기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

회전하는 AWS KMS keys

고객 관리형 키에 대한 새로운 암호화 자료를 만들려면 새 KMS 키를 만든 다음, 새 KMS 키를 사용하도록 애플리케이션 또는 별칭을 변경하면 됩니다. 또는 자동 키 교체를 활성화하거나 온디맨드 순환을 수행하여 기존 KMS 키와 관련된 키 구성 요소를 교체할 수 있습니다.

기본적으로 KMS 키의 자동 키 교체를 활성화하면 KMS 키에 대한 새로운 암호화 자료가 매년 AWS KMS 생성됩니다. 또한 사용자 지정을 rotation-period 지정하여 키 자료를 순환시키는 AWS KMS 자동 키 교체를 활성화한 후 남은 일수와 이후 각 자동 교체 사이의 일수를 정의할 수 있습니다. 키 구성 요소 순환을 즉시 시작해야 하는 경우 자동 키 순환 활성화 여부에 관계없이 온디맨드 로테이션을 수행할 수 있습니다. 온디맨드 로테이션은 기존 자동 순환 일정을 변경하지 않습니다.

AWS KMS 모든 이전 버전의 암호화 자료를 영구적으로 저장하므로 해당 KMS 키로 암호화된 모든 데이터를 해독할 수 있습니다. AWS KMS KMS 키를 삭제할 때까지 회전된 키 구성 요소를 삭제하지 않습니다. Amazon CloudWatch 및 AWS Key Management Service 콘솔에서 KMS 키의 키 구성 요소 순환을 추적할 수 있습니다. AWS CloudTrail또한 GetKeyRotationStatus작업을 사용하여 KMS 키에 자동 교체가 활성화되어 있는지 확인하고 진행 중인 온디맨드 로테이션을 식별할 수 있습니다. ListKeyRotations작업을 사용하여 완료된 순환의 세부 정보를 볼 수 있습니다.

회전된 KMS 키를 사용하여 데이터를 암호화하는 경우, AWS KMS 는 현재 키 자료를 사용합니다. 회전된 KMS 키를 사용하여 암호문을 해독하는 경우 암호화에 사용된 키 자료의 버전을 AWS KMS 사용합니다. 암호 해독 작업에 사용할 키 자료의 특정 버전을 선택할 수 없으며, 자동으로 올바른 버전을 선택합니다. AWS KMS 적절한 키 자료를 사용하여 AWS KMS 투명하게 해독하므로 회전된 KMS 키를 애플리케이션에서 코드 변경 없이 안전하게 사용할 수 있습니다. AWS 서비스

그러나 자동 키 순환은 KMS 키가 보호하는 데이터에는 영향을 주지 않습니다. KMS 키에서 생성한 데이터 키를 교체하거나 KMS 키에서 보호하는 데이터를 다시 암호화하지 않으며, 손상된 데이터 키의 영향을 완화하지 않습니다.

AWS KMS 생성된 키 구성 요소를 사용하는 대칭 암호화 KMS 키에 대해서만 자동 및 온디맨드 키 교체를 지원합니다. AWS KMS 고객 관리형 KMS 키의 경우 자동 교체는 선택 사항입니다. AWS KMS 는 항상 AWS 관리형 KMS 키의 주요 구성 요소를 매년 교체합니다. AWS 소유한 KMS 키의 교체는 키를 소유한 AWS 서비스에서 관리합니다.

키를 교체하면 암호화 작업에 사용되는 암호화 비밀인 키 구성 요소만 변경됩니다. KMS 키는 키 구성 요소가 변경되는지 여부 또는 횟수에 관계없이 동일한 논리적 리소스입니다. 다음 이미지와 같이, KMS 키의 속성은 변경되지 않습니다.

새 KMS 키를 생성하여 원본 KMS 키 대신 사용하기로 결정할 수 있습니다. 이렇게 하면 기존 KMS 키에서 키 구성 요소를 교체하는 것과 동일한 효과가 있으므로, 이 방법은 일반적으로 키를 수동으로 교체하는 것으로 간주됩니다. 수동 교체는 비대칭 KMS 키, HMAC KMS 키, 사용자 지정 키 스토어의 KMS 키, 키 구성 요소를 가져온 KMS 키등 자동 키 교체에 적합하지 않은 KMS 키를 교체하려는 경우에 적합합니다.

