AWS KMS 키를 사용한 이중 계층 서버 측 암호화(DSSE-KMS) 지정 - Amazon Simple Storage Service

AWS KMS 키를 사용한 이중 계층 서버 측 암호화(DSSE-KMS) 지정

새 객체를 업로드하거나 기존 객체를 복사할 때 암호화를 적용할 수 있습니다.

Amazon S3 콘솔, Amazon S3 REST API, AWS Command Line Interface(AWS CLI)를 사용하여 DSSE-KMS를 지정할 수 있습니다. 자세한 내용은 다음 항목을 참조하십시오.

참고

Amazon S3에서 다중 리전 AWS KMS keys를 사용할 수 있습니다. 그러나 Amazon S3는 현재 다중 리전 키를 단일 리전 키인 것처럼 취급하며, 키의 다중 리전 기능을 사용하지 않습니다. 자세한 내용은 AWS Key Management Service 개발자 안내서에서 다중 리전 키 사용을 참조하세요.

참고

다른 계정에서 소유한 KMS 키를 사용하려면 먼저 해당 키에 대한 사용 권한이 있어야 합니다. KMS 키의 크로스 계정 권한에 대한 자세한 내용은 AWS Key Management Service 개발자 안내서에서 다른 계정에서 사용할 수 있는 KMS 키 만들기를 참조하십시오.

이 섹션에서는 Amazon S3 콘솔을 사용하여 AWS Key Management Service(AWS KMS) 키를 통한 이중 계층 서버 측 암호화(DSSE-KMS)를 사용하도록 객체 암호화 유형을 설정하거나 변경하는 방법을 설명합니다.

참고

  • 객체의 용량이 5GB 미만인 경우 객체의 암호화를 변경할 수 있습니다. 객체가 5GB보다 큰 경우, 객체의 암호화를 변경하려면 AWS CLI 또는 AWS SDK를 사용해야 합니다.

  • 객체의 암호화를 변경하는 데 필요한 추가 권한 목록은 Amazon S3 API 작업에 필요한 권한 섹션을 참조하세요. 이 권한을 부여하는 정책의 예시는 Amazon S3의 ID 기반 정책 예시 단원을 참조하세요.

  • 객체 암호화를 변경하면 새 객체가 생성되어 이전 객체를 대체합니다. S3 버전 관리가 사용 설정된 경우 객체의 새 버전이 생성되고 기존 객체는 이전 버전이 됩니다. 또한 속성을 변경하는 역할도 새 객체(또는 객체 버전)의 소유자가 됩니다.

객체에 대한 암호화 추가 또는 변경

  1. AWS Management Console에 로그인한 후 https://console.aws.amazon.com/s3/에서 Amazon S3 콘솔을 엽니다.

  2. 탐색 창에서 버킷을 선택하고 범용 버킷 탭을 선택합니다. 변경할 객체가 포함된 Amazon S3 버킷 또는 폴더로 이동합니다.

  3. 변경하려는 객체의 확인란을 선택합니다.

  4. 작업 메뉴에 표시되는 옵션 목록에서 서버 측 암호화 편집을 선택합니다.

  5. 서버 측 암호화 섹션으로 스크롤합니다.

  6. 암호화 설정에서 버킷 기본 암호화 설정 사용 또는 기본 암호화에 버킷 설정 재정의를 선택합니다.

  7. 기본 암호화에 버킷 설정 재정의를 선택한 경우 다음과 같은 암호화 설정을 구성해야 합니다.

    1. 암호화 유형에서 AWS Key Management Service  키를 사용한 이중 계층 서버 측 암호화(DSSE-KMS)를 선택합니다.

    2. AWS KMS 키에서 다음 중 하나를 수행하여 KMS 키를 선택합니다.

      • 사용 가능한 KMS 키 목록에서 AWS KMS keys 중에서 선택을 선택한 다음, 사용 가능한 키 목록에서 KMS 키를 선택합니다.

        AWS 관리형 키(aws/s3)와 고객 관리형 키가 모두 목록에 표시됩니다. 고객 관리형 키에 대한 자세한 내용은 AWS Key Management Service 개발자 안내서의 고객 키 및 AWS 키를 참조하세요.

      • KMS 키 ARN을 입력하려면 AWS KMS key ARN 입력을 선택한 다음 나타나는 필드에 KMS 키 ARN을 입력합니다.

