저장 시 암호화: Amazon에서 작동하는 방식 QLDB - Amazon Quantum 원장 데이터베이스(Amazon QLDB)
AWS 소유 키고객 관리형 키가 권한 부여를 QLDB 사용하는 방법권한 부여 복원고려 사항

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

저장 시 암호화: Amazon에서 작동하는 방식 QLDB

QLDB 저장 시 암호화는 256비트 고급 암호화 표준(AES-256)을 사용하여 데이터를 암호화합니다. 이는 기본 스토리지에 대한 무단 액세스로부터 데이터의 보안을 유지하는 데 도움을 줍니다. QLDB 원장에 저장된 모든 데이터는 기본적으로 저장 시 암호화됩니다. 서버 측 암호화는 투명하므로 애플리케이션을 변경할 필요가 없습니다.

저장 시 암호화는 QLDB 원장을 보호하는 데 사용되는 암호화 키를 관리하기 위해 AWS Key Management Service (AWS KMS)와 통합됩니다. 신규 원장을 생성하거나 기존 원장을 갱신할 때 다음 유형의 AWS KMS 키 중 하나를 선택할 수 있습니다.

  • AWS 소유 키 - 기본 암호화 유형 키는 에서 소유합니다QLDB(추가 요금 없음).

  • 고객 관리형 키 - 사용자의 AWS 계정 에 키가 저장되며 사용자가 생성, 소유, 관리하는 유형입니다. 키를 완전히 제어할 수 있습니다(AWS KMS 요금 부과).

AWS 소유 키

AWS 소유 키 는 에 저장되지 않습니다 AWS 계정. 이는 여러 AWS 계정. AWS 서비스 can 에서 데이터를 보호하는 AWS 소유 키 데 사용할 수 있도록 를 AWS 소유하고 관리하는 KMS 키 모음의 일부입니다.

AWS 소유 키는 생성하거나 관리할 필요가 없습니다. 그러나 를 보거나 추적 AWS 소유 키하거나 사용을 감사할 수 없습니다. 에 대한 월별 요금 또는 사용 요금이 부과되지 않으며 계정의 AWS KMS 할당량에 포함되지 AWS 소유 키않습니다.

자세한 내용은AWS Key Management Service 개발자 안내서의 AWS 소유 키을 참조하세요.

고객 관리형 키

고객 관리형 키는 생성, 소유 및 관리하는 의 KMS 키 AWS 계정 입니다. 이러한 KMS 키를 완전히 제어할 수 있습니다. QLDB 는 대칭 암호화 KMS 키만 지원합니다.

고객 관리형 키를 사용하여 다음과 같은 기능을 얻을 수 있습니다.

  • 키에 대한 액세스를 제어하기 위한 키 정책, IAM 정책 및 권한 설정 및 유지 관리

  • 키 활성화 및 비활성화

  • 키에 대한 암호화 자료 순환

  • 키 태그 및 별칭 생성

  • 키 삭제 예약

  • 자체 키 구성 요소 가져오기 또는 사용자가 소유하고 관리하는 사용자 지정 키 스토어 사용

  • AWS CloudTrail 및 Amazon CloudWatch Logs를 사용하여 AWS KMS 사용자를 대신하여 가 에 QLDB 보내는 요청 추적

자세한 내용은 AWS Key Management Service 개발자 안내서의 고객 관리형 키를 참조하십시오.

고객 관리형 키에는 각 호출에 대한 요금이 부과되며 할당 AWS KMS 량은 이러한 KMS 키에 적용됩니다. API 자세한 내용은 AWS KMS 리소스 또는 요청 할당량을 참조하세요.

고객 관리형 키를 KMS 원장의 키로 지정하면 저널 스토리지와 인덱싱된 스토리지의 모든 원장 데이터가 동일한 고객 관리형 키로 보호됩니다.

액세스할 수 없는 고객 관리형 키

고객 관리형 키를 비활성화하거나, 키 삭제를 예약하거나, 키에 대한 권한 부여를 취소하면 원장 암호화 상태가 KMS_KEY_INACCESSIBLE이 됩니다. 이 상태에서는 원장이 손상되어 읽기 또는 쓰기 요청을 수락하지 않습니다. 액세스할 수 없는 키는 모든 사용자와 QLDB 서비스가 데이터를 암호화하거나 복호화하고 원장에서 읽기 및 쓰기 작업을 수행하는 것을 방지합니다. QLDB 는 원장에 계속 액세스할 수 있도록 하고 데이터 손실을 방지하기 위해 KMS 키에 액세스할 수 있어야 합니다.

