데이터베이스 비밀번호나 외부 API 키를 코드나 환경 변수 파일에 그대로 적어 두는 경우가 아직 많습니다. 편하긴 하지만 코드 저장소가 공개되거나 서버 이미지가 공유되는 순간 비밀이 함께 퍼집니다. 그래서 AWS에서는 비밀과 설정값을 별도 저장소에 두고, 실행할 때 권한이 있는 코드만 꺼내 쓰게 하는 방식을 권합니다.
AWS에는 이런 저장소가 두 가지 있습니다. AWS Secrets Manager는 비밀 관리 전용 서비스이고, AWS Systems Manager의 Parameter Store는 설정값과 비밀을 함께 담을 수 있는 계층형 저장소입니다. 기능이 겹치는 부분이 있어 어느 쪽을 써야 할지 고민하게 되는데, 요금 구조를 보면 기준이 꽤 분명해집니다.
이 글에서는 두 서비스의 요금 구조를 먼저 정리하고, 실제 규모별 시나리오 세 가지로 한 달 비용을 계산한 뒤, 고르는 기준을 정리합니다.
요금 구조부터 봅니다
| 항목 | Secrets Manager | Parameter Store 표준 | Parameter Store 고급 |
|---|---|---|---|
| 보관 요금 | 비밀 하나당 월 0.40달러 | 추가 요금 없음 | 파라미터 하나당 월 0.05달러 |
| API 호출 | 1만 건당 0.05달러 | 표준 처리량은 추가 요금 없음 | 1만 건당 0.05달러 |
| 최대 개수(계정·리전당) | - | 10,000개 | 100,000개 |
| 값 최대 크기 | - | 4KB | 8KB |
| 자동 교체(로테이션) | 내장 기능 | 없음 | 없음(만료 알림 같은 정책은 가능) |
Parameter Store 표준 파라미터는 보관과 표준 처리량 호출에 추가 요금이 없습니다. 다만 표준 파라미터라도 높은 처리량 설정을 켜면 API 호출이 1만 건당 0.05달러로 바뀝니다. 고급 파라미터는 한 번 고급으로 바꾸면 표준으로 되돌릴 수 없으니, 필요할 때만 고르는 것이 좋습니다.
시나리오별 한 달 비용 계산
시나리오 1. 작은 서비스 하나
설정값 20개와 데이터베이스 비밀번호 2개가 있고, 애플리케이션이 한 달에 3만 번 값을 읽는다고 해 보겠습니다. 모두 Parameter Store 표준 파라미터에 두고 비밀번호는 암호화 형식(SecureString)으로 저장하면 Parameter Store의 보관과 조회 요금은 0원입니다. 다만 SecureString 값을 읽을 때는 복호화를 위해 KMS 요청이 생기는데, KMS는 AWS 관리형 키라도 요청 요금을 매기므로 월 2만 건 무료 한도를 넘으면 1만 건당 0.03달러가 따로 붙습니다. 같은 비밀번호 2개만 Secrets Manager로 옮기면 2 × 0.40달러 = 0.80달러에, 3만 건 조회가 모두 비밀번호라면 3 × 0.05달러 = 0.15달러가 더해져 월 0.95달러입니다.
시나리오 2. 비밀이 많은 팀
여러 서비스의 비밀 50개를 Secrets Manager에 두고 한 달에 100만 번 조회한다면, 보관 50 × 0.40달러 = 20달러, 조회 100 × 0.05달러 = 5달러로 월 25달러입니다. 같은 50개를 Parameter Store 고급 파라미터로 두면 보관 2.50달러, 조회 5달러로 월 7.50달러입니다.
시나리오 3. 큰 설정값
4KB가 넘는 인증서 묶음이나 긴 JSON 설정은 표준 파라미터에 들어가지 않습니다. 8KB 이하라면 고급 파라미터를, 그보다 크다면 S3 같은 다른 저장소를 고려해야 합니다.
세 시나리오를 보면 단순 보관만 놓고는 Parameter Store가 저렴합니다. 그런데도 Secrets Manager를 쓰는 이유는 다음 절의 자동 교체 기능 때문입니다.
