외부 키 저장소 속성 편집

키 스토어를 편집할 때 편집 가능한 값 중 일부 또는 일부를 변경할 수 있습니다. 일부 변경을 위해서는 외부 키 스토어와 외부 키 스토어 프록시를 연결 해제해야 합니다.

프록시 URI 경로 또는 프록시 인증 자격 증명을 편집하는 경우 새 값을 입력하거나 새 값이 포함된 외부 키 스토어 프록시 구성 파일을 업로드할 수 있습니다.

외부 키 스토어의 속성을 변경하려면 UpdateCustomKeyStore 작업을 사용합니다. 동일한 작업으로 외부 키 스토어에서 여러 개의 속성을 변경할 수 있습니다. 작업이 성공하지 않으면 AWS KMS가 HTTP 200 응답 및 속성을 포함하지 않는 JSON 객체를 반환합니다.

CustomKeyStoreId 파라미터를 사용하여 외부 키 스토어를 식별합니다. 다른 파라미터를 사용하여 속성을 변경합니다. UpdateCustomKeyStore 작업과 함께 프록시 구성 파일을 사용할 수 없습니다. 프록시 구성 파일은 AWS KMS 콘솔에서만 지원됩니다. 그러나 프록시 구성 파일을 사용하여 외부 키 스토어 프록시에 대한 올바른 파라미터 값을 결정할 수 있습니다.

이 섹션의 예제는 AWS Command Line Interface(AWS CLI)를 사용하지만, 지원되는 모든 프로그래밍 언어를 사용할 수 있습니다.

시작하기 전에 필요한 경우 외부 키 스토어 프록시에서 외부 키 스토어를 연결 해제합니다. 업데이트 후 필요한 경우 외부 키 스토어 프록시에 외부 키 스토어를 다시 연결할 수 있습니다. 외부 키 스토어를 연결 해제 상태로 남겨둘 수 있지만, 키 스토어에서 새 KMS 키를 생성하거나 키 스토어에서 기존 KMS 키를 암호화 작업에 사용할 수 있으려면 먼저 이를 다시 연결해야 합니다.

aws configure set cli_follow_urlparam false

Error parsing parameter '--xks-proxy-uri-endpoint': Unable to retrieve 
https:// : received non 200 status code of 404

외부 키 스토어의 이름 변경

첫 번째 예제에서 UpdateCustomKeyStore 작업을 사용하여 기억하기 쉬운 외부 키 스토어의 이름을 XksKeyStore로 변경합니다. 이 명령은 CustomKeyStoreId 파라미터를 사용해 사용자 지정 키 스토어를 식별하고, CustomKeyStoreName 파라미터를 사용해 사용자 지정 키 스토어에서 새 이름을 지정합니다. 모든 예제 값을 외부 키 스토어의 실제 값으로 바꿉니다.

$ aws kms update-custom-key-store --custom-key-store-id cks-1234567890abcdef0 --new-custom-key-store-name XksKeyStore

프록시 인증 자격 증명 변경

다음 예제에서는 AWS KMS가 외부 키 스토어 프록시에 인증하는 데 사용하는 프록시 인증 자격 증명을 업데이트합니다. 이와 같은 명령을 사용하여 프록시에서 교체되는 경우 자격 증명을 업데이트할 수 있습니다.

먼저 외부 키 스토어 프록시에서 자격 증명을 업데이트합니다. 그런 다음 이 기능을 사용하여 AWS KMS에 변경 사항을 보고합니다. (프록시는 이전 자격 증명과 새 자격 증명을 모두 간략하게 지원하므로 AWS KMS에서 자격 증명을 업데이트할 시간을 가질 수 있습니다.)

자격 증명에 액세스 키 ID와 보안 액세스 키를 모두 지정해야 합니다. 하나의 값만 변경된 경우에도 마찬가지입니다.

처음 두 명령은 자격 증명 값을 보유하도록 변수를 설정합니다. UpdateCustomKeyStore 작업은 CustomKeyStoreId 파라미터를 사용하여 외부 키 스토어를 식별합니다. XksProxyAuthenticationCredential 파라미터를 AccessKeyId 및 RawSecretAccessKey 필드와 함께 사용하여 새 자격 증명을 지정합니다. 모든 예제 값을 외부 키 스토어의 실제 값으로 바꿉니다.

$ accessKeyID=access key id
$ secretAccessKey=secret access key

$ aws kms update-custom-key-store --custom-key-store-id cks-1234567890abcdef0 \
        --xks-proxy-authentication-credential \ 
            AccessKeyId=$accessKeyId,RawSecretAccessKey=$secretAccessKey

프록시 URI 경로 변경

다음 예제에서는 프록시 URI 경로(XksProxyUriPath)를 업데이트합니다. 결합된 프록시 URI 엔드포인트와 프록시 URI 경로는 AWS 계정과 리전에서 고유해야 합니다. 모든 예제 값을 외부 키 스토어의 실제 값으로 바꿉니다.

$ aws kms update-custom-key-store --custom-key-store-id cks-1234567890abcdef0 \
            --xks-proxy-uri-path /kms/xks/v1

VPC 엔드포인트 서비스 연결로 변경

다음 예제에서는 UpdateCustomKeyStore 작업을 사용하여 외부 키 스토어 프록시 연결 유형을 VPC_ENDPOINT_SERVICE로 변경합니다. 이렇게 변경하려면 VPC 엔드포인트 서비스 이름(XksProxyVpcEndpointServiceName)과 VPC 엔드포인트 서비스의 프라이빗 DNS 이름을 포함하는 프록시 URI 엔드포인트(XksProxyUriEndpoint) 값을 포함하여 VPC 엔드포인트 서비스 연결에 필요한 값을 지정해야 합니다. 모든 예제 값을 외부 키 스토어의 실제 값으로 바꿉니다.

$ aws kms update-custom-key-store --custom-key-store-id cks-1234567890abcdef0 \
            --xks-proxy-connectivity "VPC_ENDPOINT_SERVICE" \
            --xks-proxy-uri-endpoint https://myproxy-private.xks.example.com \
            --xks-proxy-vpc-endpoint-service-name com.amazonaws.vpce.us-east-1.vpce-svc-example

퍼블릭 엔드포인트 연결로 변경

다음 예제에서는 외부 키 스토어 프록시 연결 유형을 PUBLIC_ENDPOINT로 변경합니다. 이렇게 변경할 때는 프록시 URI 엔드포인트(XksProxyUriEndpoint) 값을 업데이트해야 합니다. 모든 예제 값을 외부 키 스토어의 실제 값으로 바꿉니다.

$ aws kms update-custom-key-store --custom-key-store-id cks-1234567890abcdef0 \
            --xks-proxy-connectivity "PUBLIC_ENDPOINT" \
            --xks-proxy-uri-endpoint https://myproxy.xks.example.com