배경

멘토 피드백에서 취업 포트폴리오를 위해 팀 인프라 레포(kintoun-infra)를 public으로 전환하는 게 권장되었다. 다만 이 레포는 실제 AWS 계정과 연동된 Terraform 코드이기 때문에, 공개 전 민감정보 유무를 먼저 검토하기로 했다.

검토 과정

1) .gitignore 확인

• .tfstate, .terraform/, .tfvars(단, example.tfvars는 예외), tfplan 등 민감할 수 있는 파일들이 이미 제외 목록에 등록되어 있음을 확인했다.

2) 레포 내 민감 패턴 검색

아래 키워드를 레포 전체 검색으로 확인했고, 전부 검색 결과 없음(0건)이었다.

• AKIA (AWS Access Key 접두사)
• secret_access_key
• password
• 실제 AWS 계정 ID
• .tfstate (파일명)

3) 폴더별 파일 목록 확인

bootstrap/, identity/, platform/, modules/ 각 폴더를 확인한 결과, 실제 값이 담긴 .tfvars나 .pem 같은 파일은 없었고 템플릿 성격의 example.tfvars만 존재했다.

4) identity 모듈 설계 문서 확인

README에 다루는 범위와 다루지 않는 범위가 명시되어 있었다.

• 다루는 것: IAM User 생성·삭제, 그룹 소속, MFA 강제 정책
• 다루지 않는 것: 콘솔 로그인 비밀번호, 액세스 키 발급(대신 aws login 임시자격증명 사용)

즉 설계 단계부터 장기 자격증명(액세스 키)을 아예 발급하지 않는 구조였다.

5) platform 아키텍처 문서 확인