기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
AWS KMS 권한 부여 모범 사례
AWS KMS 는 권한 부여를 생성, 사용 및 관리할 때 다음 모범 사례를 권장합니다.
-
권한 부여의 권한을 피부여자 보안 주체에게 필요한 권한으로 제한합니다. 최소 권한 액세스 원칙을 사용합니다.
-
IAM 역할과 같은 특정 수혜자 보안 주체를 사용하고 수혜자에게 필요한 API 작업만 사용할 수 있는 권한을 부여합니다.
-
암호화 컨텍스트 권한 부여 제약 조건을 사용하여 호출자가 의도한 용도로 KMS 키를 사용하고 있는지 확인합니다. 요청에서 암호화 컨텍스트를 사용하여 데이터를 보호하는 방법에 대한 자세한 내용은 AWS 보안 블로그의 AWS Key Management Service 및를 사용하여 암호화된 데이터의 무결성을 보호하는 방법을 참조하세요 EncryptionContext
. 작은 정보
가능하면 EncryptionContextEqual 권한 부여 제약 조건을 사용합니다. EncryptionContextSubset 권한 부여 제약 조건을 올바르게 사용하기가 더 어렵습니다. 그것을 사용해야 하는 경우 문서를 주의 깊게 읽고 권한 부여 제약 조건을 테스트해 의도한대로 작동하는지 확인하십시오.
-
중복 권한 부여를 삭제합니다. 중복 권한 부여에는 동일한 키ARN, API 작업, 권한 부여자 보안 주체, 암호화 컨텍스트 및 이름이 있습니다. 원래 권한 부여를 사용 중지 또는 취소하지만 중복된 권한 부여를 그대로 두는 경우 남은 중복 권한 부여가 의도하지 않은 권한 에스컬레이션을 구성합니다.
CreateGrant요청을 재시도할 때 중복 권한 부여를 방지하려면 Name 파라미터를 사용하십시오. 중복 부여를 감지하려면 ListGrants 작업을 사용합니다. 실수로 중복 권한 부여를 생성한 경우 가능한 한 빨리 사용을 중지하거나 취소합니다.참고
AWS 관리형 키에 대한 권한 부여는 중복처럼 보일 수 있지만 피부여자 보안 주체가 다릅니다.
ListGrants응답의GranteePrincipal필드에는 일반적으로 권한 부여의 피부여자 보안 주체가 포함됩니다. 그러나 권한 부여의 양여자 보안 주체가 AWS 서비스인 경우GranteePrincipal필드에는 여러 가지 다른 양여자 보안 주체를 나타낼 수 있는 서비스 보안 주체가 포함됩니다. -
권한 부여는 자동으로 만료되지 않습니다. 권한이 더 이상 필요하지 않으면 즉시 권한 부여 사용을 중지 또는 취소합니다. 삭제되지 않은 권한 부여는 암호화된 리소스에 대한 보안 위험을 초래할 수 있습니다.
