기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Amazon의 데이터 보호 WorkMail

AWS 공동 책임 모델 Amazon의 데이터 보호에 적용됩니다 WorkMail. 이 모델에 설명된 대로 AWS 는 모든를 실행하는 글로벌 인프라를 보호할 책임이 있습니다 AWS 클라우드. 사용자는 인프라에서 호스팅되는 콘텐츠를 관리해야 합니다. 사용하는 AWS 서비스 의 보안 구성과 관리 태스크에 대한 책임도 사용자에게 있습니다. 데이터 개인 정보 보호에 대한 자세한 내용은 데이터 개인 정보 보호를 FAQ참조하세요. 유럽의 데이터 보호에 대한 자세한 내용은 AWS 보안 블로그의 AWS 공동 책임 모델 및 GDPR 블로그 게시물을 참조하세요.

데이터 보호를 위해 자격 증명을 보호하고 AWS 계정 AWS IAM Identity Center 또는 AWS Identity and Access Management ()를 사용하여 개별 사용자를 설정하는 것이 좋습니다IAM. 이렇게 하면 개별 사용자에게 자신의 직무를 충실히 이행하는 데 필요한 권한만 부여됩니다. 또한 다음과 같은 방법으로 데이터를 보호하는 것이 좋습니다.

고객의 이메일 주소와 같은 기밀 정보나 중요한 정보는 태그나 이름 필드와 같은 자유 형식 텍스트 필드에 입력하지 않는 것이 좋습니다. 여기에는 Amazon WorkMail 또는 기타 AWS 서비스 에서 콘솔, API AWS CLI또는를 사용하여 작업하는 경우가 포함됩니다 AWS SDKs. 이름에 사용되는 태그 또는 자유 형식 텍스트 필드에 입력하는 모든 데이터는 청구 또는 진단 로그에 사용될 수 있습니다. 외부 서버에 URL를 제공하는 경우 해당 서버에 대한 요청을 검증URL하기 위해에 자격 증명 정보를 포함하지 않는 것이 좋습니다.

Amazon의 WorkMail 사용 방식 AWS KMS

Amazon은 메시지가 디스크에 기록되기 전에 모든 Amazon WorkMail 조직의 사서함에 있는 모든 메시지를 WorkMail 투명하게 암호화하고 사용자가 액세스할 때 메시지를 투명하게 해독합니다. 암호화는 비활성화할 수 없습니다. 메시지를 보호하는 암호화 키를 보호하기 위해 Amazon WorkMail 은 AWS Key Management Service ()와 통합됩니다AWS KMS.

WorkMail 또한 Amazon은 사용자가 서명되거나 암호화된 이메일을 보낼 수 있는 옵션을 제공합니다. 이 암호화 기능은 AWS KMS를 사용하지 않습니다. 자세한 내용은 서명되거나 암호화된 이메일 활성화 단원을 참조하십시오.

Amazon WorkMail 암호화

Amazon에서 WorkMail각 조직은 조직의 각 사용자에 대해 하나씩 여러 사서함을 포함할 수 있습니다. 이메일 및 일정 항목을 포함하여 모든 메시지는 사용자의 사서함에 저장됩니다.

Amazon WorkMail 조직에서 사서함의 콘텐츠를 보호하기 위해 Amazon은 모든 사서함 메시지를 디스크에 쓰기 전에 WorkMail 암호화합니다. 고객이 제공하는 정보는 일반 텍스트로 저장되지 않습니다.

각 메시지는 고유한 데이터 암호화 키로 암호화됩니다. 메시지 키는 해당 사서함에서만 사용되는 고유한 암호화 키인 사서함 키로 보호됩니다. 사서함 키는 암호화 AWS KMS 되지 않은 상태로 두지 않는 조직의 AWS KMS 고객 마스터 키(CMK)로 암호화됩니다. 다음 다이어그램은에서 조직의 암호화된 메시지, 암호화된 메시지 키, 암호화된 사서함 키 및의 관계를 보여줍니다CMK AWS KMS.

조직에 CMK 대한 설정

Amazon WorkMail 조직을 생성할 때 조직의 AWS KMS 고객 마스터 키(CMK)를 선택할 수 있습니다. 이렇게 하면 해당 조직의 모든 사서함 키가 CMK 보호됩니다.

