAC 아키텍처의 권한 분리 원칙을 완벽하게 이해하고 통제하는 순간, 당신은 어설픈 개발자를 넘어 신뢰받는 클라우드 아키텍트로 한 걸음 도약하게 될 것입니다.

댓글

댓글 쓰기

이 블로그의 인기 게시물

Zapier & Make.com 자동화의 덫: 무한 루프(Infinite Loop) 에러 완벽 방어 아키텍처

Zapier & Make.com 자동화의 덫: 무한 루프(Infinite Loop) 에러 완벽 방어 아키텍처 "주말 사이 자피어(Zapier) 태스크(Task)가 5만 번이나 실행되어 월 요금을 다 소진해버렸습니다." 슬랙(Slack), 지메일(Gmail), 노션(Notion)을 연결하며 업무 해방을 꿈꾸던 B2B 실무자들이 가장 흔하게, 그리고 가장 뼈아프게 겪는 재앙이 바로 무한 루프(Infinite Loop) 에러 입니다. 코딩 지식 없이 직관적인 UI로 파이프라인을 짤 수 있다는 노코드(No-code) 툴의 장점은, 역설적으로 논리적 오류를 잡아내는 '안전장치'가 부재하다는 치명적인 약점이 되기도 합니다. 본 가이드에서는 시스템을 붕괴시키고 예산을 갉아먹는 무한 루프의 발생 메커니즘을 해체하고, 어떠한 상황에서도 시스템이 스스로 폭주를 차단하는 2단계 방어 아키텍처를 단호하게 제시합니다. 1단계: 핵심 원인 분석 (트리거와 액션의 꼬리물기) 무한 루프는 '결과'가 다시 '원인'이 될 때 발생합니다. 가장 대표적인 실무 사례는 양방향 동기화(Two-way Sync)를 시도할 때입니다. 예를 들어, [스프레드시트 A에 새 행이 추가되면(Trigger)] → [스프레드시트 B에 복사하라(Action)] 는 자동화를 만들었다고 가정해 봅시다. 만약 실무자가 B에도 데이터가 추가되면 A로 보내는 역방향 자동화를 하나 더 만든다면 어떻게 될까요? A에 데이터가 들어오는 순간 B로 가고, B에 들어온 데이터는 다시 A를 트리거 시켜 영원히 데이터를 핑퐁 치게 됩니다. 단 10분 만에 1만 건의 태스크가 증발합니다. 또한, 슬랙(Slack)에서 봇이 멘션되었을 때 답변을 다는 자동화에서도, 봇이 단 '답변' 자체를 '새로운 멘션'으로 인식하여 봇 혼자 끝말잇기를 하는 참사도 자주 발생합니다. 2단계: 1차 방어선 - 식별자 필터링(Identi...
자세한 내용 보기

