Claude Code for FSI

5호망 단말에서 AI 코딩 에이전트를 안전하게 도입하는 방법

하나증권, Claude Code on Amazon Bedrock

오늘 세션 구성

1
규제: 세 개의 문 21분
2
타사 사례와 랜딩존, 네트워크 22분
3
MCP Hub와 LLM Gateway, 데모 영상 2편 25분
4
구축 방안, 하네스 데모, 도입 경로 22분

같은 증권업에서 이미 문을 통과했다

적합
금융보안원 「생성형 AI 연계 이용 보안대책 평가」에서 국내 금융권 최초 적합 판정 (2026.06). 5호 단말에서 Claude Code를 쓰는 구성
출처: AWS Financial Services Forum Seoul 2026, KB증권 발표
28%
베타테스터 1명이 1.2만 줄 레거시 코드를 한 달 만에 리팩토링. 코드량 28% 감소, 취약점 제거
출처: 동일 발표, 디지털데일리 2026.08.27
오늘의 관점: 하나증권은 처음 가는 길이 아니라, 검증된 길을 재현하고 더 빨리 통과하는 문제입니다.

금융 클라우드 규제는 10년간 열려왔다

시점을 눌러 보세요

주황 표시는 올해 바뀐 두 가지입니다.
기다리지 않는 이유: 방향은 전면 해제로 정해졌지만 일정은 불확실합니다. 지금 갖추는 통제가 향후 선별 대상이 되는 근거가 됩니다.

어느 단말에서 출발하느냐가 근거를 정한다

온프렘 전산실 (5호망)
5호 단말: Claude Code
LLM Gateway, MCP 중계, 망연계 솔루션 (수신)
연구개발망
연구개발 단말(NAC, DLP, DRM), 망연계 솔루션 (송신), VPN
인터넷망
인터넷 PC ✕ 사내망 미연결
③ DX
② VPN
망연계 단방향
① 인터넷
AWS 서울 리전: Workloads OU, AI Platform
Bedrock, AgentCore (PrivateLink only)
R&D OU: 연구개발망
개발 VPC, SWG/CASB 경유 인터넷
Sandbox OU: Playground
승인 모델만, 사내망 미연결
위 버튼으로 경로를 하나씩 켜 보세요. 공통 원칙: 단말에서 Bedrock 직접 호출은 불가, 인터넷망과 연구개발망은 차단

파일이 오가는 지점을 하나로 좁힌다

출발 단말, 사내망
인터넷망 PC. 업무망, 운영망 단말은 직접 접속 불가. 운영계, 고객계 미연계
AWS 연결 경로
인터넷 → 중앙 Gateway → 승인 모델. 외부 SaaS는 승인 Endpoint만
파일 업로드, 반입, 반출
MVP 단계는 업로드 비활성화 권장. 필요 시 PDF/TXT 등 확장자와 용량만. 사내 반입, 반출 모두 불가
핵심 통제
입력 패턴 탐지, 사용량 한도
연구개발망의 트레이드오프: "개발은 클라우드에서, 반영은 망연계로". 통제와 감사는 쉬워지지만, 개발 속도는 망연계 절차가 결정합니다.

망연계는 6단계, 병목은 승인 대기

AWS 연구개발망1 전송 신청Code Repository에서 Git 소스 전송 신청
AWS 연구개발망2 전송 승인승인권자 승인
데이터센터 연구개발망3 망연계로 전송Git → 망연계 솔루션
데이터센터 연구개발망4 목록 조회전송 대상 확인, 선택
전산실5 망연계 승인망연계 단계 승인, 신청
전산실6 반영, 기록전산실 GitLab 수신, 전송 이력 기록
통제내용
전송 방향연구개발망 → 전산실 단방향, 한시적 연결
사전 점검, 수신 검증시큐어코딩 점검, 악성코드 검사. 수신 서버에서 무결성(해시), 바이너리 검증
파일 통제유형, 용량 제한, 암호 걸린 파일 금지, 중요정보, 개인신용정보 포함 여부 검토 후 반출
통신, 기록IPS, 보안 모니터링. 망간 파일 이동 내역 기록, 보관, 주기 점검
리스크: 노란 테두리(2, 5단계) 승인 대기가 길어지면 연구개발망의 장점이 줄어듭니다. 승인 SLA와 자동 검증(SAST, 악성코드 검사)을 함께 설계해야 합니다.
출처: 메가존클라우드 「연구개발망 구축시 고려사항」 p26, p29

운영계와 실제 코드에 닿는 길은 하나

비교축AI Playground연구개발망5호망 + 혁신금융
성격프롬프트, 모델 체험용 테스트 콘솔독립된 정식 R&D 인프라기존 IT 개발, 운영 단말에 AI 연계
법적 근거비조치의견서 / 사내 정책 (확인 필요)전자금융감독규정 §15 연구개발망 예외 (조항 확인 필요)혁신금융서비스 지정 (망분리 특례)
승인 주체CISO, 정보보호 조직내부 정보보호위원회금융위 지정 + 금보원 이행점검
허용 데이터공개, 샘플 (고객정보 입력 금지)가명, 더미 (실데이터 금지)지정 범위 업무 데이터, 개인정보 필터링 전제
리스크: 연구개발망 조항 번호는 자료마다 표기가 다릅니다(제15조 제5호 가목 vs §15①3 가목). 규정 원문으로 확정한 뒤 반영합니다.

