기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

의 데이터 암호화 AWS Transform

이 주제에서는 전송 중 암호화 및 저장 중 암호화에 AWS Transform 대한 관련 정보를 제공합니다.

AWS Transform 는 기본적으로 암호화를 제공하여 AWS 소유 키를 사용한 암호화로 민감한 고객 저장 데이터를 보호합니다.

암호화 유형

전송 중 암호화

고객과 간의 통신 AWS Transform 과 AWS Transform 와 다운스트림 종속성 간의 통신은 TLS 1.2 이상의 연결을 사용하여 보호됩니다.

저장 시 암호화

AWS Transform 는 Amazon DynamoDB 및 Amazon Simple Storage Service(Amazon S3)를 사용하여 저장 데이터를 저장합니다. 저장 데이터는 기본적으로 AWS 암호화 솔루션을 사용하여 암호화됩니다.는 AWS Key Management Service (AWS KMS)의 AWS 소유 키를 사용하여 암호화로 데이터를 AWS Transform 암호화합니다. 데이터를 암호화하는 AWS 관리형 키를 보호하기 위해 어떤 조치도 취할 필요가 없습니다. 자세한 내용은 AWS Key Management Service 개발자 안내서의 AWS 소유 키를 참조하세요.

참고: 고객은 위의 모든 데이터 유형을 암호화하는 데 사용할 자체 고객 관리형 키(CMK)를 등록할 수 있습니다.

고객 관리형 키는 KMS 키에 대한 액세스를 제어하여 데이터에 대한 액세스를 직접 제어하기 위해 생성, 소유 및 관리하는 AWS 계정의 KMS 키입니다. 대칭 키만 지원됩니다. 자체 KMS 키 생성에 대한 자세한 내용은 AWS Key Management Service 개발자 안내서의 키 생성을 참조하세요.

고객 관리형 키를 사용하는 경우 AWS Transform 는 KMS 권한 부여를 사용하여 권한이 부여된 사용자, 역할 또는 애플리케이션이 KMS 키를 사용할 수 있도록 합니다. AWS Transform 관리자가 구성 중에 암호화에 고객 관리형 키를 사용하도록 선택하면 해당 키에 대한 권한이 생성됩니다. 이 권한 부여는 최종 사용자가 저장 데이터 암호화에 암호화 키를 사용할 수 있도록 허용합니다. 권한 부여에 대한 자세한 내용은 AWS KMS의 권한 부여를 참조하세요.

AWS 소유 키(기본값)

저장 데이터를 기본적으로 암호화하면 민감한 데이터 보호와 관련된 운영 오버헤드와 복잡성을 줄이는 데 도움이 됩니다. 동시에 엄격한 암호화 규정 준수 및 규제 요구 사항을 충족하는 안전한 애플리케이션을 구축할 수 있습니다.

이 암호화 계층을 비활성화하거나 대체 암호화 유형을 선택할 수는 없지만 변환을 생성할 때 고객 관리형 키를 선택하여 기존 AWS 소유 암호화 키에 두 번째 암호화 계층을 추가할 수 있습니다.

고객 관리형 키(선택 사항)

고객 관리형 키 - 사용자가 생성, 소유 및 관리하는 대칭 고객 관리형 키를 사용하여 AWS 소유 키를 사용하는 기존 암호화에 두 번째 암호화 계층을 추가할 수 있도록 AWS Transform 지원합니다. 이 암호화 계층을 완전히 제어할 수 있으므로 다음과 같은 작업을 수행할 수 있습니다.

에 대한 자세한 내용은 란 무엇입니까 AWS Key Management Service?를 AWS KMS참조하십시오.

에서 권한 부여를 AWS Transform 사용하는 방법 AWS Key Management Service

AWS Transform 고객 관리형 키를 사용하려면에 권한 부여가 필요합니다.

고객 관리형 키로 암호화된 [리소스 이름]을 생성하면 AWS Transform 는 CreateGrant 요청을에 전송하여 사용자를 대신하여 권한을 생성합니다 AWS Key Management Service. 의 권한 부여 AWS Key Management Service 는 고객 계정의 KMS 키에 대한 AWS Transform 액세스 권한을 부여하는 데 사용됩니다.

AWS Transform 다음 내부 작업에 고객 관리형 키를 사용하려면에 권한 부여가 필요합니다.

언제든지 권한 부여에 대한 액세스 권한을 취소하거나 고객 관리형 키에 대한 서비스 액세스를 제거할 수 있습니다. 이렇게 하면 고객 관리형 키로 암호화된 데이터에 액세스할 수 AWS Transform 없으며, 이는 해당 데이터에 의존하는 작업에 영향을 미칩니다. 예를 들어 액세스할 AWS Transform 수 없는 암호화된 [리소스 이름]에서 [리소스 이름]을 가져오려고 하면 작업에서 AccessDeniedException 오류가 반환됩니다.

고객 관리형 키 생성

AWS 관리 콘솔 또는 AWS Key Management Service APIs.

대칭 고객 관리 키를 생성하려면 AWS Key Management Service 개발자 안내서의 대칭 고객 관리 키 생성 단계에 따르세요.

AWS Transform 리소스와 함께 고객 관리형 키를 사용하려면 키 정책에서 다음 API 작업을 허용해야 합니다.

kms:CreateGrant - 고객 관리형 키에 권한 부여를 추가합니다. 지정된 KMS 키에 대한 제어 액세스 권한을 부여하여 작업에 AWS Transform 필요한 권한 부여 액세스를 허용합니다. 권한 부여 사용에 대한 자세한 내용은 AWS Key Management Service 개발자 안내서를 참조하세요.

