기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Direct KMS Materials Provider

Direct KMS Materials Provider(Direct KMS Provider)는 AWS Key Management Service (AWS KMS)을 암호화되지 않은 상태로 유지하지 않는 AWS KMS key에 따라 테이블 항목을 보호합니다. 이 암호화 자료 공급자는 각 테이블 항목에 대해 고유한 암호화 키 및 서명 키를 반환합니다. 이를 위해 항목을 암호화하거나 복호화할 때마다 AWS KMS을 호출합니다.

DynamoDB 항목을 높은 빈도와 대규모로 처리하는 경우 AWS KMS 초당 요청 제한을 초과하여 처리 지연이 발생할 수 있습니다. 제한을 초과해야 하는 경우 AWS Support 센터에서 사례를 생성합니다. Most Recent Provider와 같이 키 재사용이 제한된 암호화 자료 공급자를 사용하는 것도 고려해 볼 수 있습니다.

Direct KMS Provider를 사용하려면 호출자에게 한 개의 AWS 계정, 최소 한 개의 AWS KMS key, AWS KMS key에서 GenerateDataKey 및 Decrypt 작업을 호출할 수 있는 권한이 있어야 합니다. AWS KMS key는 대칭 암호화 키여야 합니다. DynamoDB Encryption Client는 비대칭 암호화를 지원하지 않습니다. DynamoDB 글로벌 테이블을 사용하는 경우 AWS KMS 다중 리전 키를 지정하는 것이 좋습니다. 자세한 내용은 사용 방법 섹션을 참조하세요.

Direct KMS Provider는 DynamoDB Encryption Client가 지원하는 여러 암호화 자료 공급자(CMP) 중 하나입니다. 기타 CMP에 대한 자세한 내용은 암호화 자료 공급자 섹션을 참조하세요.

예제 코드는 다음을 참조하십시오.

사용 방법

Direct KMS Provider를 생성하려면 키 ID 파라미터를 사용하여 계정에 대칭 암호화 KMS 키를 지정합니다. 키 ID 파라미터의 값은 AWS KMS key의 키 ID, 키 ARN, 별칭 이름 또는 별칭 ARN일 수 있습니다. 키 식별자에 대한 자세한 내용은 AWS Key Management Service 개발자 가이드의 키 식별자를 참조하세요.

Direct KMS Provider에는 대칭 암호화 KMS 키가 필요합니다. 비대칭 KMS 키를 사용할 수 없습니다. 그러나 다중 리전 KMS 키, 가져온 키 자료가 있는 KMS 키 또는 사용자 지정 키 스토어의 KMS 키를 사용할 수 있습니다. KMS 키에 대한 kms:GenerateDataKey 및 kms:Decrypt 권한이 있어야 합니다. 따라서 AWS 관리형 또는 AWS 소유형 KMS 키가 아닌 고객 관리형 키를 사용해야 합니다.

Python용 DynamoDB Encryption Client는 키 ID 파라미터 값(포함된 경우)의 리전에서 AWS KMS를 호출할 리전을 결정합니다. 그렇지 않으면 AWS KMS 클라이언트의 리전(지정한 경우)을 사용하거나 AWS SDK for Python (Boto3)에 구성한 리전을 사용합니다. Python의 리전 선택에 대한 자세한 내용은 AWS SDK for Python(Boto3) API 참조의 구성을 참조하세요.

Java용 DynamoDB Encryption Client는 지정한 클라이언트에 리전이 포함된 경우 AWS KMS 클라이언트의 리전에서 AWS KMS을 호출할 리전을 결정합니다. 그렇지 않으면 AWS SDK for Java에서 구성한 리전을 사용합니다. AWS SDK for Java에서의 리전 선택에 대한 자세한 내용은 AWS SDK for Java 개발자 안내서의 AWS 리전 선택을 참조하세요.

