글로벌 디자인 플랫폼 Canva는 HashiCorp Vault를 도입해 시크릿 스프롤(Secret Sprawl)을 해소하고, 보안과 확장성을 모두 충족하는 시크릿 관리 체계를 완성했습니다.

오늘은 Canva의 HashiCorp Vault 도입 사례에 대해 소개해드리겠습니다. 

☑️Canva 소개

Canva는 전 세계를 디자인으로 연결하는 글로벌 온라인 비주얼 커뮤니케이션 플랫폼입니다. 

Fortune 500 기업의 90% 이상 그리고 190개국에서 사용중인 Canva는 접근성이 높고 사용자 친화적인 서비스로 그래픽 디자인 솔루션 분야의 선두기업으로 ‘누구나 디자인할 수 있도록 돕는다’는 미션 아래, 1억 7천만 명 이상의 월간 사용자와 함께 B2B·B2C 통합 SaaS 환경을 제공하고 있습니다.

☑️보안 과제: 시크릿 분산으로 인한 가시성 저하와 수작업 증가

Canva는 B2B 및 B2C 고객 모두에게 SaaS 서비스를 제공하면서 안전한 액세스 자격 증명 관리가 필요한 수많은 API, 데이터베이스 및 서비스를 활용합니다. 월간 사용자 1억 7천만 명 이상이 사용하는 Canva 서비스는 월간 수백만 건의 보안 정보 조회를 지원할 수 있는 견고한 인프라를 요구합니다.

시크릿이 여러 저장소에 분산되어 가시성을 저해하고 보안 위험을 증폭시켰습니다. 이러한 분산형 시크릿 관리 방식은 상당한 수동 오버헤드를 발생시켜 IT 운영 확장을 어렵게 만들었고, 다음과 같은 문제를 일으켰습니다. 

• · 시스템 전반의 시크릿 가시성 저하
• · 보안 리스크 증가 및 권한 관리 복잡화
• · 시크릿 수명 주기 관리의 수작업 의존도 상승
• · 서비스 규모 확대에 따른 운영 효율성 저하

☑️해결책: HashiCorp Vault 도입으로 중앙화와 자동화 시작

Canva는 HashiCorp Vault를 도입하며 중앙 집중형 시크릿 관리 체계를 단계적으로 구축했습니다.

이 과정은 다음과 같이 진행되었습니다. 

1. 빌드 시스템 마이그레이션

• · Buildkite 에이전트에 OIDC 기반 커스텀 인증 플러그인을 적용
• · 파이프라인별로 유효 기간이 짧은 시크릿을 발급함으로써 보안 강화

2. 백엔드 시스템 확장 적용

• · 성공적인 빌드 시스템 적용 이후, Vault 사용을 전체 백엔드로 확대
• · 현재 전체 백엔드 시스템 중 약 80%를 Vault로 전환 완료

3. 운영 현황

• · Vault는 현재 Canva에서 매월 200만 건의 빌드 및 시크릿 조회를 처리 중

HashiCorp Vault의 시크릿 관리 기능

Vault는 단순한 시크릿 저장소가 아닙니다. 짧은 수명의 동적 시크릿(Dynamic Secrets) 발급을 비롯해, 중앙 집중식 정책 기반 접근 제어, 자동 키 회전(Auto-rotation), 감사 로그 기록(Auditing) 등 엔터프라이즈 보안 환경에 필수적인 기능을 제공합니다.

Vault의 주요 기능은 다음과 같습니다.

• · 동적 시크릿 발급: 요청 시점에만 생성되는 짧은 수명의 자격 증명을 제공해, 노출 가능성을 최소화
• · 시크릿 수명 주기 관리 자동화: 만료, 갱신, 폐기에 대한 전 과정을 자동으로 처리
• · 정책 기반 접근 제어: 팀, 환경, 사용 목적에 따라 세분화된 접근 정책 설정 가능
• · 플러그형 구조: 다양한 인증 백엔드(OIDC, LDAP 등) 및 시크릿 엔진(MySQL, AWS, K8s 등) 통합 가능
• · 전사 보안 감사를 위한 완전한 접근 로그 기록

Canva 사례에서 볼 수 있듯이, Vault는 단기간 내 운영 효율성과 보안 수준을 동시에 끌어올릴 수 있는 실용적인 솔루션입니다.

HashiCorp Vault 도입 효과

• · 시크릿 스프롤 제거 및 전사적 가시성 확보
• · 시크릿 자동 회전(Auto-rotation)으로 보안 리스크 최소화
• · Vault의 확장성을 활용한 고도화된 시크릿 관리
• · 무중단, 단계적 마이그레이션으로 운영 안정성 확보
• · 2백만 건 이상 월간 요청 규모를 안정적으로 처리

담당자 인사이트

Anthony Ralston이 속한 Canva 클라우드 보안팀은 지난 2년간 정적 시크릿을 동적으로 전환하는 과제를 수행해 왔으며, 그 중심에 HashiCorp Vault가 있었습니다.

우리가 Vault를 선택할 때 가장 중요하게 본 요소 중 하나는 확장성이었습니다. Vault는 정말 플러그형 구조로, 커스텀 인증 엔진이나 시크릿 엔진을 직접 개발할 수 있어 확장 가능성이 무궁무진합니다.
Anthony Ralston, Senior Software Engineer, Cloud Security, Canva

Canva와 같은 대규모 SaaS 환경에서도 입증된 HashiCorp Vault, 클라우드네트웍스와 함께 도입해보세요!

▶ 하시코프 볼트(HashiCorp Vault) : 자세히보기

HashiCorp Vault는 인증과 인가를 기반으로 민감한 정보를 안전하게 관리하는 ID 기반의 시크릿 및 암호화 관리 시스템입니다. 토큰, API 키, 비밀번호, 암호화 키, 인증서 등 민감 정보를 통합된 인터페이스에서 일관되게 관리할 수 있으며, 접근 제어와 감사 로그 기능을 통해 보안을 강화합니다. 시크릿은 플랫폼별로 분산되어 관리되기 쉬우며, 누가 어떤 정보에 접근하는지 파악하기 어렵고, 키 순환이나 안전한 저장, 상세한 로깅 등의 기능을 자체적으로 구현하기는 쉽지 않습니다. Vault는 이러한 문제를 해결하기 위해 사용자, 애플리케이션, 시스템 등의 클라이언트를 검증하고 인가한 후에만 민감한 데이터에 접근할 수 있도록 지원합니다.

클라우드네트웍스는 전담팀을 통해 테라폼, 볼트를 포함한 하시코프 제품군의 구축 및 기술지원 서비스를 제공합니다. 하시코프에 대한 문의사항은 공식 파트너사인 클라우드네트웍스로 연락 부탁드립니다.