엑셀 보고서의 종말: 구글 스프레드시트와 루커 스튜디오(Looker Studio)로 실시간 대시보드 구축하기

엑셀 보고서의 종말: 구글 스프레드시트와 루커 스튜디오로 실시간 대시보드 구축하기 "김 대리, 이번 달 마케팅 성과 지표 엑셀로 취합해서 오후까지 보고해." 이 한마디에 수많은 실무자는 금요일 오후를 엑셀 셀 병합과 그래프 색깔 맞추기에 쏟아붓습니다. 현대의 비즈니스는 실시간으로 살아 숨 쉬는 '대시보드(Dashboard)'를 요구합니다. 그러나 아직도 많은 기업이 정적인 엑셀 파일에 데이터를 가두어 두고 이메일로 주고받는 원시적인 방식을 고수하고 있습니다. 구글은 이미 이 문제를 해결하기 위해 '루커 스튜디오(Looker Studio, 구 Google Data Studio)' 라는 막강한 무료 시각화 툴을 제공하고 있습니다. 본 가이드에서는 구글 스프레드시트에 쌓이는 날것의 데이터(Raw Data)를 경영진이 한눈에 볼 수 있는 실시간 대시보드로 연동하는 파이프라인과, 이 과정에서 발생하는 치명적인 동기화 에러의 해결책을 단호하게 제시합니다. 1단계: 데이터 정규화(Normalization) - 시각화의 뼈대 루커 스튜디오와 같은 BI(Business Intelligence) 툴을 연동하기 전, 구글 스프레드시트의 데이터 형식을 엄격하게 통제해야 합니다. 초보자들이 가장 많이 하는 실수는 엑셀처럼 표를 예쁘게 보이려고 '셀 병합(Merged Cells)'을 하거나 상단에 '결재란'을 만드는 것입니다. 데이터 시각화 툴은 병합된 셀을 가장 혐오합니다. 1행(Row 1)에는 반드시 데이터의 '이름(필드명: 날짜, 매출액, 담당자 등)'만 존재해야 하며, 2행부터는 빈칸 없이 데이터가 세로로 무한히 확장되는 구조(Tidy Data)를 갖춰야 합니다. 2단계: 루커 스튜디오 연동 및 캔버스 구축 데이터가 정제되었다면, lookerstudio.google.com 에 접속하여 빈 보고서를 생성합니다. '데이터 추가' 창이 뜨면 구글이 제공...
자세한 내용 보기

Docker OOMKilled (Exit Code 137) 에러의 진실: 컨테이너 메모 누수 방어 및 리소스 최적화 아키텍처

"새벽에 이커머스 결제 컨테이너가 죽어버렸습니다. 로그를 뒤져보니 아무런 에러 코드도 없고 단지 `Exit Code 137` 하나만 덩그러니 남아있습니다." 도커(Docker)와 쿠버네티스(Kubernetes) 기반의 마이크로서비스 아키텍처를 운영하는 데브옵스(DevOps) 엔지니어들을 가장 공포에 떨게 하는 에러, 바로 OOMKilled (Out of Memory Killed) 현상이다. 애플리케이션의 버그라면 스택 트레이스(Stack Trace)라도 남아 코드를 고칠 텐데, 이 현상은 범인이 애플리케이션이 아니기 때문에 로그조차 남지 않고 프로세스가 흔적 없이 암살당한다. 이 미스터리한 살인 사건의 범인은 바로 리눅스 커널(Linux Kernel)의 OOM Killer 다. 본 가이드에서는 왜 운영체제가 자신이 품고 있는 도커 컨테이너를 가차 없이 죽여버리는지 그 매커니즘을 해체하고, 메모리 누수로 인한 인프라 붕괴를 원천 차단하는 방어 아키텍처를 단호하게 제시한다. 1단계: 핵심 원인 분석 (Exit Code 137의 의미) 137 이라는 숫자는 수학적인 의미를 갖는다. 리눅스에서 128 + 9 (SIGKILL) = 137 이다. 즉, 누군가 "묻지도 따지지도 말고 즉시 죽어라"라는 9번 시그널(Kill)을 보냈다는 뜻이다. 도커 컨테이너 내부의 자바(Java), 파이썬(Python) 프로세스가 할당된 메모리(RAM) 한계치를 초과하여 호스트 OS 전체를 멈추게 할 위험이 감지되는 순간, 리눅스 커널은 생존을 위해 가장 메모리를 많이 파먹는 뚱뚱한 컨테이너를 찾아내 단칼에 목을 친다. 2단계: 해결책 - Cgroups 리소스 하드 리미트(Hard Limit) 통제 많은 개발자가 "서버 램이 32GB나 되는데 왜 컨테이너가 죽나요?"라고 묻는다. 도커를 실행할 때 메모리 제한(Limit)을 걸어두지 않으면, 컨테이너 내의 프로세스(JVM 등)는 호스트의 32GB 전체가 자기 것인 ...
자세한 내용 보기