키 교체 및 요금

AWS KMS KMS 키에 유지되는 키 구성 요소의 첫 번째 및 두 번째 순환에 대해 월별 요금을 청구합니다. 이 가격 인상은 두 번째 로테이션에만 적용되며 이후 로테이션에는 요금이 청구되지 않습니다. 자세한 내용은 AWS Key Management Service 요금을 참조하세요.

키 교체 및 할당량

각 KMS 키는 키 리소스 할당량을 계산할 때 교체된 키 구성 요소 버전의 수에 관계없이 하나의 키로 계산됩니다.

키 구성 요소 및 교체에 대한 자세한 내용은 AWS Key Management Service 암호화 세부 정보를 참조하세요.

KMS 키를 교체하는 이유는 무엇인가요?

암호화 모범 사례는 데이터를 직접 암호화하는 키 (예: 생성된 데이터 키) 를 광범위하게 재사용하는 것을 권장하지 않습니다. AWS KMS 256비트 데이터 키가 수백만 개의 메시지를 암호화하면 데이터가 소진되어 미묘한 패턴을 가진 사이퍼텍스트를 생성하기 시작할 수 있습니다. 영리한 액터는 이를 악용하여 키의 비트를 찾아낼 수 있습니다. 이러한 키 소진을 방지하려면 데이터 키를 한 번 또는 몇 번만 사용하는 것이 가장 좋습니다. 이렇게 하면 키 구성 요소가 효과적으로 교됩니다.

하지만 KMS 키는 키 암호화 키라고도 알려진 래핑 키로 가장 자주 사용됩니다. 래핑 키는 데이터를 암호화하는 대신 데이터를 암호화하는 데이터 키를 암호화합니다. 따라서 데이터 키보다 사용 빈도가 훨씬 적고 키가 고갈될 위험이 있을 정도로 재사용되는 경우가 거의 없습니다.

이렇게 소진 위험은 매우 낮지만 비즈니스 또는 계약 규칙이나 정부 규정으로 인해 KMS 키를 교체해야 할 수도 있습니다. KMS 키를 교체해야 할 때는 지원되는 경우 자동 키 교체를 사용하고, 자동 키 교체가 지원되지 않는 경우에는 수동 키 교체를 사용하는 것이 좋습니다.

주요 자료 순환 기능을 시연하거나 자동화 스크립트를 검증하기 위해 온디맨드 로테이션을 수행하는 것을 고려할 수 있습니다. 예상치 못한 로테이션에는 온디맨드 로테이션을 사용하고, 가능하면 사용자 지정 로테이션 주기와 함께 자동 키 로테이션을 사용하는 것이 좋습니다.

키 로테이션 작동 방식

키 로테이션은 투명하고 사용하기 쉽도록 설계되었습니다. AWS KMS AWS KMS 고객 관리 키에 대해서만 선택적 자동 및 온디맨드 키 교체를 지원합니다.

자동 키 교체를 활성화하고 비활성화하는 방법

기본적으로 KMS 키의 자동 키 교체를 활성화하면 KMS 키에 대한 새로운 암호화 자료가 매년 AWS KMS 생성됩니다. 또한 사용자 지정을 rotation-period 지정하여 키 자료를 순환시키는 AWS KMS 자동 키 교체를 활성화한 후 남은 일수와 이후 각 자동 교체 사이의 일수를 정의할 수 있습니다.

자동 키 교체에는 다음과 같은 이점이 있습니다.

인증된 사용자는 AWS KMS 콘솔과 AWS KMS API를 사용하여 자동 키 교체를 활성화 및 비활성화하고 키 교체 상태를 볼 수 있습니다.

자동 키 교체 활성화 및 비활성화 (콘솔)

자동 키 순환 (API) 활성화 및 비활성화AWS KMS

AWS Key Management Service (AWS KMS) API를 사용하여 자동 키 교체를 활성화 및 비활성화하고 모든 고객 관리 키의 현재 교체 상태를 볼 수 있습니다. 이 예제들은 AWS Command Line Interface (AWS CLI)를 사용하지만, 사용자는 어떤 지원되는 프로그래밍 언어라도 사용할 수 있습니다.