연구개발망과 5호망, 통제는 거의 같다

통제 영역Playground연구개발망5호망AWS 구현 수단
범위 (목적 한정)●●●이용 고지, 정보보호위원회 의결
독립 네트워크, 접속 경로◐●●전용 VPC, TGW RT 분리, DX / Client VPN / PrivateLink
접속 단말, 인증, 권한◐●●NAC, EDR, MDM + IAM Identity Center + IdP, MFA
인터넷, SaaS●●●SSE(SWG/CASB), Network Firewall (5호망은 경로 없음)
망간 전송○●○망연계 솔루션 (연구개발망 → 전산실)
계정 분리◐●●Control Tower, OU
리전, 데이터 위치●●●SCP 리전 제한 (Bedrock은 승인 CRIS 프로파일만 예외)
가명, 민감정보, 로그●●●Gateway DLP, Macie, CloudTrail → Log Archive, Invocation Logging
비용, 사용량●◐●Gateway Quota, AWS Budgets
● 필수 ◐ 권장 ○ 해당 없음. 메가존 가이드의 통제 영역 기준 권장안이며, 최종 등급은 하나증권 정보보호 정책으로 확정합니다.

문은 두 개, 권장은 PATH B

세 환경 중 Playground는 체험용이라, 실업무 코드로 들어가는 문은 두 개입니다.
근거와 승인
제15조 연구개발망 예외(조항 확인 필요). 내부 정보보호위원회. 혁신금융 지정 불필요
기간
내부 절차 중심이라 상대적으로 짧음
데이터와 업무
개인정보 기본적으로 처리 불가. 연구개발 용도에 한정
인프라
완전한 망분리 전제. Network, Security, Gateway, 로그를 5호망과 공유하지 못하고 독립적으로 신규 구축
근거와 승인
혁신금융서비스 지정(망분리 특례). 금융위원회 + 금융보안원 이행점검. 연구개발망 구축 불필요
기간
선행 사례 기준 약 1년
데이터와 업무
개인정보는 필터링 필수. 필터링 전제로 실업무까지 확장 가능
인프라
5호망 랜딩존, Gateway, Security를 그대로 활용. 상용 AI 프로젝트도 같은 통제면에 합류
권장: PATH B. 연구개발망은 같은 구성을 한 벌 더 만들어야 하고, 그래도 실업무 코드와 운영계에는 닿지 못합니다.

지정이 끝이 아니다, 이행점검까지

① 보안대책 수립리스크 기반, 부가조건 대비
② 보안대책 컨설팅금감원, 금보원: 적절성, 취약점
③ 지정 신청회차별 접수 기간에 제출
④ 심사 및 지정혁신금융심사위원회 → 금융위 의결
⑤ 보안대책 이행수립한 대책 구현
⑥ 개시 전 이행점검금보원: 보안조치 구비 여부
⑦ 결과 제출부가조건 이행 결과 (금융위, 금감원)
⑧ 서비스 개시생성형 AI 업무 이용 시작
주황 막대: 자사 주관, 파란 막대: 당국 주관
KB증권 공개 경과
  • 2025.07사내 MCP 생태계 설계, 연동 PoC
  • 2025.093분기 혁신금융서비스 지정 신청
  • 2025.10핀테크지원센터 접수 → 금감원 검토 (N차 보완)
  • 2026.01혁신금융서비스 지정
  • 2026.06금보원 이행평가 '적합'
신청 → 지정 약 4개월, 지정 → 적합 약 5개월
기간을 줄이는 곳: ③ 회차별 접수입니다. ①②를 먼저 끝내고 회차에 맞춰 넣어야 전체 기간이 줄어듭니다. 2026.04.15 간소화로 지정 후 모델 버전 교체 부담은 줄었습니다.

1부 정리: 문은 5호망으로 연다

출발 단말이 근거를 정한다
같은 Bedrock이어도 인터넷 PC, 연구개발 단말, 5호 단말에 따라 법적 근거와 승인 주체가 다릅니다.
통제는 거의 같다
연구개발망과 5호망의 통제 요구는 망간 전송, 비용 두 줄만 다릅니다.
권장은 PATH B
실업무 코드와 운영계에 닿는 유일한 길. 약 1년, 회차와 서류 준비가 기간을 결정합니다.
다음 2부: KB증권이 실제로 만든 구조, 그리고 랜딩존과 네트워크를 어떻게 깔아야 하는지 봅니다.

2부: 타사 사례와 랜딩존, 네트워크

KB증권이 지나간 길, 그리고 5호 단말에서 Bedrock까지

KB증권: 도구와 모델, 두 갈래 경로

5호 단말전산실, Claude Code
보안영역운영망, 개발망과 분리
→
DXG전용회선
TGW
→
Data Center VPC (서울 리전)
AgentCore Gateway→ Lambda, ECS 컨테이너(MCP Hub)
Shared VPC
LLM Gateway → VPC Endpoint → BedrockFoundation Models
승인 핵심 조건
① 혁신금융 지정 ② 금보원 '적합' ③ 단말에서 Bedrock 엔드포인트 직접 호출 불가
두 갈래 경로
도구: 단말 → AgentCore Gateway → MCP Hub. 모델: 단말 → LLM Gateway → VPC Endpoint → Bedrock
인터넷 ✕
외부 통신은 전부 차단
출처: KB증권 「망분리를 넘어, AI를 안전하게 확장하다: KB의 AI Ops와 AI Code Assistant 실전 사례」, AWS Financial Services Forum Seoul 2026, MCP Hub 요약 아키텍처

