CyberArk는 특권 계정(Privileged Account)과 자격 증명을 중앙 관리, 모니터링, 보호하는 PAM(Privileged Access Management) 플랫폼입니다. AI 및 데이터 파이프라인에서 민감한 자격 증명을 안전하게 주입하고, 세션을 격리하며, 감사 로그를 남기는 데 필수적입니다.
Vault에 SSH 키, DB 패스워드, API 토큰을 암호화 저장. AI 워크플로에서 안전하게 호출.
PSM(Privileged Session Manager)으로 세션을 격리, 키 입력 및 출력을 기록.
AIM, Conjur, REST API를 통해 머신 간 자격 증명 로테이션 및 애플리케이션 주입.
전통적인 자격 증명 관리(하드코딩, Vaultwarden, 단순 비밀번호 관리자)는 감사, 확장성, 동적 로테이션에 한계가 있습니다. 아래 비교를 확인하세요.
| 영역 | CyberArk | 기존 대안 (파일·Env·단순 Vault) |
|---|---|---|
| 중앙 정책 | 세분화된 접근 제어, 타임박스 | 정적, 수동 |
| 감사 증적 | 세션 기록, 명령어 수준 로깅 | 제한적 또는 없음 |
| 자동 로테이션 | 기본 지원 (스케줄/이벤트 기반) | 별도 스크립트 필요 |
| AI/ML 파이프라인 | REST API, Conjur 사이드카 | 보안 취약 |
CyberArk 아키텍처는 크게 Vault, PSM, AIM, CPM으로 구성됩니다. 아래 다이어그램은 AI 엔지니어가 자주 사용하는 흐름을 단순화한 것입니다.
모든 자격 증명의 중앙 암호화 저장소. DR, 클러스터링 지원.
Privileged Session Manager – 원격 접속 세션을 격리, 감사.
애플리케이션 자격 증명 주입. AI 파이프라인에서 API 키 동적 할당.
자격 증명 정책 관리 및 자동 로테이션.
CyberArk 환경에서 자격 증명을 가져오는 전형적인 Python 예제와 CLI 명령어입니다.
pip install cyberark-aim-sdk # 공식 AIM SDK (예시)
# 또는 REST API 직접 호출# 환경 변수 설정 (또는 Conjur 구성)
export CYBERARK_VAULT_URL="https://vault.internal:1858"
export CYBERARK_APP_ID="ai-pipeline-01"import os, requests
vault_url = os.environ["CYBERARK_VAULT_URL"]
app_id = os.environ["CYBERARK_APP_ID"]
# AIM REST API 호출 (예시)
resp = requests.get(
f"{vault_url}/AIMWebService/api/Accounts",
params={"AppID": app_id, "Safe": "AI_SAFE", "Object": "db-master-pw"},
verify=False # 프로덕션에서는 인증서 적용
)
cred = resp.json()
print(f"DB 계정: {cred['UserName']} / {cred['Content'][:4]}****")# cyberark-cli (가상) – 자격 증명 조회
cyberark list accounts --safe AI_SAFE --app-id ai-pipeline-01
# 세션 시작 (PSM)
cyberark start-session --target root@db-server --account db-admin| 설정 항목 | 설명 | 예시 값 |
|---|---|---|
Safe | 자격 증명을 그룹화하는 논리적 컨테이너 | AI_SAFE |
AppID | AIM 애플리케이션 식별자 | ai-pipeline-01 |
Authentication | Vault 인증 방식 (LDAP, 인증서, CyberArk) | ClientCert |
PSM_Server | PSM 서버 주소 | psm.internal:1858 |
CPM_Interval | 자격 증명 로테이션 주기 (시간) | 24h |
Safe를 데이터 소스별로 분리하고, AppID에 워크로드 태그를 포함하세요.
403 Forbidden → AppID가 Safe에 매핑되지 않음. PVWA에서 애플리케이션 권한 확인.
cyberark rotate를 트리거하여 신선한 자격 증명을 사용하고, 실패 시 재시도 로직을 구현하세요.