API 키 관리
API 키는 사람 대신 서버나 백오피스 스크립트가 EasterAd Core REST API를 호출할 때 사용하는 인증 자격증명(Bearer Token)입니다.
API 키는 조직 내에서 역할(Role)을 부여받은 ‘자동화 계정(Service Account)’으로 동작하며, 콘솔의 멤버 목록에서 사람 구성원과 동일한 체계로 관리됩니다.
1. API 키 발급 절차
섹션 제목: “1. API 키 발급 절차”- 콘솔 사이드바의 조직 설정 → 멤버 관리로 이동합니다.
- 상단의 API 키 생성 버튼을 클릭합니다.
- 보안 정책과 용도에 맞춰 아래 항목을 입력합니다.
| 설정 항목 | 입력 규칙 및 보안 권장사항 |
|---|---|
| 역할 (Role) * | 필수 선택. 이 키가 수행할 작업 권한입니다. 필요 최소 권한의 전용 역할(예: Report_Reader_Bot)을 별도로 만들어 부여하세요. |
| 키 이름 * | 식별용 이름 (예: AWS_Prod_Billing_Sync_Bot) |
| 설명 | 사용 서버, 담당자 연락처, 연동 목적을 메모합니다. |
| IP Whitelist | 호출을 허용할 고정 공인 IP 또는 CIDR 대역 (예: 203.0.113.50 또는 198.51.100.0/24). 비워두면 모든 IP에서 호출 가능하므로, 운영 환경 키에는 반드시 고정 공인 IP 대역 설정을 강력히 권장합니다. |
| Rate Limit | 허용할 최대 요청 수 / 시간 창(초). 기본 제안값은 10,000회 / 3,600초(1시간)입니다. |
| 만료일 | 자동 만료 시점을 지정합니다. 정기적인 키 갱신(Rotation)을 위해 설정을 권장합니다. |
2. API 키 정책 수정과 교체(Rotation)
섹션 제목: “2. API 키 정책 수정과 교체(Rotation)”콘솔의 멤버 목록에서 등록된 API 키 행의 작업 메뉴를 통해 다음 작업을 수행할 수 있습니다.
- 정책 수정: 키의 이름, 설명, IP 허용목록, 요청 제한, 만료일을 변경합니다. (키 문자열 자체는 변경되지 않고 그대로 유지됩니다.)
- 키 교체 (Rotate):
- 기존 키 즉시 무효화: 교체 버튼을 누르면 새 시크릿이 1회 발급되며, 기존 키는 유예 기간 없이 즉시 폐기됩니다.
- 무중단 교체 팁: 운영 서버의 호출 중단 없이 안전하게 키를 교체하려면, 기존 키를 바로 교체하지 마시고 새로운 API 키를 하나 더 발급받아 서버 환경 변수를 배포한 뒤, 정상 동작을 확인하고 기존 키를 삭제하세요.
- 키 삭제: 해당 API 키 계정을 영구 폐기합니다. 삭제 즉시 해당 키의 모든 API 요청이 거부됩니다.
3. 핵심 보안 체크리스트
섹션 제목: “3. 핵심 보안 체크리스트”- 클라이언트 코드 포함 절대 금지: API 키는 서버 간 통신 전용입니다. Unity, Cocos, 웹 프론트엔드 빌드나 공개 Git 저장소에 키를 하드코딩하지 마세요.
- 목적별 키 분리: 리포트 수집용 봇, 캠페인 자동 생성 봇 등 목적에 따라 API 키를 분리하여 운영하세요. 키 하나가 노출되더라도 피해 반경을 최소화할 수 있습니다.
- 유출 의심 시 즉시 조치: 키 노출이 의심되면 지체 없이 콘솔에서 해당 키를 교체하거나 삭제하세요.