계정 경계는 승인 책임을 따른다

사용 조직 범위: 공개 사례의 확산 순서
1 IT 개발 직원지정서 사용자 범위
2 베타테스터소수 파일럿, 성과 측정
3 확산하네스 정착 후 팀 단위
인원 규모는 공개되지 않았습니다.
원칙: 계정 구조는 기술보다 "누가 승인하고 누가 책임지는가"에 맞춥니다. 타사 계정 구조는 비공개라 일반 요인으로 정리했습니다.
계정 분리 요인계정 설계에 미친 영향
망 구분 (3호 / 5호 / 연구개발)망별 OU 분리, OU마다 다른 SCP
그룹 공통 vs 계열사 단독그룹 공통 AI 플랫폼 계정 + 계열사별 소비 계정
보안 조직 R&RAudit, Log Archive 소유권, 위임 관리자 지정
데이터 등급 (가명 / 실데이터)데이터 계정과 추론 계정 분리
비용 배분 (본부 / 프로젝트)계정 = 과금 단위, 태그 정책

사용자 범위는 신청서에서 정해진다

승인, 사용자 범위
정보보호위원회 의결. 연구개발 목적 인력(내부 정의)
단말, 계정
연구개발 전용 단말: NAC, EDR, DLP, DRM, MDM. IdP + MFA, 역할별 권한 분리
도구 설정, 데이터
관리 설정 배포(모델, MCP 고정). 더미, 가명만(실데이터 금지)
로그, 운영 장치
접속, 전송 기록 1년 이상. 하네스(CLAUDE.md, Skills, 테스트) 권장
승인, 사용자 범위
금융위 지정 + 금보원 이행점검 '적합'. 지정 신청서에 명시한 범위. 확대 시 변경 절차 필요
단말, 계정
기존 5호 단말 통제 + AI 이용 통제. IdP + MFA + 직원별 MCP 도구 허용 목록
도구 설정, 데이터
관리 설정 배포 필수(Hub 외 MCP 차단). 지정 범위 업무 데이터, 개인정보 필터링 전제
로그, 운영 장치
프롬프트, 응답, 도구 호출 단위 감사 로그. 하네스 + 보안 교육, 이용 안내서 게시
기간을 줄이는 방법: 파일럿 범위와 확산 범위를 처음부터 구분해 신청서에 함께 담습니다. 나중에 넓히려면 변경 절차를 다시 밟아야 합니다.

코드 어시스턴트가 발주 조건이 된다

1 발주사AI 개발환경 제공 (랜딩존, Gateway, Hub)
2 RFP"AI 코딩 도구 활용 전제" 명시
3 수행사 견적공정별 MH 조정
4 계약, 검수품질 기준 강화 (테스트 커버리지, 리뷰)
공정별 MH 조정 여지 (정성)
구현대
테스트대
분석, 설계중
이행, 안정화소
구현: 반복 코드, 변환, 리팩토링. 테스트: 단위 테스트 생성. 분석: 레거시 분석, 문서화. 막대는 정성 등급이며 수치가 아닙니다.
리스크 1: 절감분이 품질 저하로 이어지지 않도록 SENSORS(테스트, 리뷰) 기준을 계약에 반영합니다.
리스크 2: 토큰 비용을 발주사와 수행사 중 누가 부담하는지 계약에 명시합니다.
출처를 확인할 수 있는 절감률 수치는 아직 없어 넣지 않았습니다.

랜딩존은 고속도로, 지정은 통행 허가

✓기술 조건랜딩존
계정 구조, 로그, 가드레일. 5호망 AI Platform의 기반
✓법적 조건혁신금융 + 금보원 적합
5호망 단말의 외부 LLM 연결은 지정과 이행점검이 전제
✓승인 조건전산실 중계 구조
단말에서 Bedrock 직접 호출 금지. Gateway, MCP Hub 경유
0 / 3 충족: 카드를 눌러 조건을 채워 보세요.
직답: 랜딩존은 필요조건이지 충분조건이 아닙니다. 연구개발망을 택하면 완전한 망분리 때문에 랜딩존 위의 Network, Security, Gateway를 별도로 새로 만들어야 합니다.

AI는 별도 OU가 아니라 Workloads OU에

Management 계정, AWS Control Tower
Security OU
Infrastructure OU
Workloads OU
R&D OU
Sandbox, Policy Staging
계정을 눌러 역할과 걸리는 정책을 확인하세요. OU는 같은 SCP를 받는 계정의 묶음이고, 기술 종류가 아니라 규제 경계와 환경으로 나눕니다.
리스크: AI Project 계정이 Bedrock을 직접 호출하면 Gateway를 우회합니다. Project 계정의 bedrock:InvokeModel* 는 Deny, Gateway 역할만 허용합니다.

막고, 찾고, 만들기 전에 검사한다

Preventive (예방)
허용되지 않은 작업 자체를 거부
구현: SCP
예: 서울 리전 외 사용 금지, Log Archive 정책 변경 금지
Detective (탐지)
위반 상태를 찾아내 알림
구현: AWS Config 규칙
예: 루트 계정 MFA 미설정, S3 퍼블릭 읽기 허용 탐지
Proactive (사전 검사)
리소스를 만들기 전에 검사해 차단
구현: CloudFormation 훅
예: KMS 암호화 없는 S3 버킷 생성 시도 차단
리스크: SCP는 잘못 적용하면 운영 계정을 한 번에 마비시킬 수 있습니다. Policy Staging OU에 먼저 적용하고 긴급 해제 절차를 문서화하십시오. SCP는 IAM 정책과 AND 조건으로 동작합니다.
SCP: OU, 계정이 쓸 수 있는 최대 권한 범위를 정하는 조직 정책. RCP: 리소스 쪽에 같은 방식으로 적용하는 정책

