[reinvent 2025] 연구 논문에서 현실로의 IAM Access Analyzer

AWS re:Invent 2025 Tech Blog written by MegazoneCloud

들어가며

클라우드 보안 컨설팅에서 가장 어려운 과제 중 하나는 복잡한 IAM 정책을 분석하고 실제 접근 권한을 명확히 파악하는 것입니다. 여러 개의 Allow와 Deny 문이 혼재된 정책에서는 실제로 누가 무엇에 접근할 수 있는지 파악하기가 매우 어렵습니다. 이번 세션은 이러한 실무적 고민에 대한 기술적 해답을 얻고, AWS가 순수 컴퓨터 과학 연구를 어떻게 실제 서비스로 발전시켰는지 알 수 있는 좋은 시간이었습니다. 

본 세션에서 주목할 내용은 다음과 같습니다.

① 연구 논문을 찾고 읽는 체계적인 방법론

② Stratified Predicate Abstraction 알고리즘의 핵심 원리

③ 여러 논문을 연결하여 전체 기술 스택을 이해하는 방법

1. How to Find Research Papers

세션은 복잡한 IAM 정책 예제로 시작했습니다. VPC와 Organization ID 기반의 세 개 정책 문이 상호작용하여 실제 접근 권한을 파악하기 어려운 상황이었습니다.

IAM Access Analyzer는 이 복잡한 정책을 세 가지 명확한 Finding으로 정리했습니다.

1. Organization 2의 모든 사용자가 접근 가능
2. VPC-A의 모든 사용자가 접근 가능
3. Organization 1 + VPC-B 사용자가 접근 가능

IAM Access Analyzer는 어떻게 이런 복잡한 정책들을 명확하게 정리할 수 있는걸까요?

Andrew는 IAM Access Analyzer의 기반이 되는 핵심 논문 “Stratified Abstraction for Access Control Policies”를 소개했습니다. AWS 서비스의 많은 부분이 공개된 연구 논문에 기반하고 있다는 사실은, 기술의 이론적 배경을 직접 확인하고 신뢰성을 이해하는 데 큰 도움이 되었습니다.

해당 논문은 다음 QR코드에서 확인하실 수 있습니다.

2. How to Read a Research Paper

많은 사람들은 논문 읽는 것을 어려워합니다. 특히 컴퓨터 과학 논문은 더욱 읽기가 힘듭니다.

하지만 Andrew는 논문 읽는 것을 포기하지 말고, 올바른 전략을 짜서 읽으면 보다 쉽게 논문을 읽을 수 있다고 말했습니다.

다음은 쉽게 논문을 읽기 위한 전략입니다.

• 그림책 읽듯이 읽기: 유치원에서 그림책을 읽을 때를 생각해보세요. 모든 단어를 이해하지 못해도 괜찮습니다. 그냥 훑어보면서 얻을 수 있는 것을 얻으면 됩니다.
• 막히면 그냥 넘어가기: 어떤 부분이 정말 혼란스럽다면? 그냥 넘어가세요. 그 부분에 매달려 시간을 낭비하지 마세요.
• 끝까지 읽을 필요 없음: 필요한 정보를 얻었다면 언제든 책을 덮어도 됩니다. 이건 소설이 아닙니다. 결말을 스포일러 당할 걱정은 하지 않아도 됩니다.
• Why에 집중하기: 왜 저자들이 이 문제를 다루는가? 왜 이 솔루션을 제안하는가? 왜 그들은 자신들의 솔루션이 좋다고 생각하는가?

또한 3단계의 읽기 접근법을 소개했는데요.

1단계 (What): 논문이 무엇에 관한 것인가?

논문 구조를 빠르게 파악합니다. 이 논문은 2페이지 서론, 3페이지 개요, 3페이지 알고리즘, 2페이지 평가로 구성되어 있습니다. 5페이지의 준비 자료는 새로운 분야를 개척하는 논문임을 시사합니다.

2단계 (Why): 왜 이 솔루션이 좋은가?

서론과 개요를 읽으며 “좋은 솔루션의 기준”을 파악합니다. Andrew는 quicksort 논문을 예로 들며, How(어떻게 구현)보다 Why(왜 좋은 솔루션)를 이해하는 것이 훨씬 더 유용하다고 설명했습니다.

이 논문에서 좋은 Finding의 세 가지 기준은 다음과 같이 정리합니다.

1. Sound (완전성): 정책에 의해 허용되는 모든 접근이 결과에 포함
2. Precise (정밀성): 불필요하게 과도한 권한을 표시하지 않음
3. Compact (간결성): 사람이 합리적인 시간 내에 검토 가능

3단계 (How): 어떻게 작동하는가?

알고리즘은 다음 세 단계로 진화했습니다.

1. 나이브한 접근: 모든 가능한 요청 열거 → 결과가 너무 많음
2. Predicate Abstraction: 정책에서 조건 추출하여 카테고리화 → 여전히 최적이 아님
3. Stratified Abstraction: 필요할 때만 분할하는 지연 평가

Andrew는 핵심을 이렇게 요약했습니다. “Sound하고 Compact한 Finding 집합으로 시작해서, 이를 유지하면서 계속 더 Precise하게 만들어갑니다. How는 실제로 Why의 관점에서 정의됩니다. Why를 먼저 이해해야만 How를 진정으로 이해할 수 있습니다.”

또한 세션 말미에 Andrew는 핵심 메시지를 전달했습니다.

실제 작동 방식(내부 원리)은 다음과 같습니다.

1. Stratified abstraction 알고리즘을 통해 SMT solver를 활용하여 정책에 대한 수학적 추론을 수행
2. Sound, Precise, Compact한 Finding 집합 생성
3. 문자열, 정규표현식, 숫자에 대한 대수 연산 수행

IAM Access Analyzer는 정책을 수학 문제로 변환하여 풀고, 누가 접근할 수 있는지 결정하며, 빠짐없이 정확하면서도 사람이 이해하기 쉬운 형태로 결과를 제공합니다. 이것이 Access Analyzer가 실제로 작동하는 방식입니다.