      • AWS KMS 콘솔에서 고객 관리형 키를 생성하려면 KMS 키 생성을 선택합니다.

        AWS KMS key 생성에 대한 자세한 내용은 AWS Key Management Service 개발자 가이드의 키 생성을 참조하십시오.

      중요

      버킷과 동일한 AWS 리전에서 사용할 수 있는 KMS 키만 사용 가능합니다. Amazon S3 콘솔은 버킷과 동일한 리전에 있는 처음 100개의 KMS 키만 나열합니다. 목록에 없는 KMS 키를 사용하려면 KMS 키 ARN을 입력해야 합니다. 다른 계정에서 소유한 KMS 키를 사용하려면 먼저 해당 키에 대한 사용 권한이 있어야 하고, 다음 단계로 KMS 키 ARN을 입력해야 합니다.

      Amazon S3는 대칭 암호화 KMS 키만 지원하며 비대칭 KMS 키는 지원하지 않습니다. 자세한 내용은 AWS Key Management Service 개발자 안내서에서 비대칭 KMS 키 식별을 참조하십시오.

  8. 버킷 키에서 비활성화를 선택합니다. S3 버킷 키는 DSSE-KMS에서 지원되지 않습니다.

  9. 추가 복사 설정에서 소스 설정 복사, 설정 지정 안 함 또는 설정 지정 중 원하는 것을 선택합니다. 소스 설정 복사가 기본 옵션입니다. 소스 설정 속성 없이 객체만 복사하려면 설정 지정 안 함을 선택합니다. 스토리지 클래스, ACL, 객체 태그, 메타데이터, 서버 측 암호화 및 추가 체크섬에 대한 설정을 지정하려면 설정 지정을 선택합니다.

  10. Save changes(변경 사항 저장)를 선택합니다.

참고

이 작업은 지정된 모든 객체에 암호화를 적용합니다. 폴더를 암호화할 때 폴더에 새 객체를 추가하기 전에 저장 작업이 완료될 때까지 기다립니다.

객체를 만들 때, 즉 새 객체를 업로드하거나 기존 객체를 복사할 때 AWS KMS keys를 사용한 이중 계층 서버 측 암호화(DSSE-KMS)를 사용하여 데이터를 암호화하도록 지정할 수 있습니다. 이렇게 하려면 요청에 x-amz-server-side-encryption 헤더를 추가합니다. 암호화 알고리즘 aws:kms:dsse로 헤더의 값을 설정합니다. Amazon S3는 x-amz-server-side-encryption 응답 헤더를 반환하여 객체가 DSSE-KMS 암호화를 사용하여 저장되었는지 확인합니다.

aws:kms:dsse의 값을 사용하여 x-amz-server-side-encryption 헤더를 지정하는 경우 다음 요청 헤더를 사용할 수도 있습니다.

  • x-amz-server-side-encryption-aws-kms-key-id: SSEKMSKeyId

  • x-amz-server-side-encryption-context: SSEKMSEncryptionContext

DSSE-KMS를 지원하는 Amazon S3 REST API 작업

다음 REST API 작업은 x-amz-server-side-encryption, x-amz-server-side-encryption-aws-kms-key-id 및 x-amz-server-side-encryption-context 요청 헤더를 수락합니다.

  • PutObject - PUT API 작업을 사용하여 데이터를 업로드할 때 이러한 요청 헤더를 지정할 수 있습니다.

  • CopyObject - 객체를 복사할 때 소스 객체 및 대상 객체가 모두 있어야 합니다. CopyObject 작업을 사용하여 DSSE-KMS 헤더를 전달할 경우 헤더가 대상 객체에만 적용됩니다. 기존 객체를 복사할 때 소스 객체의 암호화 여부에 관계없이 명시적으로 서버 측 암호화를 요청하지 않는 한 대상 객체는 암호화되지 않습니다.

  • POST 객체 - POST 작업을 사용하여 객체를 업로드할 경우에는 요청 헤더 대신 양식 필드에 동일한 정보를 제공합니다.

  • CreateMultipartUpload - 멀티파트 업로드를 사용하여 대형 객체를 업로드할 때 CreateMultipartUpload 요청에 이러한 헤더를 지정할 수 있습니다.