리전은 서울로, 예외는 승인 CRIS만

{
  "Sid": "DenyOutsideSeoulExceptApprovedCRIS",
  "Effect": "Deny",
  "NotAction": ["iam:*", "sts:*", "organizations:*", "support:*"],
  "Resource": "*",
  "Condition": {
    "StringNotEquals": { "aws:RequestedRegion": "ap-northeast-2" },
    "ArnNotLike": { "bedrock:InferenceProfileArn":
      "arn:aws:bedrock:ap-northeast-2:*:inference-profile/global.anthropic.claude-sonnet-5-5" }
  }
}
동작
서울 밖 호출은 거부. 단, 승인한 CRIS 프로파일 경유의 Bedrock 모델 평가만 통과
근거
CRIS 요청은 목적지 리전, global 모델 ARN(RequestedRegion = unspecified)까지 평가되고, 그 평가에 bedrock:InferenceProfileArn 키가 들어감. 원래 호출의 리전 제한은 우회하지 못함
리스크: CRIS를 허용하면 프롬프트와 응답이 해외 리전에서 처리됩니다. Gateway DLP로 개인신용정보 입력을 먼저 막고, 국외 처리 사실을 혁신금융 신청서와 정보보호위원회 보고에 명시해야 합니다.

5호 단말에서 Bedrock까지, 인터넷 없이

5호 단말온프렘, Claude Code
사내 방화벽기존 5호망 통제
LLM Gateway(안 A) 전산실
Direct Connect2회선, DX Gateway
TGW 5호망 RTEgress 경로 없음
Inspection VPCNetwork Firewall
내부 NLB, Gateway(안 B) ECS / EKS
VPC Endpoint, Bedrockbedrock-runtime
"다음 홉"을 눌러 요청 한 건을 따라가 보세요.
리스크: Gateway 배치는 두 안을 함께 제시합니다. KB증권의 배치는 공개되지 않았고 금보원 해석에 따라 달라지므로 컨설팅 단계에서 확정합니다.

퍼블릭 DNS를 해석하지 않는다

계정 VPC의 Interface Endpoint (Private Subnet, 2 AZ)
bedrock-runtime 모델 추론
bedrock-agentcore.gateway MCP Hub (Gateway)
bedrock-agent-runtime KB 조회
bedrock-agentcore Runtime, Memory, Identity
sts 역할 임시 자격증명
logs, monitoring CloudWatch
kms, secretsmanager 키, 비밀
aoss, glue, states RAG, ETL
S3는 Gateway Endpoint(KB 원천, 로그). AgentCore 엔드포인트 이름은 AgentCore 개발자 가이드(VPC interface endpoints) 기준, bedrock 관리 API는 필요 시 추가
DNS 해석 흐름
1 온프렘 DNS (전산실)bedrock-runtime.ap-northeast-2.amazonaws.com 질의를 조건부 포워딩
2 Route 53 Resolver Inbound EndpointNetwork 계정
3 Private Hosted Zone / Endpoint Private DNSRoute 53 Profiles 또는 RAM으로 계정 간 공유
4 VPC Endpoint ENI (사설 IP)→ Bedrock
Endpoint Policy: 허용 Principal(Gateway 역할)과 허용 모델 ARN만 지정합니다. 모델 allowlist가 SCP, Gateway, 엔드포인트 세 겹으로 걸립니다.

2부 정리: 길은 하나, 우회로는 없다

두 갈래 경로
도구는 AgentCore Gateway(MCP Hub)로, 모델은 LLM Gateway로. KB증권이 검증한 구조입니다.
랜딩존은 필요조건
AI는 Workloads OU에. SCP로 리전, Gateway 우회, 로그, 인터넷 경로를 막습니다.
네트워크에 우회로 없음
DX → TGW 5호망 RT → PrivateLink. 퍼블릭 DNS 해석 없음, 모델 allowlist 세 겹.
다음 3부: 길 끝의 두 관문, MCP Hub와 LLM Gateway를 열어 보고 실제로 돌려 본 데모를 봅니다.

3부: MCP Hub와 LLM Gateway

Claude Code를 하나의 통제면에서, 실제로 돌려 본 데모와 함께

모델은 Gateway로, 도구는 Hub로

전산실 (5호망): 개발자 단말
Claude Code터미널, IDE 플러그인
Codex같은 Gateway 뒤 보조 클라이언트
사내 MCP 서버, 지식 원본형상관리, 일정, 모니터링, 규정집, 코딩 표준
AI Platform 계정 (Workloads / Prod), DX 경유
LLM Gateway → VPC Endpoint → Bedrock + GuardrailsAnthropic / OpenAI 호환 API
MCP Hub = AgentCore GatewayAgentCore Identity(AD)로 사내 시스템 호출, VPC egress → 온프렘
감사 로그 → Log Archive
AI Project 계정 (컨텍스트 계층)
Vector: Bedrock Knowledge BasesOpenSearch Serverless, 규정, 가이드 문서 의미 검색
Graph: Neptune Analytics (+ AWS Context 검토)온톨로지, 관계 검색
ETL: Glue, Step Functions파싱, 정제, 가명화, 청킹. 원본은 온프렘에 유지
왜 컨텍스트 계층까지: Claude Code가 사내 규칙을 알고 코드를 쓰려면 컨텍스트가 필요합니다. 원본은 온프렘에 두고, ETL을 거친 Vector와 Graph만 MCP Hub를 통해 검색합니다.

