Amazon EventBridge를 사용하여 KMS 키 모니터링

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Amazon EventBridge(이전의 Amazon CloudWatch Events)를 사용하여 KMS 키 수명 주기에서 다음과 같은 중요한 이벤트를 알릴 수 있습니다.

AWS KMS 는 Amazon EventBridge와 통합되어 KMS 키에 영향을 미치는 중요한 이벤트를 알려줍니다. 각 이벤트는 JSON(JavaScript Object Notation)으로 표시되며, 이벤트 이름, 이벤트가 발생한 날짜와 시간, 영향받는 항목 등을 포함합니다. 이러한 이벤트를 수집하고 AWS Lambda 함수, Amazon SNS 주제, Amazon SQS 대기열, Amazon Kinesis Data Streams의 스트림 또는 기본 제공 대상과 같은 하나 이상의 대상으로 라우팅하는 규칙을 설정할 수 있습니다.

읽기/쓰기 API 요청을 기록할 AWS CloudTrail 때에서 내보내는 이벤트를 포함하여 다른 종류의 이벤트와 함께 EventBridge를 사용하는 방법에 대한 자세한 내용은 Amazon EventBridge 사용 설명서를 참조하세요.

다음 주제에서는가 AWS KMS 생성하는 EventBridge 이벤트에 대해 설명합니다.

KMS CMK 로테이션

AWS KMS 는 대칭 암호화 KMS 키에서 키 구성 요소의 자동 교체를 지원합니다. 연간 키 구성 요소 교체는 고객 관리형 키의 경우 선택 사항입니다. AWS 관리형 키에 대한 키 구성 요소는 매년 자동으로 교체됩니다.

가 키 구성 요소를 AWS KMS 교체할 때마다 EventBridge로 KMS CMK Rotation 이벤트를 전송합니다.는 최선의 노력을 다해이 이벤트를 AWS KMS 생성합니다.

다음은 이 이벤트의 예입니다.

{
  "version": "0",
  "id": "6a7e8feb-b491-4cf7-a9f1-bf3703467718",
  "detail-type": "KMS CMK Rotation",
  "source": "aws.kms",
  "account": "111122223333",
  "time": "2022-08-10T16:37:50Z",
  "region": "us-west-2",
  "resources": [
    "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
  ],
  "detail": {
    "key-id": "1234abcd-12ab-34cd-56ef-1234567890ab"
  }
}

KMS가 가져온 키 자료 만료

키 구성 요소를 KMS 키로 가져올 때 선택적으로 키 구성 요소의 만료 시간을 지정할 수 있습니다. 키 구성 요소가 만료되면는 키 구성 요소를 AWS KMS 삭제하고 해당 KMS Imported Key Material Expiration 이벤트를 EventBridge로 전송합니다.는 최선의 노력을 다해이 이벤트를 AWS KMS 생성합니다.

다음은 이 이벤트의 예입니다.

{
  "version": "0",
  "id": "9da9af57-9253-4406-87cb-7cc400e43465",
  "detail-type": "KMS Imported Key Material Expiration",
  "source": "aws.kms",
  "account": "111122223333",
  "time": "2022-08-10T16:37:50Z",
  "region": "us-west-2",
  "resources": [
    "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
  ],
  "detail": {
    "key-id": "1234abcd-12ab-34cd-56ef-1234567890ab"
  }
}

KMS CMK 삭제

KMS 키에 삭제를 예약하면 AWS KMS 가 KMS 키를 삭제하기 전에 대기 기간을 적용합니다. 대기 기간이 끝나면 AWS KMS 는 KMS 키를 삭제하고 KMS CMK Deletion 이벤트를 EventBridge로 보냅니다. AWS KMS 가 이 EventBridge 이벤트를 보장합니다. 재시도로 인해 몇 초 내에 여러 개의 이벤트가 생성되어 동일한 KMS 키가 삭제될 수 있습니다.

다음은 이 이벤트의 예입니다.

{
  "version": "0",
  "id": "e9ce3425-7d22-412a-a699-e7a5fc3fbc9a",
  "detail-type": "KMS CMK Deletion",
  "source": "aws.kms",
  "account": "111122223333",
  "time": "2022-08-10T16:37:50Z",
  "region": "us-west-2",
  "resources": [
    "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
  ],
  "detail": {
    "key-id": "1234abcd-12ab-34cd-56ef-1234567890ab"
  }
}