[storage] Amazon S3

스토리지 클래스(비용/접근 계층)는 s3-storage-classes.md에서 별도로 다룬다. 이 노트는 S3의 핵심 기능 — 버저닝·복제·암호화·접근 제어·이벤트·Object Lock 에 집중한다.

One-Line Summary

Amazon S3는 사실상 무한히 확장되는 객체 스토리지로, 파일(객체)을 버킷에 키-값으로 저장하고 HTTP API로 접근한다. 11 9s(99.999999999%) 내구성과 리전 다중 AZ 저장이 기본이며, 정적 자산·데이터 레이크·백업·아카이브의 표준이다. 시험에서는 버저닝 / 복제(CRR·SRR) / 암호화(SSE-S3·KMS·C) / 접근 제어(버킷 정책·Block Public Access·presigned) / 이벤트 알림 / Object Lock(WORM) 이 핵심이다.

뭔지 (What / Why) — 파일 시스템이 아니다

S3는 EBS·EFS 같은 파일/블록 스토리지가 아니라 객체 스토리지다. 마운트해서 랜덤 쓰기를 하는 게 아니라, 객체 단위로 통째로 PUT/GET한다(HTTP API).

버킷(전역 유일 이름) 
  └─ 객체 = 키(예: photos/2026/cat.jpg) + 값(데이터) + 메타데이터 + 버전ID
     * 폴더처럼 보이는 건 키의 접두사(prefix)일 뿐, 실제 계층 구조는 없다(flat)

"무한 확장 객체 저장 / 정적 자산 / 데이터 레이크 / 백업·아카이브" = S3. "마운트해서 여러 서버가 파일 공유" 는 EFS/FSx(S3 아님).

버저닝 (Versioning) — 실수/삭제 보호 (빈출)

버킷에 버저닝을 켜면 같은 키에 덮어써도 이전 버전이 보존되고, 삭제해도 실제로 지워지지 않고 **삭제 마커(delete marker)**가 얹힌다.

cat.jpg 업로드      → v1
cat.jpg 다시 업로드 → v2 (v1도 그대로 보존)
cat.jpg 삭제        → delete marker (v1·v2는 남아있음, 복구 가능)

• 실수로 덮어쓰기/삭제한 데이터를 되돌릴 수 있다.
• 한 번 켜면 끄기(disable)는 불가, 일시 중단(suspend)만 된다.
• 복제(Replication)의 전제 조건이기도 하다.

시험 트리거: "protect against accidental delete/overwrite" → Versioning(+ 강화하려면 MFA Delete).

복제 (Replication) — CRR vs SRR (빈출)

객체를 다른 버킷으로 자동 복제한다. 양쪽 버킷 모두 버저닝 필수, 복제는 비동기.

핵심 포인트:

• 소급 복제 안 됨 — 켠 이후 객체만. 기존 객체는 S3 Batch Replication 필요.
• 다른 계정으로도 복제 가능(교차 계정 백업).
• 삭제 마커 복제 여부 등은 옵션.

시험 트리거: "replicate to another region for DR/latency/compliance" → CRR. "same region, log aggregation / cross-account" → SRR. "왜 복제가 안 되지" → 버저닝 미설정 또는 기존 객체(소급 안 됨).

암호화 (Encryption) — 4가지 (빈출)

S3는 저장 데이터 암호화를 여러 방식으로 제공한다. (2023년부터 모든 새 객체는 기본 SSE-S3로 암호화된다.)

• SSE-KMS 주의: 객체가 많으면 KMS 호출 비용·스로틀 → S3 Bucket Key로 호출 절감(KMS 노트 참고).
• 전송 중 암호화: HTTPS(TLS). 버킷 정책으로 aws:SecureTransport를 강제해 HTTP 차단 가능.

시험 트리거: "encrypt at rest, audit key usage / control key access" → SSE-KMS. "manage encryption keys yourself, keys never stored in AWS" → SSE-C. 자세한 키/봉투암호화는 security/kms.md.

접근 제어 & 보안 (빈출)

S3 접근은 여러 계층으로 통제된다. 기본은 전부 비공개(private) 다.

• 정적 웹사이트를 공개하려면 Block Public Access 해제 + 버킷 정책 허용. 하지만 비공개 오리진 + CloudFront + OAC가 더 안전(→ cloudfront.md).
• VPC에서 사설로 접근은 S3 Gateway Endpoint(무료, NAT 불필요 → vpc-endpoint-privatelink.md).

시험 트리거: "grant temporary download access to a private object" → Presigned URL. "prevent any public exposure" → Block Public Access. "cross-account access to a bucket" → 버킷 정책.

이벤트 알림 (Event Notifications)

객체 생성/삭제 등 이벤트가 나면 다른 서비스를 트리거한다.

S3 이벤트(예: s3:ObjectCreated:*)
  → SNS / SQS / Lambda 로 직접 통지
  → 또는 EventBridge 로 보내 더 풍부한 라우팅/필터

• 대표 패턴: 업로드 → Lambda로 썸네일 생성 / 바이러스 스캔 / 메타데이터 색인.
• 더 정교한 필터·다수 대상·재시도가 필요하면 EventBridge 경유.

시험 트리거: "process an object right after upload" → S3 event → Lambda(또는 SQS/SNS/EventBridge).

Object Lock — WORM (규정 준수, 빈출)

Write-Once-Read-Many — 지정 기간 동안 객체를 삭제·수정 못 하게 잠근다. 규정(금융·의료 감사 로그)에 쓴다. 버저닝 필수.

시험 트리거: "records must be immutable / WORM / cannot be deleted for N years (compliance)" → Object Lock (Compliance 모드). "관리자가 필요 시 예외 삭제" → Governance.

대용량·성능·기타 (SAA 레벨에서 알아둘 것)

Common Wrong Directions

Exam Triggers

Memory Sentence

S3는 11 9s 내구성의 무한 객체 스토리지(강력한 read-after-write 일관성). 실수 보호는 버저닝(+MFA Delete), 지역 분산/DR은 CRR·같은 리전은 SRR(양쪽 버저닝 필수·소급 안 됨). 암호화는 기본 SSE-S3·감사면 SSE-KMS·직접 키면 SSE-C. 접근은 기본 비공개(Block Public Access)·정책·임시는 Presigned. 업로드 후 처리는 이벤트→Lambda, 규정 불변 보관은 Object Lock(WORM). 클래스·비용은 s3-storage-classes 노트.

References

• What is Amazon S3
• S3 Versioning
• Replication (CRR/SRR)
• Protecting data with encryption
• Blocking public access
• Event notifications
• S3 Object Lock
• Presigned URLs