MCP는 규약, Hub는 그 연결의 관문

통제 지점이 없음
클라이언트마다 MCP 서버를 따로 붙이면 누가 무엇에 붙었는지 알 수 없습니다.
신원 확인 불가
AI가 스스로 "나는 누구"라고 말하는 방식은 검증할 수 없습니다.
정책이 제각각
보안정책, 코딩표준을 개발자 설정에 맡기면 사람마다 다릅니다.
01 중앙 중계
모든 MCP 호출이 Hub를 한 번 거쳐 나갑니다. 감사 추적이 한 곳에 모입니다.
02 통합 인증
사내 AD 계정으로 로그인하고 토큰으로 신원을 증명합니다. 권한 없는 서버는 목록에 안 보입니다.
03 정책 주입
허용 도구, 호출 정책을 Hub가 서버 측에서 적용합니다. 개발자가 지울 수 없습니다.
MCP(Model Context Protocol): AI가 사내 시스템을 도구처럼 호출하게 해 주는 표준 인터페이스. Claude Code와 Codex 모두 지원합니다.

MCP Hub는 AgentCore Gateway로

MCP 클라이언트
Claude Code
Codex
사내 에이전트
Inbound Auth
JWT 검증IdP: 사내 AD 연동 (Keycloak, Entra ID, Cognito 중 택1, 확인 필요)
AgentCore Gateway (MCP Endpoint)
tools/list 분기: 사용자 권한별로 보이는 도구가 다름
Semantic tool search: 도구가 많아도 필요한 것만 노출
AgentCore Policy (Cedar): 호출 단위 허용 / 거부 (2026.03 GA)
Outbound Auth: AgentCore Identity: 자격증명 보관, 사용자 대신 호출. 단말에 자격증명이 남지 않음
Targets
Lambda사내 API 래핑
OpenAPI / Smithy형상관리, 배포, 티켓
기존 MCP 서버, KB 조회사내 문서, RAG
Observability: 호출 로그 → CloudWatch → Log Archive. 클라이언트는 Hub URL 하나만 압니다.
서울 리전: Gateway, Identity, Policy, Observability 가용(AgentCore 리전 문서). 전용 엔드포인트 bedrock-agentcore.gateway. 확인 필요: Policy 엔진의 처리 리전

단말 설정이 없으면 Hub도 무의미하다

관문무엇을 통제하나Claude Code 구현Codex 구현
① 등록 심사사내 MCP 서버를 Hub에 올릴지Hub 운영 조직이 기능, 권한 심사 후 Gateway Target 등록. 개발자 임의 추가 불가동일 (Hub 공용)
② 클라이언트 제한개발자 PC가 Hub 외의 MCP에 붙는 것/etc/claude-code/managed-settings.json: allowedMcpServers(serverUrl), allowManagedMcpServersOnly, allowManagedPermissionRulesOnly, env로 Bedrock, Gateway, 모델 고정관리 배포 config.toml: model_provider = 사내 Gateway, mcp_servers = Hub만 (강제 범위 PoC 확인 필요)
③ 호출 인가사용자별로 어떤 도구를 쓸 수 있나토큰 검증 후 허용 도구 목록만 반환, Policy로 호출 단위 판정동일 (Hub 공용)
②가 없으면 ①과 ③이 무의미: 단말 관리 설정 배포가 MCP 통제의 전제 조건입니다. 다음 장에서 실제로 동작하는 모습을 보여 드립니다.
관리 설정: 회사가 배포해 개발자가 바꿀 수 없게 고정한 도구 설정. 키 이름은 Claude Code 공식 문서(managed settings, managed MCP) 기준이며 데모에서 동작을 확인했습니다.

데모 V1: 관리 설정은 개발자가 못 푼다

실제 터미널 녹화 (2026.10.19 13:59 UTC), Claude Code 2.1.303, 서울 리전 Bedrock. 출력이 2초 넘게 없는 구간은 2초로 줄임, 무음

V1에서 확인한 여섯 가지

자격증명 없음
단말의 AWS_ 환경변수 0개, ~/.aws 없음
env | grep -c "^AWS_" → 0
설정은 root 소유
Gateway 주소, 모델, MCP 허용 목록, deny 규칙을 한 파일로
-rw-r--r-- root root managed-settings.json
Hub 외 MCP 차단
github, 로컬 npx 서버 추가 거부. Hub URL만 허용
Cannot add MCP server "github": not allowed by enterprise policy
사용자 allow 무시
~/.claude/settings.json 의 curl 허용이 적용되지 않음
denied: ["curl -s https://example.com | head -n 1"]
고객 데이터 두 겹
CLAUDE.md 규칙이 먼저 거절, 없는 폴더에서는 deny 규칙이 Read 차단
denied: ["Read .../customer-data/accounts.csv"]
호출은 실명으로
모든 모델 호출이 Gateway 감사 로그에 dev01로 기록
{"user":"dev01","decision":"ALLOW",...}
한계도 정직하게: Bash deny 규칙은 명령 문자열 기준이라 /usr/bin/curl, sh -c 같은 우회는 막지 못하고, Read deny는 스크립트가 직접 여는 파일을 막지 못합니다(공식 문서). 단말 방화벽과 sandbox로 OS 수준을 보강합니다.

