미리 서명된 URL 사용 - Amazon Simple Storage Service
미리 서명된 URL 기능 제한미리 서명된 URL을 생성할 수 있는 사용자Amazon S3가 미리 서명된 URL에서 만료 날짜 및 시간을 확인하는 경우

미리 서명된 URL 사용

모든 객체 및 버킷은 기본적으로 프라이빗입니다. 그러나 미리 서명된 URL을 사용하여 선택적으로 객체를 공유하거나 고객/사용자가 AWS 보안 자격 증명이나 권한 없이 버킷에 객체를 업로드하는 것을 허용할 수 있습니다.

미리 서명된 URL을 사용하면 Amazon S3 버킷에 액세스하는 데 사용할 수 있는 URL을 생성할 수 있습니다. 미리 서명된 URL을 생성하면 특정 작업과 연결됩니다. URL을 공유할 수 있으며 URL에 액세스할 수 있는 모든 사용자는 원래 서명 사용자인 것처럼 URL에 포함된 작업을 수행할 수 있습니다. URL이 만료되어 만료 시간에 도달하면 더 이상 작동하지 않습니다.

중요

2019년 3월 20일 이후에 시작된 모든 리전에 대해 요청이 잘못된 Amazon S3 위치에 도달하면 Amazon S3는 HTTP 400 Bad Request 오류를 반환합니다.

미리 서명된 URL 기능 제한

미리 서명된 URL의 기능은 이를 만든 사용자의 권한에 의해 제한됩니다. 미리 서명된 URL은 기본적으로 이를 소유한 사용자에게 액세스 권한을 부여하는 보유자 토큰입니다. 따라서 이러한 URL은 적절하게 보호하는 것이 좋습니다.

특정 네트워크 경로에 대해 미리 서명된 URL 및 모든 S3 액세스의 사용을 제한하려는 경우 특정 네트워크 경로가 필요한 AWS Identity and Access Management(IAM) 정책을 작성할 수 있습니다. 이러한 정책은 호출을 하는 IAM 보안 주체, Amazon S3 버킷 또는 그 두 가지 모두에 설정할 수 있습니다.

보안 주체에 대한 네트워크 경로 제한은 해당 자격 증명의 사용자가 지정된 네트워크에서 요청해야 합니다. 버킷에 대한 제한은 해당 버킷에 대한 액세스를 지정된 네트워크에서 시작된 요청에만 제한합니다. 이러한 제한은 미리 서명된 URL 시나리오 외부에서도 적용됩니다.

사용하는 IAM 전역 조건은 엔드포인트 유형에 따라 달라집니다. Amazon S3용 퍼블릭 엔드포인트를 사용하는 경우 aws:SourceIp를 사용합니다. Amazon S3에 대해 VPC 엔드포인트를 사용하는 경우 aws:SourceVpc 또는 aws:SourceVpce을 사용합니다.

다음 IAM 정책 설명에서는 보안 주체가 지정된 네트워크 범위에서만 AWS에 액세스해야 합니다. 이 정책 설명을 마련하면 모든 액세스가 해당 범위에서 시작되어야 합니다. 여기에는 S3에 대해 미리 서명된 URL을 사용하는 사례가 포함됩니다.

{
  "Sid": "NetworkRestrictionForIAMPrincipal",
  "Effect": "Deny",
  "Action": "",
  "Resource": "",
  "Condition": {
    "NotIpAddressIfExists": { "aws:SourceIp": "IP-address" },
    "BoolIfExists": { "aws:ViaAWSService": "false" }
  }
}

미리 서명된 URL을 생성할 수 있는 사용자

유효한 보안 자격 증명을 가진 사용자는 누구나 미리 서명된 URL을 만들 수 있습니다. 미리 서명된 URL에서 제공하려는 작업을 수행할 권한이 있는 사용자가 생성해야 이 URL을 통해 성공적으로 객체에 액세스할 수 있습니다.

다음은 미리 서명된 URL을 생성하는 데 사용할 수 있는 자격 증명입니다.

  • IAM 인스턴스 프로파일: 최대 6시간 동안 유효함.

  • AWS Security Token Service: AWS 계정 루트 사용자 사용자 또는 IAM 사용자의 자격 증명과 같은 영구 자격 증명을 통해 서명된 경우 최대 36시간 동안 유효함.

  • IAM 사용자: AWS 서명 버전 4를 사용할 경우 최대 7일 동안 유효함.

    최대 7일 동안 유효한 미리 서명된 URL을 만들려면 사용 중인 SDK에 IAM 사용자 자격 증명(액세스 키 및 보안 키)을 먼저 지정합니다. 그런 다음 AWS 서명 버전 4를 사용하여 미리 서명된 URL을 생성합니다.

참고

  • 임시 토큰을 사용하여 미리 서명된 URL을 생성하면 이 URL이 토큰 만료보다 이후의 만료 시간으로 생성된 경우에도 토큰이 만료되면 이 URL도 만료됩니다.

  • 미리 서명된 URL은 URL을 아는 모든 사람에게 Amazon S3 버킷에 대한 액세스 권한을 부여하므로 적절하게 보호하는 것이 좋습니다.

Amazon S3가 미리 서명된 URL에서 만료 날짜 및 시간을 확인하는 경우

Amazon S3는 HTTP 요청이 있을 때 서명된 URL의 만료 날짜 및 시간을 확인합니다. 예를 들어 클라이언트가 만료 시간 직전에 대용량 파일을 다운로드하기 시작한 경우, 다운로드 도중 만료 시간이 지나도 다운로드는 완료됩니다. 연결이 끊어진 경우, 클라이언트가 만료 시간 이후에 다운로드를 다시 시작하는 것은 불가능합니다.

미리 서명된 URL을 사용하여 객체를 공유하거나 업로드하는 방법에 대한 자세한 내용은 다음 주제를 참조하세요.

주제