Amazon Elastic Container Registry의 인프라 보안

Amazon Elastic Container Registry의 인프라 보안 (Infrastructure Security in Amazon Elastic Container Registry)

관리형 서비스로서 Amazon ECR은 AWS 글로벌 네트워크 보안에 의해 보호돼요. 이 문서에서는 네트워크를 통해 Amazon ECR에 접근하기 위해 클라이언트가 갖춰야 할 요구사항과, 리소스 기반 액세스 정책을 통한 네트워크 격리 방법을 함께 살펴볼게요.

출처: 문서

본문

관리형 서비스로서 Amazon Elastic Container Registry는 AWS 글로벌 네트워크 보안에 의해 보호돼요. AWS 보안 서비스와 AWS가 인프라를 보호하는 방법에 대한 정보는 AWS Cloud Security를 참고하세요. 인프라 보안 모범 사례에 따라 AWS 환경을 설계하려면 AWS Well-Architected Framework의 Security Pillar에서 Infrastructure Protection을 참고하세요.

사용자는 AWS에서 게시한 API 호출(AWS published API calls)을 사용해 네트워크를 통해 Amazon ECR에 접근해요. 클라이언트는 다음을 지원해야 해요:

전송 계층 보안(Transport Layer Security, TLS). AWS는 TLS 1.2를 요구하고 TLS 1.3을 권장해요.
DHE(Ephemeral Diffie-Hellman)나 ECDHE(Elliptic Curve Ephemeral Diffie-Hellman) 같은 완전 순방향 비밀성(perfect forward secrecy, PFS)을 가진 암호 스위트(cipher suites). Java 7 이상 같은 대부분의 최신 시스템은 이 모드를 지원해요.

이 API 작업은 어떤 네트워크 위치에서든 호출할 수 있지만, Amazon ECR은 소스 IP 주소 기반의 제한을 포함할 수 있는 리소스 기반 액세스 정책(resource-based access policies)을 지원해요. 또한 Amazon ECR 정책을 사용해 특정 Amazon Virtual Private Cloud(Amazon VPC) 엔드포인트나 특정 VPC에서의 액세스를 제어할 수 있어요. 결과적으로 주어진 Amazon ECR 리소스에 대한 네트워크 액세스를 AWS 네트워크 안의 특정 VPC로만 격리하게 돼요. 자세한 내용은 Amazon ECR interface VPC endpoints (AWS PrivateLink)를 참고하세요.