Java

// Replace the example key ARN and Region with valid values for your application
final String keyArn = 'arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab'
final String region = 'us-west-2'
      
final AWSKMS kms = AWSKMSClientBuilder.standard().withRegion(region).build();
final DirectKmsMaterialProvider cmp = new DirectKmsMaterialProvider(kms, keyArn);

Python

다음 예에서는 ARN 키를 사용하여 AWS KMS key를 지정합니다. 키 식별자에 AWS 리전가 포함되지 않은 경우 DynamoDB Encryption Client는 구성된 Botocore 세션(있는 경우) 또는 Boto 기본값에서 리전을 가져옵니다.

# Replace the example key ID with a valid value
kms_key = 'arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab'
kms_cmp = AwsKmsCryptographicMaterialsProvider(key_id=kms_key)

Amazon DynamoDB 글로벌 테이블을 사용하는 경우 AWS KMS 다중 리전 키로 데이터를 암호화하는 것이 좋습니다. 다중 리전 키는 동일한 키 ID와 키 구성 요소를 가졌기 때문에 서로 교환해 사용할 수 있는 다양한 AWS 리전의 AWS KMS keys입니다. 자세한 내용을 알아보려면 AWS Key Management Service 개발자 안내서의 다중 리전 키 사용을 참조하세요.

DynamoDB Encryption Client에서 다중 리전 키를 사용하려면 다중 리전 키를 생성하여 애플리케이션이 실행되는 리전에 복제합니다. 그런 다음 DynamoDB Encryption Client가 AWS KMS을 호출하는 리전의 다중 리전 키를 사용하도록 Direct KMS Provider를 구성합니다.

다음 예제에서는 다중 리전 키를 사용하여 미국 동부(버지니아 북부)(us-east-1) 리전의 데이터를 암호화하고 미국 서부(오레곤)(us-west-2) 리전에서 이를 복호화하도록 DynamoDB Encryption Client를 구성합니다.

Java

이 예제에서 DynamoDB Encryption Client는 AWS KMS 클라이언트의 리전에서 AWS KMS을 호출하기 위한 리전을 가져옵니다. 이 keyArn 값은 동일한 리전의 다중 리전 키를 식별합니다.

// Encrypt in us-east-1

// Replace the example key ARN and Region with valid values for your application
final String usEastKey = 'arn:aws:kms:us-east-1:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab'
final String region = 'us-east-1'
      
final AWSKMS kms = AWSKMSClientBuilder.standard().withRegion(region).build();
final DirectKmsMaterialProvider cmp = new DirectKmsMaterialProvider(kms, usEastKey);

// Decrypt in us-west-2

// Replace the example key ARN and Region with valid values for your application
final String usWestKey = 'arn:aws:kms:us-west-2:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab'
final String region = 'us-west-2'
      
final AWSKMS kms = AWSKMSClientBuilder.standard().withRegion(region).build();
final DirectKmsMaterialProvider cmp = new DirectKmsMaterialProvider(kms, usWestKey);

Python

이 예제에서 DynamoDB Encryption Client는 키 ARN의 해당 리전에서 AWS KMS을 호출할 리전을 가져옵니다.

# Encrypt in us-east-1

# Replace the example key ID with a valid value
us_east_key = 'arn:aws:kms:us-east-1:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab'
kms_cmp = AwsKmsCryptographicMaterialsProvider(key_id=us_east_key)

# Decrypt in us-west-2

# Replace the example key ID with a valid value
us_west_key = 'arn:aws:kms:us-west-2:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab'
kms_cmp = AwsKmsCryptographicMaterialsProvider(key_id=us_west_key)

작동 방식

Direct KMS Provider는 다음 다이어그램에서처럼 사용자가 지정하는 AWS KMS key에 의해 보호되는 암호화 및 서명 키를 반환합니다.

암호화 자료 가져오기

이 단원에서는 항목 암호화 도구에서 암호화 자료 요청 수신 시 Direct KMS Provider의 입력, 출력 및 처리에 대해 자세히 설명합니다.

복호화 자료 가져오기

이 단원에서는 항목 암호화 도구에서 복호화 자료 요청 수신 시 Direct KMS Provider의 입력, 출력 및 처리를 자세히 설명합니다.