중요

손상된 원장은 키에 대한 권한 부여를 복원한 후 또는 비활성화된 키를 다시 활성화하면 자동으로 활성 상태로 돌아갑니다.

하지만 고객 관리형 키를 삭제하면 되돌릴 수 없습니다. 키가 삭제된 후에는 해당 키로 보호되는 원장에 더 이상 액세스할 수 없으며 데이터를 영구적으로 복구할 수 없게 됩니다.

원장의 암호화 상태를 확인하려면 AWS Management Console 또는 DescribeLedger API 작업을 사용합니다.

Amazon이 에서 권한 부여를 QLDB 사용하는 방법 AWS KMS

QLDB 는 고객 관리형 키를 사용하기 위한 권한 부여를 필요로 합니다. 고객 관리형 키로 보호되는 원장을 생성할 때 는 에 CreateGrant 요청을 전송하여 사용자를 대신하여 권한 부여를 QLDB 생성합니다 AWS KMS. 의 권한 부여 AWS KMS 는 고객 의 KMS 키에 대한 QLDB 액세스 권한을 부여하는 데 사용됩니다 AWS 계정. 자세한 내용은 AWS Key Management Service 개발자 안내서에서 권한 부여 사용을 참조하세요.

QLDB 는 다음 AWS KMS 작업에 고객 관리형 키를 사용하도록 권한 부여를 요구합니다.

  • DescribeKey - 지정된 대칭 암호화 KMS 키가 유효한지 확인합니다.

  • GenerateDataKey - 를 QLDB 사용하여 원장의 저장 데이터를 암호화하는 고유한 대칭 데이터 키를 생성합니다.

  • Decrypt - 고객 관리형 키로 암호화된 데이터 키를 해독합니다.

  • Encrypt - 고객 관리형 키를 사용하여 일반 텍스트를 사이퍼텍스트로 암호화합니다.

언제든지 권한 부여에 대한 액세스 권한을 취소하거나 고객 관리형 키에 대한 서비스 액세스를 제거할 수 있습니다. 이렇게 하면 키에 액세스할 수 없게 되고 고객 관리형 키로 보호되는 원장 데이터에 대한 액세스 권한이 QLDB 상실됩니다. 이 상태에서는 원장이 손상되어 키에 대한 권한을 복원할 때까지 어떠한 읽기 또는 쓰기 요청도 수락하지 않습니다.

AWS KMS에서 권한 부여 복원하기

고객 관리형 키에 대한 권한 부여를 복원하고 에서 원장에 대한 액세스를 복구하려면 원장을 업데이트하고 동일한 KMS 키를 지정할 QLDB수 있습니다. 지침은 기존 원장의 AWS KMS key 업데이트 단원을 참조하십시오.

저장 시 암호화 고려 사항

에서 저장 시 암호화를 사용할 때는 다음 사항을 고려하세요QLDB.

  • 저장 시 서버 측 암호화는 기본적으로 모든 QLDB 원장 데이터에 대해 활성화되어 있으며 비활성화할 수 없습니다. 원장에서 항목의 하위 집합만 암호화할 수 없습니다.

  • 저장 시 암호화는 영구 스토리지 미디어에서 정적(저장 시) 상태인 데이터만 암호화합니다. 전송 중 데이터 또는 사용 중인 데이터에 대한 데이터 보안 문제가 있는 경우 다음과 같은 추가 조치를 취해야 합니다.

    • 전송 중인 데이터 : 의 모든 데이터는 전송 중에 암호화QLDB됩니다. 기본적으로 와 와의 통신은 프로토콜을 QLDB 사용하며, 이 HTTPS 프로토콜은 Secure Sockets Layer(SSL)/Transport Layer Security(TLS) 암호화를 사용하여 네트워크 트래픽을 보호합니다.

    • 사용 중인 데이터 : 클라이언트 측 암호화를 사용하여 QLDB로 전송하기 전에 데이터를 보호합니다.

원장에 대해 고객 관리형 키를 구현하는 방법을 알아보려면 Amazon에서 고객 관리형 키 사용 QLDB 섹션으로 이동하세요.