Amazon SES에서 DKIM 구성이 타임 아웃 될 때 어떻게 대응해야 할까?
안녕하세요 클래스메소드 김재욱(Kim Jaewook) 입니다. 이번 블로그에서는 Amazon SES에서 DKIM 구성이 타임 아웃 될 때 어떻게 대응해야 하는지 확인해 봤습니다.
문제 발생
Amazon SES에서 도메인 자격 증명(Identity)을 생성했지만 상태가 확인되지 않음(Verification pending)으로 표시되었습니다.
AWS 공식 문서에서는 도메인 검증을 위해 DNS에 등록한 레코드가 전파되고 Amazon SES에서 이를 확인하는 데 최대 72시간이 소요될 수 있다고 안내하고 있습니다. 즉, 72시간 안에 DNS 레코드를 등록해야 한다는 의미가 아니라, 등록한 DNS 변경 사항이 반영되는 데 최대 72시간이 걸릴 수 있다는 의미입니다. (AWS Documentation)
도메인 ID를 확인하려면 해당 도메인의 DNS 설정에 접근해야 합니다. 이러한 설정 변경 사항이 적용되는 데 최대 72시간이 소요될 수 있습니다.
실제로는 DNS가 정상적으로 설정되어 있다면 수 분에서 수십 분 내에 검증이 완료되는 경우가 대부분이며, 72시간이 지나도 Verification pending 상태라면 DNS 레코드가 잘못 등록되었거나 전파되지 않았을 가능성을 먼저 확인하는 것이 좋습니다. AWS 역시 72시간 동안 레코드를 확인하지 못하면 검증이 실패(Failure) 상태로 변경될 수 있다고 안내하고 있습니다. (AWS Documentation)
재발급 시 주의
이전 글에서 살펴본 것처럼, ACM은 동일한 AWS 계정에서 같은 도메인으로 인증서를 다시 발급하더라도 기존과 동일한 DNS 검증용 CNAME 레코드를 사용할 수 있습니다. 따라서 인증서를 삭제한 후 다시 생성하더라도 DNS 레코드를 변경할 필요가 없는 경우가 대부분입니다.
반면 Amazon SES는 동작 방식이 다릅니다. 도메인 자격 증명(Identity)을 삭제한 뒤 다시 생성하면 새로운 DKIM CNAME 레코드가 발급됩니다. 따라서 기존 DNS 레코드를 그대로 사용할 수 없으며, 새로 발급된 CNAME 레코드로 DNS를 다시 등록해야 합니다. (AWS Documentation)
즉, Verification pending 상태가 오래 지속된다고 해서 자격 증명을 삭제하고 다시 생성하면 오히려 기존에 등록해 둔 DNS 레코드와 불일치가 발생할 수 있습니다. 재발급을 진행했다면 반드시 Amazon SES에서 새롭게 발급된 DKIM CNAME 레코드가 DNS에 반영되어 있는지 확인하는 것이 중요합니다. (AWS Documentation)
정리하자면
- ACM: 동일한 도메인으로 재발급해도 동일한 CNAME을 사용하는 경우가 많음
- Amazon SES: 재발급 시 새로운 DKIM CNAME이 발급되므로 기존 DNS 레코드를 그대로 사용할 수 없음
- 따라서
Verification pending상태라고 무작정 삭제 후 재생성하기보다는 DNS 설정과 전파 상태를 먼저 확인하는 것을 권장 (AWS Documentation)
재시도
DNS 설정을 확인한 결과 CNAME 레코드가 누락되었거나 잘못 등록되어 있었다면, 레코드를 수정한 후 Amazon SES에서 재시도(Retry) 기능을 사용할 수 있습니다.
Amazon SES에서 DKIM 구성 상태가 구성되지 않음(Not configured)으로 표시되는 경우에는 자격 증명을 삭제하고 다시 생성할 필요는 없습니다. 대신 재시도(Retry) 기능을 사용하여 DKIM 구성을 다시 요청할 수 있습니다.
DKIM 구성 상태가 구성되지 않음(Not configured)인 자격 증명을 선택한 후 재시도(Retry)를 클릭합니다.
재시도를 실행하기 전에 반드시 DNS에 현재 자격 증명에서 제공하는 DKIM CNAME 레코드가 올바르게 등록되어 있는지 확인하세요. DNS 설정이 수정되지 않은 상태에서 재시도해도 동일하게 DKIM 구성이 실패할 수 있습니다.
