Amazon S3: 보안, 스토리지 클래스, 복제와 성능

S3의 데이터 모델

Amazon S3는 객체 스토리지다. 버킷 안에 객체를 저장하며 각 객체는 키, 값, 메타데이터, 선택적인 태그와 버전 ID로 구성된다.

버전 관리를 활성화하면 같은 키의 이전 버전을 보존한다. 실수로 덮어쓰거나 삭제했을 때 복구에 유용하지만, 이전 버전도 저장 비용이 발생하므로 수명 주기 정책을 함께 설계한다.

일반 DELETE는 현재 버전을 지우는 대신 delete marker를 추가한다.
특정 버전을 완전히 삭제하려면 version ID를 지정해야 한다.
MFA Delete는 버전 상태 변경과 영구 삭제에 추가 보호를 제공하지만 운영 방식과 제약을 먼저 확인한다.
S3 Object Lock은 WORM 보존이 필요한 객체에 Governance 또는 Compliance 모드를 적용한다. 버전 관리가 전제이며 법적 보존도 지원한다.

SRR(Same-Region Replication): 같은 리전의 다른 버킷으로 복제한다. 계정 분리, 로그 집계, 데이터 주권 요구에 활용한다.
CRR(Cross-Region Replication): 다른 리전으로 복제한다. 지연 감소, 규정 준수, 재해 복구에 활용한다.

소스와 대상 버킷에 버전 관리가 필요하다. 복제 규칙은 기본적으로 설정 이후 생성된 객체에 적용되며, 기존 객체는 S3 Batch Replication을 사용한다. KMS 암호화 객체, delete marker, 소유권 변경은 각각 설정과 권한을 확인해야 한다.

IA와 Glacier 계층에는 최소 저장 기간, 최소 과금 객체 크기, 검색 비용이 적용될 수 있다. 단순히 GB당 저장 가격만 비교하지 말고 접근 빈도와 복원 시간을 포함해 계산한다.

S3 권한은 여러 계층에서 평가된다.

새 버킷은 퍼블릭 차단을 유지하고 ACL 대신 IAM·버킷 정책 중심으로 권한을 설계하는 것이 기본이다. 조직 단위에서는 AWS Organizations SCP와 S3 Access Analyzer도 함께 사용한다.

S3는 새로 업로드되는 모든 객체에 기본 서버 측 암호화(SSE-S3)를 적용한다. 더 강한 키 통제나 감사 요구가 있으면 다른 방식을 선택한다.

SSE-KMS를 사용할 때는 S3 권한뿐 아니라 KMS 키 정책과 API 요청 한도·비용을 확인한다. 전송 중에는 HTTPS를 강제하고, 버킷 정책에서 aws:SecureTransport 조건으로 비암호화 요청을 거부할 수 있다.

객체 키 접두사별로 높은 요청 처리량을 자동 확장하며, 예전처럼 키 앞부분을 무작위화할 필요는 없다.
100MB 안팎 이상의 큰 파일은 멀티파트 업로드를 우선 검토하고 병렬 전송으로 처리량을 높인다.
전 세계 클라이언트의 장거리 업로드는 S3 Transfer Acceleration을 검토한다.
반복 다운로드는 CloudFront 캐시를 사용해 지연과 S3 요청을 줄인다.
S3 Select는 기존 고객의 일부 사용 사례에 남아 있지만 신규 고객에게는 제공되지 않는다. 새 설계는 Athena, S3 Object Lambda 등 요구사항에 맞는 대안을 검토한다.

S3 이벤트 알림은 객체 생성·삭제 이벤트를 SNS, SQS, Lambda 또는 EventBridge로 전달할 수 있다. 이벤트는 중복되거나 순서가 달라질 수 있으므로 소비자는 멱등하게 처리한다.

S3 웹 사이트 엔드포인트는 정적 콘텐츠를 제공하지만 HTTP만 지원한다. HTTPS와 사용자 도메인, 캐시가 필요하면 CloudFront를 앞에 두고, 가능하면 Origin Access Control로 비공개 S3 원본에 접근하게 구성한다.