의 저장 시 암호화 ElastiCache

데이터를 안전하게 유지하기 위해 Amazon ElastiCache 과 Amazon S3는 캐시의 데이터에 대한 액세스를 제한하는 다양한 방법을 제공합니다. 자세한 내용은 Amazon VPCs 및 ElastiCache 보안 및 Amazon용 자격 증명 및 액세스 관리 ElastiCache 단원을 참조하세요.

ElastiCache 저장 시 암호화는 온디스크 데이터를 암호화하여 데이터 보안을 강화하는 기능입니다. 이 기능은 서버리스 캐시에서 항상 활성화되어 있습니다. 이 기능이 활성화되어 있으면 다음과 같은 항목이 암호화됩니다.

데이터 계층화가 활성화된 클러스터의 SSDs (솔리드 스테이트 드라이브)에 저장된 데이터는 항상 암호화됩니다.

ElastiCache 는 저장 시 기본(서비스 관리형) 암호화와 AWS Key Management Service(KMS)에서 자체 대칭 고객 관리 AWS KMS형 키를 사용할 수 있는 기능을 제공합니다. 캐시가 백업되면 암호화 옵션에서 기본 암호화 키를 사용할지 또는 고객 관리 키를 사용할지 선택합니다. 자세한 내용은 저장 데이터 암호화 활성화 단원을 참조하십시오.

저장 시 암호화는 캐시를 생성할 때만 캐시에 대해 활성화할 수 있습니다. 데이터를 암호화 및 해독하기 위해 몇 가지 처리가 필요하기 때문에 미사용 데이터 암호화를 활성화하면 이러한 작업 중 성능에 영향이 있을 수 있습니다. 사용 사례에 대한 성능 영향을 파악하기 위해서는 미사용 데이터 암호화를 사용한 상태와 사용하지 않은 상태에서 데이터를 벤치마크해야 합니다.

미사용 데이터 암호화 조건

저장 ElastiCache 시 암호화 구현을 계획할 때는 저장 시 ElastiCache 암호화에 대한 다음 제약 조건을 염두에 두어야 합니다.

미사용 데이터 암호화를 구현하면 백업 및 노드 동기화 작업 중 성능이 저하될 수 있습니다. 이러한 암호화가 구현 성능에 미치는 영향을 확인하려면 미사용 데이터 암호화와 데이터를 암호화하지 않은 경우를 비교해 벤치마크하세요.

에서 고객 관리형 키 사용 AWS KMS

ElastiCache 는 저장 시 암호화를 위한 대칭 고객 관리 AWS KMS형 키(KMS 키)를 지원합니다. 고객 관리형 KMS 키는 AWS 계정에서 생성, 소유 및 관리하는 암호화 키입니다. 자세한 내용은 AWS KMS Key AWS Management Service 개발자 안내서의 키를 참조하세요. 키를 에서 AWS KMS 생성해야 에서 사용할 수 있습니다 ElastiCache.

루트 키를 생성하는 AWS KMS 방법을 알아보려면 Key AWS Management Service 개발자 안내서의 키 생성을 참조하세요.

ElastiCache 를 사용하면 와 통합할 수 있습니다 AWS KMS. 자세한 내용은 AWS Key Management Service 개발자 안내서의 권한 부여 사용을 참조하세요. Amazon과 의 ElastiCache 통합을 활성화하기 위해 고객 조치가 필요하지 않습니다 AWS KMS.

kms:ViaService 조건 키는 키(KMS 키) 사용을 AWS KMS 지정된 AWS 서비스의 요청으로 제한합니다. 와 kms:ViaService 함께 사용하려면 조건 키 값인 elasticache.AWS_region.amazonaws.com 및 에 두 ViaService 이름을 모두 ElastiCache포함합니다dax.AWS_region.amazonaws.com. 자세한 내용은 kms:ViaService를 참조하세요.

AWS CloudTrail 를 사용하여 Amazon이 사용자를 대신하여 ElastiCache 보내는 AWS Key Management Service 요청을 추적할 수 있습니다. 고객 관리형 키와 AWS Key Management Service 관련된 에 대한 모든 API 호출에는 해당 CloudTrail 로그가 있습니다. ListGrants KMS API 또한 호출을 호출하여 가 ElastiCache 생성하는 권한 부여를 볼 수 있습니다.

고객 관리형 키를 사용하여 복제 그룹을 암호화하면 복제 그룹에 대한 모든 백업이 다음과 같이 암호화됩니다.

저장 데이터 암호화 활성화

모든 서버리스 캐시에는 저장 시 암호화가 활성화되어 있습니다.

자체 설계된 클러스터를 생성할 때 AtRestEncryptionEnabled 파라미터를 true로 설정하여 저장 시 암호화를 활성화할 수 있습니다. 기존 복제 그룹에 대해서는 미사용 데이터 암호화를 설정할 수 없습니다.

ElastiCache 캐시를 생성할 때 저장 시 암호화를 활성화할 수 있습니다. AWS Management Console, AWS CLI또는 를 사용하여 할 수 있습니다 ElastiCache API.

캐시를 생성할 때 다음 옵션 중 하나를 선택할 수 있습니다.

루트 키를 생성하는 AWS KMS 방법을 알아보려면 Key AWS Management Service 개발자 안내서의 키 생성을 참조하세요.

를 사용하여 휴지 시 암호화 활성화 AWS Management Console

를 사용하여 휴지 시 암호화 활성화 AWS CLI

를 사용하여 Valkey 또는 Redis OSS 클러스터를 생성할 때 유휴 시 암호화를 활성화하려면 복제 그룹을 생성할 때 --at-rest-encryption-enabled 파라미터를 AWS CLI사용합니다.

aws elasticache create-replication-group \
    --replication-group-id my-classic-rg \
    --replication-group-description "3 node replication group" \
    --cache-node-type cache.m4.large \
    --engine redis \    
    --at-rest-encryption-enabled \  
    --num-cache-clusters 3 

aws elasticache create-replication-group ^
    --replication-group-id my-classic-rg ^
    --replication-group-description "3 node replication group" ^
    --cache-node-type cache.m4.large ^
    --engine redis ^    
    --at-rest-encryption-enabled ^  
    --num-cache-clusters 3 ^

aws elasticache create-replication-group \
   --replication-group-id my-clustered-rg \
   --replication-group-description "redis clustered cluster" \
   --cache-node-type cache.m3.large \
   --num-node-groups 3 \
   --replicas-per-node-group 2 \
   --engine redis \
   --engine-version 6.2 \
   --at-rest-encryption-enabled \
   --cache-parameter-group default.redis6.x.cluster.on

aws elasticache create-replication-group ^
   --replication-group-id my-clustered-rg ^
   --replication-group-description "redis clustered cluster" ^
   --cache-node-type cache.m3.large ^
   --num-node-groups 3 ^
   --replicas-per-node-group 2 ^
   --engine redis ^
   --engine-version 6.2 ^
   --at-rest-encryption-enabled ^
   --cache-parameter-group default.redis6.x.cluster.on

참고