이 EnableKeyRotation작업을 통해 지정된 KMS 키의 자동 키 교체가 활성화됩니다. DisableKeyRotation작업을 수행하면 해당 키가 비활성화됩니다. 이러한 작업에서 KMS 키를 식별하려면 해당 키 ID 또는 키 ARN을 사용합니다. 기본적으로 고객 관리형 KMS 키에 대한 키 교체는 비활성화됩니다.

kms: RotationPeriodInDays condition 키를 사용하여 보안 주체가 요청의 RotationPeriodInDays 파라미터에 지정할 수 있는 값을 제한할 수 있습니다. EnableKeyRotation

다음 예에서는 지정된 대칭 암호화 KMS 키에서 180일의 순환 주기로 키 교체를 활성화하고 GetKeyRotationStatus작업을 사용하여 결과를 확인합니다. 그런 다음 키 교체를 비활성화하고 다시 GetKeyRotationStatus를 사용하여 변경 사항을 확인합니다.

$ aws kms enable-key-rotation \
    --key-id 1234abcd-12ab-34cd-56ef-1234567890ab \
    --rotation-period-in-days 180

$ aws kms get-key-rotation-status --key-id 1234abcd-12ab-34cd-56ef-1234567890ab
{
    "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
    "KeyRotationEnabled": true,
    "RotationPeriodInDays": 180,
    "NextRotationDate": "2024-02-14T18:14:33.587000+00:00"
}

$ aws kms disable-key-rotation --key-id 1234abcd-12ab-34cd-56ef-1234567890ab

$ aws kms get-key-rotation-status --key-id 1234abcd-12ab-34cd-56ef-1234567890ab
{
    "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
    "KeyRotationEnabled": false
}
            

온디맨드 키 로테이션을 수행하는 방법

자동 키 교체 활성화 여부에 관계없이 고객 관리형 KMS 키의 키 구성 요소를 온디맨드로 교체할 수 있습니다. 자동 교체 (DisableKeyRotation) 를 비활성화해도 온디맨드 로테이션을 수행할 수 있는 기능에는 영향을 주지 않으며 진행 중인 온디맨드 로테이션도 취소되지 않습니다. 온디맨드 로테이션은 기존 자동 순환 일정을 변경하지 않습니다. 730일의 순환 주기로 자동 키 교체가 활성화된 KMS 키를 예로 들어 보겠습니다. 키가 2024년 4월 14일에 자동으로 교체되도록 예약되어 있고 2024년 4월 10일에 온디맨드 순환을 수행하면 키는 예정대로 2024년 4월 14일과 그 이후 730일마다 자동으로 교체됩니다.

KMS 키당 최대 10회까지 온디맨드 키 교체를 수행할 수 있습니다. AWS KMS 콘솔을 사용하여 KMS 키에 사용할 수 있는 남은 온디맨드 순환 수를 확인할 수 있습니다.

온디맨드 키 교체는 대칭 암호화 KMS 키에서만 지원됩니다. 비대칭 KMS 키, HMAC KMS 키, 키 구성 요소를 가져온 KMS 키 또는 사용자 지정 키 스토어의 KMS 키에 대해서는 온디맨드 순환을 수행할 수 없습니다. 관련된 다중 지역 키 세트를 온디맨드 방식으로 교체하려면 기본 키에서 온디맨드 순환을 호출하십시오.

인증된 사용자는 AWS KMS 콘솔과 AWS KMS API를 사용하여 온디맨드 키 교체를 시작하고 키 교체 상태를 볼 수 있습니다.

온디맨드 키 로테이션 시작 (콘솔)

온디맨드 키 로테이션 시작 (API)AWS KMS

AWS Key Management Service (AWS KMS) API를 사용하여 온디맨드 키 교체를 시작하고 모든 고객 관리 키의 현재 교체 상태를 볼 수 있습니다. 이 예제들은 AWS Command Line Interface (AWS CLI)를 사용하지만, 사용자는 어떤 지원되는 프로그래밍 언어라도 사용할 수 있습니다.

이 RotateKeyOnDemand작업을 수행하면 지정된 KMS 키에 대한 온디맨드 키 교체가 즉시 시작됩니다. 이러한 작업에서 KMS 키를 식별하려면 해당 키 ID 또는 키 ARN을 사용합니다.