Amazon의 기본 AWS 관리형CMK을 선택하거나 소유하고 관리하는 기존 고객 관리를 선택할 WorkMail수 CMK 있습니다. 자세한 내용은 AWS Key Management Service 개발자 안내서의 고객 마스터 키(CMKs)를 참조하세요. 각 조직에 CMK 대해 동일하거나 다른 CMK를 선택할 수 있지만 선택한 CMK 후에는를 변경할 수 없습니다.

조직의를 찾으려면에 CMK 대한 호출을 기록하는 AWS CloudTrail 로그 항목을 사용합니다 AWS KMS.

각 사서함마다 고유한 암호화 키

사서함을 생성하면 Amazon은 사서함 키라고 하는 사서함에 대한 고유한 256비트 고급 암호화 표준(AES) 대칭 암호화 키를 외부에서 WorkMail 생성합니다 AWS KMS. Amazon WorkMail 은 사서함 키를 사용하여 사서함의 각 메시지에 대한 암호화 키를 보호합니다.

사서함 키를 보호하기 위해 Amazon은를 WorkMail 호출 AWS KMS 하여 조직의에서 사서함 키를 암호화CMK합니다. 그런 다음 암호화된 사서함 키를 사서함 메타데이터에 저장합니다.

각 메시지 암호화

사용자가 사서함에 메시지를 추가하면 Amazon은 외부 메시지에 대해 고유한 AES 256비트 대칭 암호화 키를 WorkMail 생성합니다 AWS KMS. 이 메시지 키를 사용하여 메시지를 암호화합니다. Amazon은 사서함 키 아래에 메시지 키를 WorkMail 암호화하고 암호화된 메시지 키를 메시지와 함께 저장합니다. 그런 다음 CMK 조직의에서 사서함 키를 암호화합니다.

새 사서함 생성

Amazon은 사서함을 WorkMail 생성할 때 다음 프로세스를 사용하여 사서함이 암호화된 메시지를 보관하도록 준비합니다.

사서함 메시지 암호화

메시지를 암호화하기 위해 Amazon은 다음 프로세스를 WorkMail 사용합니다.

사서함 메시지 해독

Amazon은 메시지를 복호화하기 위해 다음 프로세스를 WorkMail 사용합니다.

사서함 키 캐싱

성능을 개선하고에 대한 호출을 최소화하기 위해 AWS KMS Amazon은 각 클라이언트의 각 일반 텍스트 사서함 키를 최대 1분 동안 로컬로 WorkMail 캐싱합니다. 캐싱 기간이 만료되면 사서함 키가 제거됩니다. 캐싱 기간 동안 해당 클라이언트의 사서함 키가 필요한 경우 Amazon은 호출하는 대신 캐시에서이 키를 가져올 WorkMail 수 있습니다 AWS KMS. 사서함 키는 캐시에서 보호되며 절대로 일반 텍스트로 디스크에 기록되지 않습니다.

의 사용 승인 CMK

Amazon이 암호화 작업에서 고객 마스터 키(CMK)를 WorkMail 사용하는 경우 사서함 관리자를 대신합니다.

사용자를 대신하여 보안 암호에 AWS KMS 고객 마스터 키(CMK)를 사용하려면 관리자에게 다음 권한이 있어야 합니다. IAM 정책이나 키 정책에서 이러한 필수 권한을 지정할 수 있습니다.

Amazon에서 시작된 요청에만 CMK를 사용하도록 허용하려면 workmail.<region>.amazonaws.com 값과 함께 kms:ViaService 조건 키를 사용할 WorkMail수 있습니다.

암호화 컨텍스트의 키 또는 값을 암호화 작업에를 사용하는 조건으로 사용할 수도 CMK 있습니다. 예를 들면 IAM 또는 키 정책 문서에서 문자열 조건 연산자를 사용하거나 권한 부여에서 권한 부여 제약을 사용할 수 있습니다.

AWS 관리형에 대한 키 정책 CMK

AWS 관리형 CMK for Amazon의 키 정책은 Amazon이 사용자를 대신하여 요청할 때만 지정된 작업에 CMK WorkMail 를 사용할 수 있는 권한을 사용자에게 WorkMail 부여합니다. 키 정책은 사용자가를 CMK 직접 사용하도록 허용하지 않습니다.

이 키 정책은 모든 AWS 관리형 키의 정책처럼 서비스에 의해 설정됩니다. 키 정책은 변경할 수 없지만 언제든지 볼 수 있습니다. 자세한 내용은 AWS Key Management Service 개발자 안내서의 키 정책 보기를 참조하세요.