요청 한 건이 남기는 흔적

개발자, IdP(AD)
Claude Code
LLM Gateway
Bedrock
AgentCore Gateway
사내 시스템
Log Archive
① AD 계정 로그인 (MFA) → ② 단기 토큰 발급
③ 모델 호출 + 토큰
④ DLP, 모델 allowlist 통과 후 PrivateLink 호출
⑤ 프롬프트, 응답 메타데이터 로그 (user, model, 판정, 토큰)
⑥ 도구 호출 + 토큰 → AgentCore Gateway
⑦ Policy 허용 시 Identity 자격증명으로 호출
⑧ 도구 호출 로그
한 줄로 이어지는 감사: AI가 주장하는 신원이 아니라 토큰으로 확인합니다. 모델 호출과 도구 호출이 같은 신원으로 기록되어 "누가 무엇을 했는지"가 이어집니다.

도구는 개발자가, 통제는 Gateway가

클라이언트
Claude CodeCLAUDE_CODE_USE_BEDROCK
CodexResponses API
LLM Gateway
Bedrock InvokeModel 경로ANTHROPIC_BEDROCK_BASE_URL, CLAUDE_CODE_SKIP_BEDROCK_AUTH
OpenAI 호환 APIResponses / Chat Completions
① 인증, 인가
② DLP
③ 로깅
④ Quota
백엔드
ClaudeSonnet 5 서울 in-region, Opus 5.5, Sonnet 5.5 global CRIS
OpenAI on BedrockGPT-6 Astra, GPT-6.1 Sol 등 global / US CRIS만
(향후) 사내 모델온프렘 vLLM
Claude Code 연결 방식: Bedrock 모드에서 Gateway가 /model/{id}/invoke-with-response-stream 을 받아 자기 역할로 다시 서명합니다. 단말은 Gateway 토큰(Authorization: Bearer)만 가집니다.
리스크: OpenAI 모델은 서울 in-region이 없어 Codex는 CRIS가 전제입니다. 국외 처리와 DLP 범위를 신청서에 명시하고, 지정서에 "사용 도구"를 적는 경우 도구 추가 시 변경 신고가 필요한지 확인합니다.

데모 V2: Gateway가 막고, 남긴다

실제 터미널 녹화 (2026.10.19 14:01 UTC). Gateway는 데모용 Python 구현(약 150줄), Bedrock은 서울 리전 실호출. 대기 구간 2초로 줄임, 무음

감사 로그 한 줄이 점검 답변이 된다

시각 (UTC)usermodeldecisionreasonin / out 토큰
14:01:12dev01anthropic.claude-sonnet-5ALLOWbedrock:20028,950 / 87
14:01:18dev01anthropic.claude-sonnet-5BLOCKdlp:주민등록번호 (9001**********)- (전송 안 됨)
14:01:25dev01global.anthropic.claude-opus-5-5BLOCKmodel_not_allowed-
14:01:30(unknown)anthropic.claude-sonnet-5BLOCKauth-
누가 언제 어떤 모델에
user, ts, model. 토큰은 IdP 신원과 연결
DLP가 무엇을 막았나
reason과 마스킹된 샘플. 원문은 남기지 않음
얼마나 썼나
입출력 토큰. 사용자 Quota와 팀 예산의 원천 데이터
운영 환경에서는: 이 로그를 Log Archive(S3 Object Lock)로 보내고, Bedrock Invocation Logging, CloudTrail과 함께 사내 SIEM에 연동합니다. 4부 감사 추적에서 이어집니다.

원본은 온프렘, AI는 ETL 결과만

온프렘 전산실 (원본)
사내 규정집, 디자인 가이드
코딩 표준, 아키텍처, 기술문서
✕ AI에 원본 직접 연결 없음
DX 경유 승인 배치
AI Project 계정 (지식 계층)
ETL: Glue, Step Functions파싱, 정제, 가명화(규칙 기반), 청킹, 엔티티, 관계 추출, 등급 태깅 → S3 curated(KMS)
Bedrock Knowledge Bases + OpenSearch ServerlessVector: 문서 의미 검색 (서울 가용)
AWS Context지식 그래프: 데이터, 조직, 정책 관계 (서울 확인 필요)
Neptune Analytics그래프 질의: 규정 조항 간 관계 (서울 가용)
개발자 질의를 눌러 보세요
Claude Code는 AgentCore Gateway의 MCP 도구(search_policy, search_design, graph_query)로만 검색합니다.
서울 리전 기준 설계: Amazon Bedrock Managed Knowledge Base(2026.06 GA)와 Bedrock KB GraphRAG는 서울 리전 미지원(AWS 문서)이라, 기본안은 Bedrock Knowledge Bases + OpenSearch Serverless와 Neptune Analytics입니다. AWS Context는 서울 가용성 확인 필요. ETL 가명화 규칙은 컴플라이언스 검토 대상입니다.

국외 처리는 구성요소별로 확인한다

구성요소서울 리전국외 처리 리스크판단
Bedrock Runtime가용 (Sonnet 5 in-region)CRIS 사용 시 해외 리전 처리사용 (서울 기본, 신규 모델 CRIS)
AgentCore Runtime / Gateway / Identity / Observability가용-사용
AgentCore Policy가용정책 엔진 처리 리전 확인 필요확인 후 사용
AgentCore Memory / Evaluations가용교차 리전 추론 사용CRIS 허용 정책 범위에서 사용
Amazon Bedrock Managed Knowledge Base미지원 (2026.06 GA, 서울 미포함)-서울 기본안에서 제외
AWS Context (지식 그래프)확인 필요처리 리전, 데이터 위치확인 후 사용
Bedrock Knowledge Bases + OpenSearch Serverless가용임베딩 모델 리전 확인기본안 (Vector)
Knowledge Bases GraphRAG미지원-Neptune Analytics 직접 질의로 대체
Neptune Analytics가용-기본안 (Graph)
Glue, Step Functions (ETL)가용-사용
원본 제안서 35장을 2026.10.19 기준으로 갱신: AgentCore 지원 리전, Managed Knowledge Base 리전, Knowledge Bases 지원 리전 문서와 서울 리전 API 조회(Bedrock, Neptune Analytics).

