OpenTelemetry 지표에 대한 저장 데이터 암호화

CloudWatch 데이터세트란?

Amazon CloudWatch로 전송하는 OpenTelemetry(OTel) 지표는 데이터세트라는 리소스에 저장됩니다. 모든 AWS 계정에는 모든 OTel 지표가 있는 각 리전에 default 데이터세트가 있습니다. default 데이터세트는 유일하게 지원되는 데이터세트이므로 추가 데이터세트를 생성할 수 없습니다.

데이터세트는 다른 AWS 리소스와 마찬가지로 암호화하고 태그를 지정할 수 있습니다. 데이터세트 ARN의 형식은 다음과 같습니다.

arn:{partition}:cloudwatch:{region}:{account-id}:dataset/default

데이터세트의 현재 암호화 구성을 보려면 GetDataset API를 사용합니다.

aws cloudwatch get-dataset \
    --dataset-identifier default

고객 관리형 키가 데이터세트와 연결된 경우 응답에는 키 ARN이 포함됩니다. 고객 관리형 키가 연결되지 않은 경우 데이터세트는 AWS 소유 키로 암호화됩니다.

미사용 중 암호화 옵션

CloudWatch는 항상 데이터세트 저장 데이터를 암호화합니다. 기본적으로 CloudWatch는 AWS 소유 키를 사용하여 모든 저장 데이터를 암호화합니다. AWS 소유 키를 사용하여 데이터를 보호하기 위해 어떤 조치도 취할 필요가 없습니다. 자세한 내용은 AWS Key Management Service 개발자 가이드에서 AWS 소유 키를 참조하세요.

데이터세트 데이터를 암호화하는 데 사용되는 키를 관리하려면 AWS Key Management Service(AWS KMS)에서 고객 관리형 키를 사용하면 됩니다. 자세한 내용은 AWS Key Management Service Developer Guide의 Customer managed keys를 참조하십시오.

고객 관리형 키를 사용하는 경우 AWS KMS 요금이 부과됩니다. 요금에 대한 자세한 내용은 AWS Key Management Service 요금을 참조하세요.

CloudWatch가 데이터세트 암호화에 고객 관리형 키를 사용하는 방법

고객 관리형 키를 default 데이터세트와 연결하면 CloudWatch는 키를 사용하여 해당 데이터세트에 저장된 모든 OTel 지표 데이터를 암호화합니다.

CloudWatch는 키 정책 권한과 함께 서비스 보안 주체(cloudwatch.amazonaws.com)를 직접 사용합니다. CloudWatch는 권한 부여 또는 IAM 역할을 사용하여 AWS KMS 키에 액세스하지 않습니다.

CloudWatch는 데이터 키를 캐싱하지 않습니다. 그러나 CloudWatch는 최대 15분 동안 kms:Decrypt 응답을 캐싱합니다. 키 정책에 대한 변경 사항이 적용되는 데 최대 15분이 걸릴 수 있습니다.

CloudWatch는 모든 AWS KMS 암호화 작업에 다음 암호화 컨텍스트를 사용합니다.

데이터세트에 대한 고객 관리형 키 구성

CloudWatch 데이터세트와 함께 사용하는 AWS KMS 키는 다음 요구 사항을 충족해야 합니다.

키 정책 권한 구성

CloudWatch 데이터세트에서 고객 관리형 키를 사용하려면 키 정책에서 CloudWatch에 키를 사용할 수 있는 권한을 부여해야 합니다. 다음 예제 키 정책에서는 CloudWatch에 필요한 권한을 부여하며 혼동된 대리자 보호가 포함되어 있습니다.

데이터세트를 연결하거나 사용하는 호출자는 아래 AllowCallerDecrypt 문과 같이 CloudWatch ViaService 및 암호화 컨텍스트로 범위가 지정된 kms:Decrypt 권한이 있어야 합니다. YourApplicationRole을 CloudWatch 데이터세트 API를 호출하는 데 사용되는 IAM 역할로 바꿉니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCloudWatchDatasetDescribeKey",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudwatch.amazonaws.com"
            },
            "Action": "kms:DescribeKey",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:cloudwatch:region:account-id:dataset/default"
                }
            }
        },
        {
            "Sid": "AllowCloudWatchDatasetEncryption",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudwatch.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id",
                    "kms:EncryptionContext:aws:cloudwatch:arn": "arn:aws:cloudwatch:region:account-id:dataset/default"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:cloudwatch:region:account-id:dataset/default"
                }
            }
        },
        {
            "Sid": "AllowCallerDecrypt",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account-id:role/YourApplicationRole"
            },
            "Action": "kms:Decrypt",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "cloudwatch.region.amazonaws.com",
                    "kms:EncryptionContext:aws:cloudwatch:arn": "arn:aws:cloudwatch:region:account-id:dataset/default"
                }
            }
        }
    ]
}

account-id 및 리전을 자체 값으로 바꿉니다.