키 정책의 정책 설명문은 다음 효과를 갖습니다.

다음은 AmazonCMK에서 AWS 관리하는 예제의 키 정책입니다 WorkMail.

{
  "Version" : "2012-10-17",
  "Id" : "auto-workmail-1",
  "Statement" : [ {
    "Sid" : "Allow access through WorkMail for all principals in the account that are authorized to use WorkMail",
    "Effect" : "Allow",
    "Principal" : {
      "AWS" : "*"
    },
    "Action" : [ "kms:Decrypt", "kms:CreateGrant", "kms:ReEncrypt*", "kms:DescribeKey", "kms:Encrypt" ],
    "Resource" : "*",
    "Condition" : {
      "StringEquals" : {
        "kms:ViaService" : "workmail.us-east-1.amazonaws.com",
        "kms:CallerAccount" : "111122223333"
      }
    }
  }, {
    "Sid" : "Allow direct access to key metadata to the account",
    "Effect" : "Allow",
    "Principal" : {
      "AWS" : "arn:aws:iam::111122223333:root"
    },
    "Action" : [ "kms:Describe*", "kms:List*", "kms:Get*", "kms:RevokeGrant" ],
    "Resource" : "*"
  } ]
}

권한 부여를 사용하여 Amazon 권한 부여 WorkMail

Amazon WorkMail 은 키 정책 외에도 권한 부여를 사용하여 각 조직의 CMK에 권한을 추가합니다. CMK 계정에서에 대한 권한 부여를 보려면 ListGrants 작업을 사용합니다.

Amazon WorkMail 은 권한 부여를 사용하여 조직의 CMK에 다음 권한을 추가합니다.

권한 부여를 생성하려면 Amazon은 조직을 생성한 사용자를 CreateGrant 대신하여를 WorkMail 호출합니다. 권한 부여 생성 권한은 키 정책에 의해 부여됩니다. 이 정책은 AmazonCreateGrant이 권한 있는 사용자를 대신하여 WorkMail 요청할 때 계정 사용자가 CMK 조직의를 호출할 수 있도록 허용합니다.

또한 키 정책은 계정 루트가 AWS 관리형 키에 대한 권한 부여를 취소할 수 있도록 허용합니다. 그러나 권한을 취소하면 Amazon은 사서함의 암호화된 데이터를 해독할 WorkMail 수 없습니다.

Amazon WorkMail 암호화 컨텍스트

암호화 컨텍스트는 비밀이 아닌 임의의 데이터를 포함하는 키-값 페어 세트입니다. 데이터 암호화 요청에 암호화 컨텍스트를 포함하면 AWS KMS 암호화 컨텍스트가 암호화된 데이터에 암호화 컨텍스트를 바인딩합니다. 따라서 동일한 암호화 컨텍스트로 전달해야 이 데이터를 해독할 수 있습니다. 자세한 내용은 AWS Key Management Service 개발자 가이드에서 암호화 컨텍스트를 참조하세요.

Amazon WorkMail 은 모든 암호화 작업에서 동일한 AWS KMS 암호화 컨텍스트 형식을 사용합니다. 암호화 컨텍스트를 사용하여 AWS CloudTrail 같은 감사 레코드나 로그에서, 그리고 정책 및 권한 부여의 권한 부여 조건으로서, 암호화 작업을 식별할 수 있습니다.

암호화 및 복호화 요청에서 AWS KMS Amazon은 키가 aws:workmail:arn 이고 값이 조직의 Amazon 리소스 이름(ARN)인 암호화 컨텍스트를 WorkMail 사용합니다.

"aws:workmail:arn":"arn:aws:workmail:region:account ID:organization/organization-ID"

예를 들어 다음 암호화 컨텍스트에는 유럽(아일랜드)(eu-west-1) 리전ARN의 예제 조직이 포함됩니다.

"aws:workmail:arn":"arn:aws:workmail:eu-west-1:111122223333:organization/m-a123b4c5de678fg9h0ij1k2lm234no56"

와의 Amazon WorkMail 상호 작용 모니터링 AWS KMS

AWS CloudTrail 및 Amazon CloudWatch Logs를 사용하여 Amazon이 사용자를 대신하여 WorkMail 보내는 요청을 추적할 수 AWS KMS 있습니다.