이렇게 하면 AWS Transform 가 다음을 수행할 수 있습니다.

SQL 현대화를 위한 암호화

SQL Server 현대화 프로세스 중에 EC2 인스턴스, ECS 클러스터, ECR 이미지 및 S3 객체와 같은 리소스가 계정에 AWS Transform 생성됩니다. 계정의 데이터를 암호화하기 위해 고객 관리형 키를 제공할 수 있습니다. KMS 키에 CreatedFor 키와 값 AWSTransform 키를 태깅해야 합니다. 이 예제 정책은 기본 키 정책이 없는 경우 키 정책에 필요한 최소 권한을 나열합니다. 기본 키 정책이 있는 경우에도 ECS가 키를 사용할 수 있도록 기본 키 정책 외에도 KMS 키를 수동으로 업데이트해야 합니다.

 "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:root"
      },
      "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "s3.*.amazonaws.com",
          "kms:EncryptionContext:aws-transform": "*"
        },
        "ArnLike": {
          "aws:PrincipalArn": "arn:aws:iam::*:role/*AWSTransform*"
        }
      }
    },
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:root"
      },
      "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey",
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:ReEncrypt*"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "ec2.*.amazonaws.com"
        },
        "ArnLike": {
          "aws:PrincipalArn": "arn:aws:iam::*:role/*AWSTransform*"
        }
      }
    },
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:root"
      },
      "Action": "kms:CreateGrant",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": [
            "ec2.*.amazonaws.com",
            "ecr.*.amazonaws.com"
          ]
        },
        "Bool": {
          "kms:GrantIsForAWSResource": "true"
        },
        "ArnLike": {
          "aws:PrincipalArn": "arn:aws:iam::*:role/*AWSTransform*"
        }
      }
    },
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "fargate.amazonaws.com"
      },
      "Action": "kms:GenerateDataKeyWithoutPlaintext",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:ecs:clusterName": "AWSTransform*"
        }
      }
    },
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "fargate.amazonaws.com"
      },
      "Action": "kms:CreateGrant",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:ecs:clusterName": "AWSTransform*"
        },
        "ForAllValues:StringEquals": {
          "kms:GrantOperations": "Decrypt"
        }
      }
    }
  ]

데이터베이스 마이그레이션을 위한 암호화

데이터베이스 마이그레이션 프로세스 중에는 AWS Database Migration Service(DMS)를 AWS Transform 사용하여 데이터베이스 데이터를 마이그레이션합니다. 선택적으로 고객 관리형 키를 제공하여 마이그레이션 중에 데이터베이스 데이터를 암호화할 수 있습니다.

다음 정책에는 세 개의 문이 포함되어 있습니다. 첫 번째 문은 AWS KMS 키에 대한 루트 계정 권한을 부여합니다. 두 번째 문을 사용하면 커넥터 역할이 검색 중에 키를 검증할 수 있습니다. 세 번째 문은 커넥터 역할이 DMS 작업에 키를 사용하도록 허용합니다.

 "Statement": [
    {
      "Sid": "Enable IAM User Permissions",
      "Effect": "Allow",
      "Principal": { "AWS": "arn:aws:iam::111122223333:root" },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "Allow connector role to validate key during discovery",
      "Effect": "Allow",
      "Principal": { "AWS": "connector-role-arn" },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    },
    {
      "Sid": "Allow connector role to use key via DMS",
      "Effect": "Allow",
      "Principal": { "AWS": "connector-role-arn" },
      "Action": [
        "kms:CreateGrant",
        "kms:Decrypt",
        "kms:DescribeKey",
        "kms:Encrypt",
        "kms:GenerateDataKey*",
        "kms:ReEncrypt*"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "dms.us-east-1.amazonaws.com"
        }
      }
    }
  ]

고객 관리형 KMS 키 사용

고객 관리형 KMS 키를 생성한 후 AWS Transform 관리자는 AWS Transform 콘솔에서 키를 제공하여 데이터를 암호화하는 데 사용해야 합니다.

데이터를 암호화하도록 고객 관리형 키를 설정하려면 AWS Transform관리자에게 사용할 권한이 필요합니다 AWS KMS.

고객 관리형 키로 암호화된 기능을 사용하려면가 고객 관리형 키에 액세스할 수 AWS Transform 있는 권한이 필요합니다.

를 사용하는 동안 KMS 권한 부여와 관련된 오류가 표시되는 경우 AWS Transform가 권한 부여를 생성할 수 있도록 권한을 업데이트해야 AWS Transform 할 수 있습니다. 필요한 권한을 자동으로 구성하려면 AWS Transform 콘솔로 이동하여 페이지 상단의 배너에서 권한 업데이트를 선택합니다. 가 권한 부여를 생성하도록 허용 AWS Transform 하려면 AWS Transform 콘솔 페이지에서 권한을 업데이트해야 합니다.

고객 관리형 키에 대한 AWS Transform 액세스 허용

다음 예제 정책 설명은 키에 대한 액세스를 허용하여 고객 관리형 키로 암호화된 기능에 AWS Transform 액세스할 수 있는 권한을 사용자에게 부여합니다. 관리자가 암호화를 위해 고객 관리형 키를 설정한 AWS Transform 경우이 정책을 사용해야 합니다.

 "Statement": [
    {
      "Sid": "QKMSDecryptGenerateDataKeyPermissions",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey",
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo"
      ],
      "Resource": [
        "arn:aws:kms:arn:aws::111122223333:key/[[key_id]]"
      ],
      "Condition": {
        "StringLike": {
          "kms:ViaService": [
            "q.us-east-1.amazonaws.com"
          ]
        }
      }
    }
  ]