3부 정리: 관문은 둘, 겹은 여럿

MCP Hub = AgentCore Gateway
등록 심사, 호출 인가, Identity로 자격증명 보관. 클라이언트는 Hub URL 하나만 압니다.
단말 관리 설정이 전제
V1: Hub 외 MCP, 사용자 allow, 고객 데이터 읽기를 개발자가 풀 수 없음을 확인했습니다.
LLM Gateway가 막고 남긴다
V2: DLP, 모델 allowlist, 토큰 인증, 실명 감사 로그를 서울 리전 실호출로 확인했습니다.
다음 4부: 온프렘과의 비교, 단일 통제면, 그리고 Claude Code가 사내 표준대로 일하게 만드는 하네스 데모입니다.

4부: 구축 방안, 하네스, 도입 경로

온프렘과 비교하고, Claude Code가 사내 표준대로 일하게 만든다

코딩 에이전트는 모델 성능이 곧 생산성

항목온프렘 (GPU + 오픈모델)5호망 혁신금융 + Bedrock연구개발망 + Bedrock
규제 절차가장 단순 (내부망)지정 + 이행점검 (약 1년)내부 의결 (수개월)
코딩 품질오픈모델 한계Claude 최신 모델동일
데이터, 운영계제약 적음, 연계 가능필터링 전제, 지정 범위 내실데이터 금지, 연계 불가
비용 구조GPU CAPEX + 전력 + 전문인력사용량 OPEX사용량 OPEX
최신성직접 교체모델 변경 간소화 절차자율
권장 역할고민감 소형 업무, 백업 경로본 트랙대안: 독립 인프라 신규 구축 필요
온프렘 단독은 권하지 않습니다: 온프렘 모델은 Gateway 뒤 백업 경로로 두면 같은 통제면에서 함께 운영할 수 있습니다.

벤더 종속은 통제면에서 생긴다

층을 눌러 무엇이 바뀌고 어떤 절차가 필요한지 보세요.

망이 여러 개여도 정책은 한 곳에서

통제면 (Control Plane), AI Platform 계정
IdP 연동
Gateway 정책DLP, 라우팅
MCP Hub 등록
모델 allowlist
Quota, 예산
로그, 대시보드
실행면 (Data Plane)
5호망 AI코딩 에이전트
상용 AI 프로젝트AI Project 계정
컨텍스트 계층Vector, Graph
(향후) 그룹 계열사그룹 결정 사항
통제위치구현
누가IdP + AgentCore IdentityAD 그룹 → 역할
무엇을 (모델)LLM Gateway + SCPallowlist
무엇을 (도구)AgentCore Gateway + Policy등록, 인가
얼마나Gateway Quota + Budgets3겹 비용 통제
기록Log Archive + SIEM감사 추적
예외: 연구개발망은 완전한 망분리 대상이라 이 통제면에 붙일 수 없고, 별도 통제면이 필요합니다.

점검 질문마다 답할 로그가 정해져 있다

금보원 점검 질문을 눌러 보세요
Gateway 애플리케이션 로그V2 데모의 감사 로그
Bedrock Invocation Logging
AgentCore Observability
CloudTrail + Config
Log Archive: S3 Object Lock, KMS → 사내 SIEM / Security Lake
보관 기간: 1년 이상을 기본으로 설계합니다(인터넷 접속 기록 1년 이상 기준 준용). 지정 부가조건의 보관 기간은 확인 필요입니다.

비용은 세 겹으로, 먼저 토큰부터 잰다

1 사용자 한도개인별 토큰, 요청 한도. TPM / RPM 제어 (Gateway)
2 팀 예산본부, 팀 단위 월 예산, 소진율 알림 (Gateway 집계)
3 계정 예산AWS Budgets로 계정 레벨 최종 안전망
파일럿 토큰 규모 추정기
파일럿 인원
1인 하루 모델 호출
호출당 입력 토큰
근무일 / 월
월 입력 토큰 (전체)
1인 하루 입력 토큰 (Quota 기준)
기본값 30,000은 V2 데모에서 잰 호출당 입력 토큰(28,950)에 가깝게 둔 값입니다. 대부분 프롬프트 캐시 읽기라 단가가 다르므로, 금액은 Bedrock 요금표로 따로 계산합니다.

도구만 깔면 세 가지 실패가 반복된다

팀 컨벤션 위반사내 코딩 표준을 모르는 코드가 계속 올라옴
▼
01 GUIDESCLAUDE.md / AGENTS.md에 규칙, Skills에 작업 절차. 위반을 미리 막음
스스로 검증하지 않음동작 확인 없이 완료했다고 보고
▼
02 SENSORShooks로 테스트 자동 실행, 리뷰 서브에이전트. 스스로 검증하게 만듦
같은 실수 반복지적해도 다음 세션에서 똑같은 실수
▼
03 STEERING LOOP반복 실수를 관찰해 규칙 자체를 수정. 같은 실수가 줄어듦
Code-based: 결정론적, 빠름, 저렴LLM-based: 확률적, 느림, 비쌈
사전 안내 GUIDES신규 서비스 세팅 스크립트, 사내 CLI, 프로젝트 템플릿CLAUDE.md / AGENTS.md, Skills, 참조 문서 연결 (MCP)
사후 피드백 SENSORSLinter, 타입 체커, 유닛, 통합 테스트AI 코드 리뷰 에이전트, LLM 기반 품질 판정

