프로젝트 기록
GitHub OIDC 거부의 원인은 SCP가 아니었다: immutable subject와 배포 키 없애기
8월부터 SCP 탓으로 알았던 PokeClip dev 배포의 OIDC 거부를 CloudTrail로 다시 추적해 sub 형식 불일치를 찾았다. 액세스 키를 OIDC 역할로 바꾸고 신뢰 범위를 environment 단위로 좁힌 뒤 키를 지운 과정을 정리했다.
이 주제와 연결된 기록
8월부터 SCP 탓으로 알았던 PokeClip dev 배포의 OIDC 거부를 CloudTrail로 다시 추적해 sub 형식 불일치를 찾았다. 액세스 키를 OIDC 역할로 바꾸고 신뢰 범위를 environment 단위로 좁힌 뒤 키를 지운 과정을 정리했다.
PokéClip 미디어 서버가 RDS에 비밀번호 없이 붙게 한 과정. 연결마다 만드는 IAM 토큰, 토큰을 엉뚱한 서버에 주지 않는 verify-full, 로그인 뒤의 최소 권한과 search_path 가로채기, 로그 한 줄로 하는 판정, 공식 15분과 다른 실측 약 20분(1회 측정), 그리고 같은 규칙을 Java 앱 서버로 넓힌 팀원의 구현까지.