암호화

사서함을 생성할 때 Amazon은 사서함 키를 WorkMail 생성하고를 호출 AWS KMS 하여 사서함 키를 암호화합니다. Amazon은 일반 텍스트 사서함 키와 Amazon WorkMail 조직의에 대한 식별자를 AWS KMS 사용하여 에 암호화 요청을 WorkMail 보냅니다. CMK

Encrypt 작업을 기록하는 이벤트는 다음 예시 이벤트와 유사합니다. 사용자는 Amazon WorkMail 서비스입니다. 파라미터에는 CMK ID(keyId)와 Amazon WorkMail 조직의 암호화 컨텍스트가 포함됩니다. Amazon은 사서함 키 WorkMail 도 전달하지만 CloudTrail 로그에는 기록되지 않습니다.

{
    "eventVersion": "1.05",
    "userIdentity": {
        "type": "AWSService",
        "invokedBy": "workmail.eu-west-1.amazonaws.com"
    },
    "eventTime": "2019-02-19T10:01:09Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Encrypt",
    "awsRegion": "eu-west-1",
    "sourceIPAddress": "workmail.eu-west-1.amazonaws.com",
    "userAgent": "workmail.eu-west-1.amazonaws.com",
    "requestParameters": {
        "encryptionContext": {
            "aws:workmail:arn": "arn:aws:workmail:eu-west-1:111122223333:organization/m-a123b4c5de678fg9h0ij1k2lm234no56"
        },
        "keyId": "arn:aws:kms:eu-west-1:111122223333:key/1a2b3c4d-5e6f-1a2b-3c4d-5e6f1a2b3c4d"
    },
    "responseElements": null,
    "requestID": "76e96b96-7e24-4faf-a2d6-08ded2eaf63c",
    "eventID": "d5a59c18-128a-4082-aa5b-729f7734626a",
    "readOnly": true,
    "resources": [
        {
            "ARN": "arn:aws:kms:eu-west-1:111122223333:key/1a2b3c4d-5e6f-1a2b-3c4d-5e6f1a2b3c4d",
            "accountId": "111122223333",
            "type": "AWS::KMS::Key"
        }
    ],
    "eventType": "AwsApiCall",
    "recipientAccountId": "111122223333",
    "sharedEventID": "d08e60f1-097e-4a00-b7e9-10bc3872d50c"
}

Decrypt

사서함 메시지를 추가, 확인 또는 삭제하면 Amazon은 사서함 키를 복호화 AWS KMS 하도록 WorkMail 요청합니다. Amazon은 암호화된 사서함 키와 CMK Amazon WorkMail 조직의에 대한 식별자를 AWS KMS 사용하여에 복호화 요청을 WorkMail 보냅니다.

Decrypt 작업을 기록하는 이벤트는 다음 예시 이벤트와 유사합니다. 사용자는 Amazon WorkMail 서비스입니다. 파라미터에는 로그에 기록되지 않는 암호화된 사서함 키(암호 텍스트 블롭)와 Amazon WorkMail 조직의 암호화 컨텍스트가 포함됩니다.는 암호 텍스트CMK에서의 ID를 AWS KMS 도출합니다.

{
    "eventVersion": "1.05",
    "userIdentity": {
        "type": "AWSService",
        "invokedBy": "workmail.eu-west-1.amazonaws.com"
    },
    "eventTime": "2019-02-20T11:51:10Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Decrypt",
    "awsRegion": "eu-west-1",
    "sourceIPAddress": "workmail.eu-west-1.amazonaws.com",
    "userAgent": "workmail.eu-west-1.amazonaws.com",
    "requestParameters": {
        "encryptionContext": {
            "aws:workmail:arn": "arn:aws:workmail:eu-west-1:111122223333:organization/m-a123b4c5de678fg9h0ij1k2lm234no56"
        }
    },
    "responseElements": null,
    "requestID": "4a32dda1-34d9-4100-9718-674b8e0782c9",
    "eventID": "ea9fd966-98e9-4b7b-b377-6e5a397a71de",
    "readOnly": true,
    "resources": [
        {
            "ARN": "arn:aws:kms:eu-west-1:111122223333:key/1a2b3c4d-5e6f-1a2b-3c4d-5e6f1a2b3c4d",
            "accountId": "111122223333",
            "type": "AWS::KMS::Key"
        }
    ],
    "eventType": "AwsApiCall",
    "recipientAccountId": "111122223333",
    "sharedEventID": "241e1e5b-ff64-427a-a5b3-7949164d0214"
}