데모 V3: 표준대로 고치고 스스로 검증

실제 Claude Code 대화형 화면 녹화 (2026.10.19 14:52 UTC), Sonnet 5 서울 리전, LLM Gateway 경유. 대기 구간 2초로 줄임, 무음

V3에서 하네스가 한 일

# .claude/settings.json (프로젝트 하네스)
{ "hooks": { "PostToolUse": [ {
    "matcher": "Edit|Write|MultiEdit",
    "hooks": [ { "type": "command",
      "command": ".claude/hooks/run-tests.sh" } ] } ] } }

# run-tests.sh: 실패 → exit 2, stderr가 Claude에게 전달
out=$(python3 -m pytest -q 2>&1) || { echo "$out" >&2; exit 2; }
printf '{"systemMessage": "[SENSORS] pytest 통과"}'
GUIDES 결과
float → Decimal, round → ROUND_DOWN(항목별), 1/2 → Side Enum(하위 호환), 요율 상수화, 타입 힌트와 한국어 docstring. CLAUDE.md의 코드 규칙이 diff에 그대로
SENSORS 결과
수정 직후 hook이 pytest 실행: 1 failed → 3 passed. 실패했다면 exit 2로 실패 내용이 Claude에게 되돌아가 다시 고침
통제면도 함께
세션 시작 시 Claude Code가 다른 모델 11개(apac 프로파일)를 확인하려 했고, Gateway가 모두 model_not_allowed로 거부. 작업 호출 6건은 Sonnet 5로만 ALLOW

권장 도입 경로: 5호망 혁신금융

단계를 눌러 오늘 본 내용 중 무엇이 들어가는지 보세요. 날짜 대신 착수 시점(M0) 기준 상대 기간으로 표기합니다.
함께 합류: 상용 AI 프로젝트: Workloads OU에 AI Project 계정을 추가해 같은 Gateway, Hub, 로그를 씁니다.
대안: 연구개발망: 완전한 망분리 때문에 Network, Security, Gateway, 로그를 5호망과 별도로 처음부터 구축합니다.
일정은 KB증권 사례 기준 참고치이며 회차별 접수 일정에 따라 달라집니다. PoC 구간은 실데이터 없이 구성을 검증합니다.

확정 전에 확인할 여덟 가지

  • 1 CRIS 국외 처리 고지와 DLP 범위
    국외이전 논리, SCP 예외 조건 → 신청서, 정보보호위원회에 명시
  • 2 연구개발망 조항 번호 표기 불일치
    규정 원문 대조
  • 3 OpenAI 모델 서울 in-region 없음
    Codex는 CRIS 전제, Global / US 국외 처리 고지
  • 4 AgentCore Policy 정책 엔진 처리 리전
    문서 확인 (Gateway, Policy 자체는 서울 가용)
  • 5 AWS Context 서울 지원
    확인 필요. Managed Knowledge Base, KB GraphRAG는 서울 미지원이라 대체안으로 설계
  • 6 LLM Gateway 배치 위치 (전산실 vs AWS)
    금보원 컨설팅
  • 7 망분리 전면 해제 일정
    모니터링
  • 8 KB증권 지정 부가조건 원문 미확인
    보도 기반임을 명시
면책: 규제 해석은 공개 자료 기반의 기술적 해석이며 법률 자문을 대체하지 않습니다. 하나증권 컴플라이언스, 법률 검토를 거쳐 확정합니다.

[부록] 랜딩존은 구축하고 비중요로 검증

유형 ①
랜딩존 없이 테스트, 비중요 서비스를 먼저 올려 봄
평가: 빠르지만 나중에 재구축 부담
유형 ② (권장)
랜딩존을 구축하고 테스트, 비중요 서비스로 검증
평가: AI PoC에 적합
유형 ③
랜딩존을 선제 구축하고 중요 서비스로 검증
평가: 안전하지만 초기 기간이 길어짐
권장 이유: 랜딩존을 먼저 깔아야 2부의 OU, SCP, 로그 체계 위에서 PoC 결과가 그대로 운영으로 이어집니다. 유형 ①은 PoC 뒤 재구축이 필요합니다.
분류 출처: 원본 제안서 부록(국내 은행 공개 구축 사례). 원 출처 확인 전이라 기간 수치는 인용하지 않았습니다.

오늘의 결론, 네 줄

1 문은 5호망으로
실업무 코드와 운영계에 닿는 유일한 경로. KB증권이 검증했고, 약 1년, 회차와 서류가 기간을 정합니다.
2 길에 우회로가 없게
Workloads OU, SCP, DX, TGW 5호망 RT, PrivateLink. 단말에는 AWS 자격증명이 없습니다.
3 관문은 둘, 겹은 여럿
관리 설정(V1), LLM Gateway DLP와 감사 로그(V2), AgentCore Gateway. 통제면은 하나로 고정합니다.
4 하네스가 생산성을 만든다
CLAUDE.md, hooks, 테스트(V3). 도구 도입과 별개로 조직이 만들어야 하는 장치입니다.
다음 단계 제안: 보안대책 초안 작성과 PoC 범위 합의. 오늘 데모의 Gateway, 관리 설정, 하네스 소스는 그대로 PoC 출발점으로 드립니다.

Thank You

Claude Code for FSI, 감사합니다

수고하셨습니다!

← 목차로 돌아가기