자동 교체가 필요하면 Secrets Manager
비밀번호를 정기적으로 바꾸라는 보안 기준이 있다면 사람이 손으로 바꾸는 방식은 오래가지 못합니다. Secrets Manager는 정해진 주기에 따라 비밀을 새 값으로 바꾸고, 데이터베이스 쪽 비밀번호도 함께 바꾸는 교체 기능을 제공합니다. 애플리케이션은 항상 Secrets Manager에서 최신 값을 읽으므로 코드를 바꾸거나 재배포할 필요가 없습니다.
| 이런 값이라면 | 권장 위치 |
|---|---|
| 로그 수준, 기능 켜기·끄기, 외부 URL 같은 일반 설정 | Parameter Store 표준 |
| 잘 바뀌지 않는 외부 API 키 | Parameter Store 표준(SecureString) |
| 정기적으로 바꿔야 하는 데이터베이스 비밀번호 | Secrets Manager |
| 4KB가 넘거나 만료 알림 정책이 필요한 값 | Parameter Store 고급 |
이름 규칙과 권한을 함께 설계하기
Parameter Store는 이름을 슬래시로 나눈 계층 구조로 만들 수 있습니다. 이름 규칙을 처음에 정해 두면 값을 찾기 쉬울 뿐 아니라, IAM 권한을 경로 단위로 줄 수 있어 관리가 훨씬 간단해집니다.
| 이름 예 | 담는 값 | 권한을 줄 대상 |
|---|---|---|
| /shop/prod/db/host | 운영 데이터베이스 주소 | 운영 서버 역할 |
| /shop/prod/api/payment-key | 결제 API 키(SecureString) | 결제 서비스 역할만 |
| /shop/dev/db/host | 개발 데이터베이스 주소 | 개발 서버 역할, 개발자 |
이렇게 나누면 운영 서버 역할에는 /shop/prod/* 경로만 읽도록, 개발자에게는 /shop/dev/* 경로만 허용하는 IAM 정책을 쓸 수 있습니다. 경로 아래 값을 한 번에 읽는 GetParametersByPath 호출을 쓰면 서비스 시작 시 필요한 설정을 한꺼번에 불러올 수도 있습니다. Secrets Manager도 비밀 이름에 같은 규칙을 적용하면 두 저장소를 함께 쓸 때 헷갈리지 않습니다.
교체 주기를 정할 때
Secrets Manager의 자동 교체는 주기를 정해 두면 그 간격으로 새 비밀번호를 만들고, 데이터베이스와 저장된 값을 함께 바꿉니다. 주기가 너무 짧으면 교체 과정에서 연결 오류가 날 위험이 커지고, 너무 길면 교체하는 의미가 줄어듭니다. 회사의 보안 기준이 정한 주기에 맞추되, 교체가 실제로 성공하는지 처음 몇 번은 직접 확인하는 것이 좋습니다. 애플리케이션이 비밀번호를 오래 캐시하고 있으면 교체 직후 옛 비밀번호로 접속을 시도할 수 있으므로, 접속에 실패하면 값을 다시 읽도록 만들어 두어야 합니다.
비용을 줄이는 습관
- 값을 캐시합니다 — 요청마다 저장소를 조회하지 말고, 애플리케이션이 일정 시간 동안 값을 기억해 두면 API 호출 수가 크게 줄어듭니다.
- 쓰지 않는 비밀은 정리합니다 — Secrets Manager는 비밀 개수만큼 매달 요금이 나가므로, 테스트하다 남은 비밀을 주기적으로 지웁니다.
- 암호화 키 요금도 함께 봅니다 — 암호화된 값을 읽을 때 KMS 요청이 생길 수 있으므로, 조회가 많다면 KMS 요청 요금도 함께 계산합니다.
비밀값 저장소에서 자주 묻는 것
Parameter Store에 비밀번호를 넣어도 안전한가요?
SecureString 형식으로 저장하면 KMS 키로 암호화되고, IAM 정책으로 읽을 수 있는 사람과 역할을 제한할 수 있습니다. 자동 교체가 필요 없다면 충분히 쓸 수 있는 방법입니다.
Lambda 함수에서 매번 조회하면 비용이 많이 나오지 않나요?