객체가 서버 측 암호화를 사용하여 저장될 경우 다음 REST API 작업의 응답 헤더는 x-amz-server-side-encryption 헤더를 반환합니다.

중요

  • 보안 소켓 계층(SSL), 전송 계층 보안(TLS) 또는 서명 버전 4를 사용하여 요청을 수행하지 않으면 AWS KMS로 보호되는 객체에 대한 모든 GET 및 PUT 요청이 실패합니다.

  • 객체가 DSSE-KMS를 사용하는 경우 GET 요청 및 HEAD 요청에 대해 암호화 요청 헤더를 전송하지 마십시오. 전송하면 HTTP 400 (Bad Request) 오류가 발생합니다.

암호화 컨텍스트(x-amz-server-side-encryption-context)

x-amz-server-side-encryption:aws:kms:dsse를 지정하면 Amazon S3 API는 x-amz-server-side-encryption-context 헤더가 있는 암호화 컨텍스트를 지원합니다. 암호화 컨텍스트는 데이터에 대한 추가 컨텍스트 정보를 포함하는 키-값 페어 집합입니다.

Amazon S3는 자동으로 객체의 Amazon 리소스 이름(ARN)을 암호화 컨텍스트 쌍으로 사용합니다(예: arn:aws:s3:::object_ARN).

필요한 경우 x-amz-server-side-encryption-context 헤더를 사용하여 추가 암호화 컨텍스트 쌍을 제공할 수 있습니다. 그러나 암호화 컨텍스트는 암호화되지 않으므로 민감한 정보를 포함하지 않도록 해야 합니다. Amazon S3는 기본 암호화 컨텍스트와 함께 이 추가 키 페어를 저장합니다.

Amazon S3의 암호화 컨텍스트에 대한 자세한 내용은 암호화 컨텍스트 단원을 참조하십시오. 암호화 컨텍스트에 대한 일반 내용은 AWS Key Management Service 개발자 안내서의 AWS Key Management Service 개념 - 암호화 컨텍스트를 참조하십시오.

AWS KMS 키 ID(x-amz-server-side-encryption-aws-kms-key-id)

x-amz-server-side-encryption-aws-kms-key-id 헤더를 사용하여 데이터를 보호하는 데 사용되는 고객 관리형 키의 ID를 지정할 수 있습니다. x-amz-server-side-encryption:aws:kms:dsse 헤더를 지정하지만 x-amz-server-side-encryption-aws-kms-key-id 헤더를 제공하지 않는 경우 Amazon S3는 AWS 관리형 키(aws/s3)를 사용하여 데이터를 보호합니다. 고객 관리형 키를 사용하려면 고객 관리형 키의 x-amz-server-side-encryption-aws-kms-key-id 헤더를 제공해야 합니다.

중요

Amazon S3에서 서버 측 암호화에 AWS KMS key을 사용하는 경우 대칭 암호화 KMS 키를 선택해야 합니다. Amazon S3는 대칭 암호화 KMS 키만 지원합니다. 이들 키에 대한 자세한 내용은 AWS Key Management Service 개발자 안내서의 대칭 암호화 KMS 키를 참조하십시오.

새 객체를 업로드하거나 기존 객체를 복사할 때 DSSE-KMS를 사용하여 데이터를 암호화하도록 지정할 수 있습니다. 이렇게 하려면 요청에 --server-side-encryption aws:kms:dsse 파라미터를 추가합니다. --ssekms-key-id example-key-id 파라미터를 사용하여, 생성해둔 고객 관리형 AWS KMS 키를 추가합니다. --server-side-encryption aws:kms:dsse를 지정하고 AWS KMS 키 ID를 제공하지 않으면 Amazon S3가 AWS 관리형 키(aws/s3)를 사용합니다.

aws s3api put-object --bucket amzn-s3-demo-bucket --key example-object-key --server-side-encryption aws:kms:dsse --ssekms-key-id example-key-id --body filepath

객체를 제자리에 복사하여 암호화되지 않은 객체가 DSSE-KMS를 사용하도록 암호화할 수 있습니다.

aws s3api copy-object --bucket amzn-s3-demo-bucket --key example-object-key --body filepath --bucket amzn-s3-demo-bucket --key example-object-key --sse aws:kms:dsse --sse-kms-key-id example-key-id --body filepath