키 정책에 대한 자세한 내용은 AWS Key Management Service 개발자 안내서의 AWS KMS에서의 키 정책을 참조하세요.

고객 관리형 키를 데이터세트와 연결

AssociateDatasetKmsKey API를 사용하여 고객 관리형 키를 데이터세트와 연결합니다. default를 데이터세트 식별자로 지정해야 합니다.

AWS CLI를 사용하여 고객 관리형 키를 연결하려면 다음 명령을 실행합니다.

aws cloudwatch associate-dataset-kms-key \
    --dataset-name default \
    --kms-key-arn arn:aws:kms:region:account-id:key/key-id

암호화 구성 변경 또는 제거

데이터세트 데이터를 암호화하는 고객 관리형 키를 변경하거나 제거할 수 있습니다.

고객 관리형 키 변경

고객 관리형 키를 바꾸려면 AssociateDatasetKmsKey를 새 키 ARN으로 다시 호출합니다. 호출자는 현재 키와 새 키 모두에 대한 kms:Decrypt 권한이 있어야 합니다. CloudWatch는 후속 암호화 작업에 새 키를 사용하기 시작합니다.

고객 관리형 키 제거

고객 관리형 키를 제거하고 AWS 소유 키 암호화로 되돌리려면 DisassociateDatasetKmsKey를 호출합니다. 호출자는 현재 연결된 키에 대한 kms:Decrypt 권한이 있어야 합니다.

aws cloudwatch disassociate-dataset-kms-key \
    --dataset-name default

삭제되거나 사용할 수 없는 KMS 키에서 복구

데이터세트와 연결된 고객 관리형 KMS 키가 삭제되거나 삭제 예정이거나 사용할 수 없게 되면 데이터세트가 성능 저하 상태가 됩니다.

복구 옵션은 키 상태에 따라 달라집니다.

키가 영구적으로 삭제되었거나 복구할 수 없는 경우 이전 키에 액세스할 필요 없이 연결을 제거하거나 새 키로 교체할 수 있습니다.

오래된 키 연결 제거

DisassociateDatasetKmsKey를 직접 호출하여 사용할 수 없는 키와의 연결을 제거합니다. CloudWatch는 새 데이터에 대해 AWS에서 소유한 키 암호화로 되돌립니다. 삭제된 키로 암호화된 기존 데이터는 더 이상 읽을 수 없습니다.

aws cloudwatch disassociate-dataset-kms-key \
    --dataset-name default

새 키로 교체

유효한 새 KMS 키 ARN을 사용하여 AssociateDatasetKmsKey을 직접 호출합니다. CloudWatch는 새 키를 검증하고 이를 데이터세트에 연결합니다. 이전에 연결된 키에 대한 액세스 권한은 필요하지 않습니다. 삭제된 키로 암호화된 기존 데이터는 더 이상 읽을 수 없지만, 새 데이터는 새 키로 암호화됩니다.

aws cloudwatch associate-dataset-kms-key \
    --dataset-name default \
    --kms-key-arn arn:aws:kms:region:account-id:key/new-key-id

사용할 수 없는 키에 대한 오류 응답

DisassociateDatasetKmsKey 또는 AssociateDatasetKmsKey(교체 경로)를 직접 호출할 때 현재 연결된 키에 액세스할 수 없는 경우 CloudWatch에는 해당 키에 대한 액세스 권한이 필요하지 않으며, 작업은 정상적으로 진행됩니다. 이는 다음과 같은 경우에 적용됩니다.

키에 액세스할 수 있지만 직접 호출자에게 kms:Decrypt 권한이 없는 경우 이러한 작업을 직접 호출하면 다음 오류 중 하나가 발생하며 작업에 실패합니다. 각 오류 메시지에는 문제 해결을 위한 KMS 요청 ID가 포함됩니다.

KMS 키 상태에 대한 자세한 내용은 AWS Key Management Service 개발자 안내서의 Key states of AWS KMS keys를 참조하세요.

키 정책 액세스 범위 축소

키 정책에서 조건을 사용하여 AWS KMS 키에 대한 액세스를 제한할 수 있습니다.

AWS KMS와의 CloudWatch 상호 작용 모니터링

AWS CloudTrail을 사용하여 CloudWatch가 사용자 대신 AWS KMS에 전송하는 요청을 추적할 수 있습니다. AWS CloudTrail 로그 항목은 서비스 보안 주체 cloudwatch.amazonaws.com 및 cloudwatch.{region}.amazonaws.com의 ViaService 값을 사용합니다.

CloudWatch 데이터세트 암호화 작업의 로그 항목에는 다음 CloudTrail 이벤트 이름이 나타납니다.

각 로그 항목에는 작업이 적용되는 특정 데이터세트를 식별하는 데 사용할 수 있는 암호화 컨텍스트가 포함되어 있습니다.

AWS KMS 키 사용량 모니터링에 대한 자세한 내용은 AWS Key Management Service 개발자 안내서의 AWS Key Management Service 모니터링을 참조하세요.