재시도(Retry)를 클릭한 후 상태를 다시 확인해 보면 DKIM 구성이 대기 중(Pending)으로 변경된 것을 확인할 수 있습니다.
또한 재시도는 기존 자격 증명의 DKIM 구성을 다시 요청하는 기능이므로, 새로운 DKIM CNAME 레코드가 발급되지 않습니다. 따라서 DNS에 등록해야 하는 CNAME 레코드도 이전과 동일합니다.
반면 자격 증명(Identity)을 삭제한 후 다시 생성하는 경우에는 새로운 DKIM CNAME 레코드가 발급되므로 기존 DNS 레코드를 그대로 사용할 수 없다는 점을 함께 기억해 두면 좋습니다.
마무리
이번 글에서는 Amazon SES에서 도메인 자격 증명을 생성한 후 DKIM 구성이 Verification pending 상태에서 진행되지 않거나 구성되지 않음(Not configured) 상태로 변경되었을 때 확인해야 할 사항과 해결 방법을 살펴보았습니다.
처음에는 AWS 공식 문서에 "최대 72시간이 소요될 수 있다"는 안내를 보고 일정 시간이 지나면 자동으로 해결될 것이라고 생각하기 쉽습니다. 하지만 이 문구는 72시간 이내에 DNS 레코드를 등록해야 한다는 의미가 아니라, DNS 변경 사항이 전파되고 Amazon SES가 이를 확인하는 데 최대 72시간이 걸릴 수 있다는 의미입니다. 실제로는 DNS 레코드가 올바르게 등록되어 있다면 대부분 수 분에서 수십 분 내에 검증이 완료됩니다.
또한 ACM을 사용해 본 경험이 있다면 문제가 발생했을 때 인증서를 삭제한 후 다시 생성하는 방식에 익숙할 수 있습니다. 하지만 Amazon SES는 ACM과 동작 방식이 다르다는 점을 기억해야 합니다. ACM은 동일한 계정과 도메인에서 인증서를 다시 생성하더라도 동일한 DNS 검증 레코드를 사용하는 경우가 많지만, Amazon SES는 자격 증명을 삭제하고 다시 생성하면 새로운 DKIM CNAME 레코드가 발급됩니다. 따라서 기존 DNS 레코드를 그대로 사용할 수 없으며, 새로운 레코드로 DNS를 다시 구성해야 합니다.
반대로 구성되지 않음(Not configured) 상태가 되었다고 해서 반드시 자격 증명을 삭제할 필요는 없습니다. DNS 설정을 수정한 후에는 Amazon SES에서 제공하는 재시도(Retry) 기능을 이용해 DKIM 구성을 다시 요청할 수 있습니다. 이 기능은 기존 자격 증명을 대상으로 다시 구성을 시도하는 것이므로 새로운 DKIM CNAME 레코드가 발급되지 않으며, 기존에 제공된 CNAME 레코드를 그대로 사용할 수 있습니다.
이번 내용을 정리하면 다음과 같습니다.
Verification pending상태가 오래 지속된다면 먼저 DNS 레코드가 올바르게 등록되었는지 확인합니다.- AWS 문서의 "최대 72시간"은 DNS 전파 및 검증에 필요한 최대 시간을 의미하며, 72시간 안에 등록해야 한다는 의미는 아닙니다.
- Amazon SES에서 자격 증명을 삭제하고 다시 생성하면 새로운 DKIM CNAME 레코드가 발급됩니다.
구성되지 않음(Not configured)상태라면 자격 증명을 재생성하기보다재시도(Retry)기능을 먼저 활용하는 것이 좋습니다.재시도(Retry)는 기존 DKIM 구성을 다시 요청하는 기능이므로 CNAME 레코드는 변경되지 않습니다.
Amazon SES의 DKIM 검증은 단순히 시간이 지나면 해결되는 문제가 아니라 대부분 DNS 설정과 관련되어 있습니다. 문제가 발생했을 때는 무작정 자격 증명을 삭제하고 다시 생성하기보다 현재 등록된 DNS 레코드가 Amazon SES에서 제공하는 값과 일치하는지 확인한 뒤, 필요하다면 재시도(Retry) 기능을 활용하는 것이 가장 안전한 방법입니다.
이 글이 Amazon SES에서 DKIM 구성 타임아웃이나 검증 실패를 경험한 분들이 원인을 빠르게 파악하고 불필요한 재생성을 피하는 데 도움이 되었으면 합니다.