다음 예제에서는 지정된 대칭 암호화 KMS 키에서 온디맨드 키 교체를 시작하고 이 GetKeyRotationStatus작업을 사용하여 온디맨드 순환이 진행 중인지 확인합니다. OnDemandRotationStartDatekms:GetKeyRotationStatus응답의 내용은 진행 중인 온디맨드 순환이 시작된 날짜 및 시간을 식별합니다.

$ aws kms rotate-key-on-demand --key-id 1234abcd-12ab-34cd-56ef-1234567890ab
{
    "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab"    
}

$ aws kms get-key-rotation-status --key-id 1234abcd-12ab-34cd-56ef-1234567890ab
{
    "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
    "KeyRotationEnabled": true,
    "NextRotationDate": "2024-03-14T18:14:33.587000+00:00",
    "OnDemandRotationStartDate": "2024-02-24T18:44:48.587000+00:00"
    "RotationPeriodInDays": 365    
}

수동으로 키 교체

자동 키 교체를 활성화하지 않고 새 KMS 키를 생성하여 현재 KMS 키 대신 사용하려고 할 수 있습니다. 새 KMS 키에 현재 KMS 키와 다른 암호화 구성 요소가 있는 경우 새 KMS 키를 사용하면 기존 KMS 키에서 키 구성 요소를 변경하는 것과 동일한 효과가 있습니다. 한 KMS 키를 다른 KMS 키로 교체하는 프로세스를 수동 키 교체라고 합니다.

비대칭 KMS 키, HMAC KMS 키, 사용자 지정 키 스토어의 KMS 키, 키 구성 요소를 가져온 KMS 키 등 자동 키 교체에 적합하지 않은 KMS 키를 교체하려는 경우에는 수동 교체를 사용하는 것이 좋습니다.

KMS 키를 수동으로 교체하는 경우 애플리케이션에서 KMS 키 ID 또는 키 ARN에 대한 참조도 업데이트해야 합니다. 친숙한 이름을 KMS 키와 연결하는 별칭을 사용하면 이 프로세스를 더 쉽게 수행할 수 있습니다. 별칭을 사용하여 애플리케이션에서 KMS 키를 참조합니다. 그런 다음 애플리케이션에서 사용하는 KMS 키를 변경하려면 애플리케이션 코드를 편집하는 대신 별칭의 대상 KMS 키를 변경합니다. 자세한 내용은 애플리케이션에서 별칭 사용 단원을 참조하세요.

별칭의 대상 KMS 키를 변경하려면 API에서의 작업을 사용하십시오. UpdateAlias AWS KMS 예를 들어, 이 명령은 새 KMS 키를 가리키도록 alias/TestKey 별칭을 업데이트합니다. 작업은 출력을 반환하지 않으므로 이 예제에서는 ListAliases작업을 사용하여 이제 별칭이 다른 KMS 키와 연결되고 필드가 업데이트되었음을 보여줍니다. LastUpdatedDate ListAliases 명령은 의 query파라미터를 사용하여 AWS CLI 별칭만 가져옵니다. alias/TestKey

$ aws kms list-aliases --query 'Aliases[?AliasName==`alias/TestKey`]'
{
    "Aliases": [
        {
            "AliasArn": "arn:aws:kms:us-west-2:111122223333:alias/TestKey",
            "AliasName": "alias/TestKey",
            "TargetKeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
            "CreationDate": 1521097200.123,
            "LastUpdatedDate": 1521097200.123
        },
    ]
}


$ aws kms update-alias --alias-name alias/TestKey --target-key-id 0987dcba-09fe-87dc-65ba-ab0987654321
            
$ aws kms list-aliases --query 'Aliases[?AliasName==`alias/TestKey`]'
{
    "Aliases": [
        {
            "AliasArn": "arn:aws:kms:us-west-2:111122223333:alias/TestKey",
            "AliasName": "alias/TestKey",
            "TargetKeyId": "0987dcba-09fe-87dc-65ba-ab0987654321",
            "CreationDate": 1521097200.123,
            "LastUpdatedDate": 1604958290.722
        },
    ]
}