CodeBuild 프로젝트가 공유 S3 버킷에 아티팩트를 업로드합니다. buildspec post_build에서 --acl authenticated-read를 사용하는데, 이제 AWS 계정이 있는 모든 사람이 아티팩트를 다운로드할 수 있습니다. 이를 방지하기 위해 DevOps 엔지니어는 무엇을 해야 할까요?

-acl authenticated-read는 AWS 계정이 있는 모든 사용자에게 객체에 대한 읽기 권한을 부여하므로, 이를 제거하는 것이 올바른 접근 방식입니다. 대신, S3 버킷 정책을 사용하여 특정 AWS 계정에만 읽기 액세스 권한을 명시적으로 부여하면, 아티팩트 접근을 필요한 계정으로만 제한할 수 있습니다. 다른 옵션들은 다음과 같은 이유로 올바르지 않습니다. --acl public-read는 모든 사람에게 공개적으로 읽기 권한을 부여하여 보안을 더욱 약화시킵니다. S3 버킷의 기본 ACL을 구성하는 것은 개별 객체에 적용되는 ACL을 재정의하지 않습니다. "인증된 사용자 집합을 관련 AWS 계정으로만 정의"하는 직접적인 방법은 없으며, 버킷 정책을 통해 접근을 제어해야 합니다.