호출할 때마다 조회하면 API 호출 수가 함수 실행 수만큼 늘어납니다. AWS가 제공하는 Parameters and Secrets Lambda 확장을 쓰거나 함수 안에서 값을 일정 시간 캐시하면, 같은 값을 반복해서 조회하지 않아 호출 요금과 응답 지연을 함께 줄일 수 있습니다.
두 서비스를 섞어 써도 되나요?
많은 팀이 일반 설정은 Parameter Store에, 교체가 필요한 비밀만 Secrets Manager에 두는 식으로 섞어 씁니다. 경로 이름 규칙을 정해 두면 어느 값이 어디에 있는지 헷갈리지 않습니다.
값의 종류별로 어디에 둘까 — 결정표
요금 계산 다음은 실제 값마다 자리를 정하는 일입니다. 서울 리전 단가(AWS Price List 2026년 10월: Secrets Manager 비밀 하나 월 0.40달러·API 1만 건당 0.05달러, Parameter Store 표준 파라미터 무료·고급 파라미터 월 0.05달러)를 기준으로 값 유형별 자리를 정리했습니다.
| 값 | 두는 곳 | 월 요금 | 이유 |
| RDS 데이터베이스 비밀번호 | Secrets Manager | 0.40달러 | 자동 교체를 RDS와 연동할 수 있음 |
| 외부 API 키 (교체는 사람이 수동) | Parameter Store SecureString (표준) | 0달러 | 암호화 저장은 같고 교체 자동화가 필요 없음 |
| 환경 설정값 (URL, 플래그) | Parameter Store String (표준) | 0달러 | 비밀이 아니므로 평문, 계층 이름으로 정리 |
| 8KB가 넘는 설정 파일 | Parameter Store 고급 파라미터 | 0.05달러 | 표준은 4KB 제한 |
| TLS 인증서 | ACM | 0달러 (퍼블릭) | 로드밸런서·CloudFront에 직접 연결 |
| 여러 계정이 함께 쓰는 비밀 | Secrets Manager + 리소스 정책 | 0.40달러 | 계정 간 공유와 교체를 한곳에서 |
비밀 50개를 전부 Secrets Manager에 두면 월 20달러지만, 위 표대로 자동 교체가 필요한 것만 남기면 대개 5개 안팎(2달러)으로 줄어듭니다. 나머지는 Parameter Store에서 같은 KMS 암호화로 보관됩니다.
정리
- Secrets Manager는 비밀 하나당 월 0.40달러와 1만 건당 0.05달러, Parameter Store 표준은 보관과 표준 처리량 호출에 추가 요금이 없습니다.
- 예시 계산에서 비밀 50개·월 100만 건 조회는 Secrets Manager 약 25달러, Parameter Store 고급 약 7.50달러입니다.
- 정기 교체가 필요한 비밀번호는 Secrets Manager, 일반 설정과 잘 안 바뀌는 키는 Parameter Store 표준이 기본 선택입니다.
- 캐시와 정리 습관만으로도 호출 요금과 보관 요금을 크게 줄일 수 있습니다.
함께 읽으면 좋은 글: 루트 계정 MFA와 IAM 권한 분리 / 서버리스 AWS Lambda 개념
참고 자료: AWS Secrets Manager 요금, AWS Systems Manager 요금(Parameter Store), Parameter Store 표준·고급 파라미터
※ 본 글은 2026년 10월 기준 AWS 요금 페이지와 사용 설명서를 참고해 작성했으며, 요금과 한도는 변경될 수 있으니 최신 내용은 AWS 공식 문서에서 확인해 주세요.
'IT 클라우드 정보' 카테고리의 다른 글
| IAM 사용자 대신 IAM Identity Center를 쓰는 이유, 여러 계정 로그인을 한 곳에서 (0) | 2026.10.14 |
|---|---|
| AWS 계정을 여러 개 쓸 때 SCP로 막을 수 있는 것과 막을 수 없는 것 (0) | 2026.10.13 |
| SQS 표준 대기열과 FIFO 대기열, 메시지 순서와 중복을 어떻게 다룰까 (0) | 2026.10.12 |
| gp2를 gp3로 바꾸면 얼마나 아낄까, EBS 범용 SSD 비교와 무중단 변경 방법 (0) | 2026.10.11 |
| EC2에 SSH 키 없이 접속하기, Session Manager로 22번 포트를 닫는 순서 (0) | 2026.10.10 |
