Documentation Index
Fetch the complete documentation index at: https://developers.argosidentity.com/llms.txt
Use this file to discover all available pages before exploring further.
1. 문서 개요
1.1 목적
Argos Identity 에서 사용하는 데이터 저장 계층(Database) 의 네트워크 통신 구조와 데이터 보안 정책을 외부 고객사의 보안·네트워크 검토에 활용할 수 있도록 정리한 자료입니다.
1.2 대상 독자
- 고객사의 정보보호·보안 검토 담당자
- 데이터 처리 위·수탁 점검 인력
- 컴플라이언스 / 감사 부서
1.3 범위
- 데이터 저장 엔진 및 호출 구조
- 전송 중·저장 시 암호화 방식
- 인증·인가, 접근 통제, 격리
- 감사·백업·컴플라이언스
2. 네트워크 통신 흐름
2.1 호출 구조
2.2 통신 특성
| 항목 | 값 |
|---|
| 프로토콜 | HTTPS (TLS 1.2+) |
| 인증 | AWS Signature Version 4 (SigV4) |
| 호출 SDK | AWS SDK for JavaScript (v2/v3) |
| 응답 포맷 | JSON |
| 호출 위치 | 검증 처리 계층(Lambda) / EC2 / 관리 도구 |
| 외부 직접 접근 | 불가 (AWS 내부 호출 전용) |
2.3 외부 노출 여부
- DynamoDB는 외부 인터넷에 직접 노출되지 않으며, AWS 자격 증명(IAM Role) 을 보유한 내부 서비스만 호출 가능합니다.
- 모든 호출은 AWS 인프라 내에서 종결됩니다.
3. 통신 프로토콜 및 규약
3.1 전송 계층
- TLS 1.2 이상 강제 (AWS SDK 기본 동작)
- DynamoDB 엔드포인트는 AWS 발급 인증서로 보호되며 SDK가 자동 검증
3.2 인증 서명
- 모든 API 호출은 AWS Signature Version 4 (SigV4) 로 서명
- 서명 요소: 자격 증명(IAM Role) + 요청 시간 + 요청 메서드/경로/헤더/본문 해시
- 위·변조 시 AWS가 즉시 거부 (5분 이상 시각 차이 시 자동 거부)
3.3 호출 패턴
- PutItem / GetItem / Query / UpdateItem / DeleteItem / BatchWrite / TransactWrite
- 일부 핫패스에는 DynamoDB Accelerator (DAX) 인메모리 캐시 적용
4. 데이터 암호화
데이터 저장 계층은 2중 암호화 구조 를 운영합니다.
5.1 1차 — 서버측 암호화 (Server-Side, AWS 관리)
| 항목 | 값 |
|---|
| 적용 범위 | 모든 테이블·인덱스·스트림·백업 자동 적용 |
| 알고리즘 | AES-256 |
| 키 관리 | AWS KMS (FIPS 140-2 Level 3 HSM 기반) |
5.2 2차 — 애플리케이션 계층 추가 암호화 (민감 필드)
식별번호·여권번호·연락처 등 민감 개인정보 필드는 저장 전에 애플리케이션 계층에서 추가 암호화됩니다.
| 항목 | 값 |
|---|
| 알고리즘 | AES-256-GCM (인증 암호화) |
| 키 관리 | AWS KMS Customer-managed Key |
| 무결성 | GCM 모드 Auth Tag 검증 |
| 적용 시점 | 검증 처리 계층에서 직접 암호화 후 PUT |
5.3 객체 스토리지 (참조)
이미지(신분증·셀피)는 AWS S3에 저장되며 KMS 기반 서버측 암호화가 적용됩니다.
5.4 전송 중 암호화
| 구간 | 방식 |
|---|
| 검증 처리 → DynamoDB | TLS 1.2+ (AWS SDK 강제) |
| DynamoDB → 백업/PITR | AWS 내부 암호화 (KMS) |
| Cross-Region Replication | AWS 내부 암호화 (KMS) |
6. 인증 및 인가
6.1 호출자 인증
- 호출자는 반드시 유효한 AWS IAM 자격 증명 을 보유해야 함
- 검증 처리 계층(Lambda / EC2)은 IAM Role을 통해 자격 증명 자동 부여
- 자격 증명은 단기 유효 토큰(STS Token)으로 자동 회전
6.2 인가 (Authorization)
- IAM Policy로 테이블 단위 / 작업 단위 권한 제어
- 최소 권한 원칙(Least Privilege) 적용
7. 무결성
| 계층 | 무결성 보장 방식 |
|---|
| AWS DynamoDB | 모든 쓰기는 다중 AZ 동기 복제 및 체크섬 검증 |
| 애플리케이션 페이로드 | AES-256-GCM Auth Tag 검증 |
| TLS 채널 | TLS 1.2+ 내장 무결성 (AEAD / HMAC) |
8. 접근 통제 및 격리
8.1 네트워크 계층
- 외부 인터넷 직접 노출 없음
- AWS 내부 통신 전용 (Public Endpoint이지만 IAM이 게이트키퍼)
- VPC Gateway Endpoint 로 AWS 백본 내 통신 강제
8.2 IAM 격리
- 서비스별 IAM Role 분리
- 운영자 / 개발자 / 자동화 도구 별로 IAM 사용자·그룹 분리
- Multi-Factor Authentication(MFA) 강제 (콘솔 접근)
8.3 환경 격리
- Live / Test 테이블 분리 운영
- 환경 간 데이터 이동은 명시적 마이그레이션 절차로만 수행
9. 로깅 및 감사
9.1 애플리케이션 감사
- 별도 감사 테이블에 도메인 이벤트 기록 (KYC 제출 상태 변경, 관리자 작업 등)
- 모든 감사 레코드는 변경 불가(append-only) 정책
9.2 보존
- CloudTrail 로그: AWS 콘솔에서 90일 자동 유지, 장기 보존은 S3 별도 적재
- DynamoDB 백업(PITR): 최대 35일 시점 복구 가능
- 온디맨드 백업: 보존 기간 제한 없음
10. 컴플라이언스
10.1 Argos Identity 보유 인증
- ISO/IEC 27001 — 정보보호관리체계 국제표준 인증
10.2 AWS DynamoDB 인증 (상속)
- SOC 1 / SOC 2 / SOC 3
- ISO 9001 / 27001 / 27017 / 27018
- PCI-DSS Level 1
- HIPAA Eligible
- FedRAMP Moderate
- IRAP, MTCS, FIPS 140-2 Level 3 (KMS)
10.3 데이터 주체 권리 대응
- 개인정보 보호법 / GDPR 기반 열람·정정·삭제 요청 시 대상 데이터를 식별·처리하는 절차 운영
- 위·수탁자 간 별도 처리 합의에 따름
부록 A. 용어 정리
| 용어 | 정의 |
|---|
| DynamoDB | AWS 서버리스 NoSQL 데이터베이스 서비스 |
| SigV4 | AWS Signature Version 4 — API 호출 서명 표준 |
| KMS | AWS Key Management Service (FIPS 140-2 Level 3 HSM) |
| PITR | Point-in-Time Recovery (시점 복구) |
| DAX | DynamoDB Accelerator (인메모리 캐시) |
| AEAD | Authenticated Encryption with Associated Data |
| IAM Role | AWS Identity and Access Management 역할 |
| MFA | Multi-Factor Authentication |
| Optimistic Lock | 조건부 쓰기 기반 낙관적 동시성 제어 |
부록 B. 문의
본 문서에 대한 기술적 질의는 Argos Identity 영업/기술 지원 채널로 연락주시기 바랍니다.
