기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Amazon OpenSearch 서비스를 위한 유휴 데이터 암호화

OpenSearch 서비스 도메인은 데이터에 대한 무단 액세스를 방지하는 데 도움이 되는 보안 기능인 저장 데이터 암호화를 제공합니다. 이 기능은 다음을 사용합니다. AWS Key Management Service (AWS KMS) 를 사용하여 암호화 키를 저장 및 관리하고 암호화를 수행하는 데 256비트 키 (AES-256) 를 사용하는 고급 암호화 표준 알고리즘을 사용합니다. 활성화된 경우 이 기능은 다음과 같은 도메인 측면을 암호화합니다.

저장된 데이터 암호화를 활성화할 때 다음은 암호화되지 않지만 추가 단계를 수행하여 보호할 수 있습니다.

OpenSearch 서비스는 대칭 암호화 키만 지원하며 비대칭 암호화 KMS 키는 지원하지 않습니다. 대칭 키를 만드는 방법을 알아보려면 키에서 키 만들기를 참조하십시오. AWS Key Management Service 개발자 가이드.

저장 중 암호화 활성화 여부에 관계없이 모든 도메인은 AES -256 및 OpenSearch 서비스 관리 키를 사용하여 사용자 지정 패키지를 자동으로 암호화합니다.

권한

OpenSearch 서비스 콘솔을 사용하여 저장된 데이터의 암호화를 구성하려면 다음과 같은 읽기 권한이 있어야 합니다. AWS KMS예: 다음과 같은 ID 기반 정책:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:List*",
        "kms:Describe*"
      ],
      "Resource": "*"
    }
  ]
}

다음 키가 아닌 다른 키를 사용하려는 경우 AWS 소유한 키에는 키에 대한 권한 부여를 생성할 수 있는 권한도 있어야 합니다. 이러한 권한은 보통 키를 만들 때 지정하는 리소스 기반 정책의 형식입니다.

키를 OpenSearch 서비스 전용으로 유지하려면 해당 키 정책에 kms: ViaService 조건을 추가할 수 있습니다.

"Condition": {
  "StringEquals": {
    "kms:ViaService": "es.us-west-1.amazonaws.com"
  },
  "Bool": {
    "kms:GrantIsForAWSResource": "true"
  }
}

자세한 내용은 키 정책 사용을 참조하십시오. AWS KMS에서 AWS Key Management Service 개발자 가이드.

저장된 데이터 암호화 활성화

새 도메인에 저장된 데이터를 암호화하려면 Elasticsearch 5.1 이상이 필요합니다. OpenSearch 기존 도메인에서 활성화하려면 둘 중 하나 OpenSearch 또는 Elasticsearch 6.7 이상이 필요합니다.

구성을 통해 암호화를 활성화할 수도 API 있습니다. 다음 요청은 기존 도메인에 저장된 데이터의 암호화를 활성화합니다.

{
   "ClusterConfig":{
      "EncryptionAtRestOptions":{
         "Enabled": true,
         "KmsKeyId":"arn:aws:kms:us-east-1:123456789012:alias/my-key"
      }
   }
}

비활성화 또는 삭제된 KMS 키

도메인을 암호화하는 데 사용한 키를 비활성화하거나 삭제하면 도메인에 액세스할 수 없게 됩니다. OpenSearch 서비스에서 키에 액세스할 수 없음을 알리는 알림을 보냅니다. KMS 도메인에 액세스하려면 즉시 키를 다시 사용 설정하세요.

키가 삭제된 경우 OpenSearch 서비스 팀에서 데이터 복구를 도와드릴 수 없습니다. AWS KMS 최소 7일의 대기 기간이 지난 후에만 키를 삭제합니다. 키가 삭제 보류 중인 경우 삭제를 취소하거나 데이터 손실을 방지하기 위해 도메인의 수동 스냅샷을 생성합니다.

저장된 데이터 암호화 비활성화

저장된 데이터를 암호화하기 위해 도메인을 구성한 후 설정을 비활성화할 수 없습니다. 대신 기존 도메인의 수동 스냅샷을 가져와 다른 도메인을 생성하고, 데이터를 마이그레이션하며, 이전 도메인을 삭제할 수 있습니다.

저장된 데이터를 암호화하는 도메인 모니터링

저장된 데이터를 암호화하는 도메인에는 2개의 추가 지표 KMSKeyError 및 KMSKeyInaccessible이 있습니다. 이러한 지표는 도메인에 암호화 키 문제가 있을 때만 나타납니다. 이러한 지표에 대한 자세한 설명은 클러스터 지표 섹션을 참조하세요. OpenSearch 서비스 콘솔 또는 Amazon CloudWatch 콘솔을 사용하여 볼 수 있습니다.

기타 고려 사항