개인 키 관리 없이 Vercel Functions에서 JWT 서명하기

Vercel KMS는 Vercel Functions에서 관리형 비대칭 서명 키를 사용하여 JWT 및 임의의 메시지를 서명할 수 있는 기능을 제공한다. 이를 통해 개인 키를 코드나 환경 변수에 직접 노출하지 않고도 보안을 유지할 수 있다. 함수는 Vercel OIDC 토큰으로 인증하며, 개인 키는 Vercel의 키 관리 서비스 내부에 안전하게 보관된다.

주요 기능은 다음과 같다:

• CLI와 대시보드를 통한 발행자(Issuer) 및 서명 키(RSA, ECDSA, EdDSA) 생성 및 교체
• @vercel/kms 패키지를 사용한 커스텀 클레임, TTL 설정 및 원시 바이트 서명
• 프로덕션, 프리뷰, 개발 등 환경별 프로젝트 서명 권한 부여
• JSON Schema를 통한 토큰 클레임 검증 및 요청 제한
• 표준 OIDC 및 JOSE 라이브러리를 통한 어디서든 토큰 검증 가능 (JWKS 제공)

보안을 위해 프로젝트와 환경별로 별도의 발행자를 생성하는 것이 권장된다. 이를 통해 각 토큰의 대상(Audience)을 명확히 구분하고, 특정 키를 교체하거나 취소할 때 다른 환경에 영향을 주지 않도록 격리할 수 있다.

현재 Vercel KMS는 베타 버전으로 모든 플랜에서 사용할 수 있다.