기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

WorkSpaces 개인용 암호화 WorkSpaces

WorkSpaces 와 통합되어 있습니다. AWS Key Management Service (AWS KMS). 이를 통해 사용 중인 스토리지 볼륨을 암호화할 수 있습니다 WorkSpaces . AWS KMS 키. 를 실행하면 루트 볼륨 (Microsoft Windows의 경우 C 드라이브, Linux의 경우/) 및 사용자 볼륨 (Windows의 경우 D 드라이브, Linux의 경우 /home) 을 암호화할 수 있습니다. WorkSpace 이렇게 하면 유휴 상태인 저장 데이터, 볼륨에 대한 디스크 I/O 및 볼륨에서 생성된 스냅샷이 모두 암호화됩니다.

사전 조건

필요한 것은 AWS KMS 암호화 프로세스를 시작하기 전에 키를 누르십시오. 이 KMS 키는 다음 중 하나일 수 있습니다. AWSAmazon용 관리형 KMS 키 WorkSpaces (AWS/워크스페이스) 또는 대칭형 고객 관리 키. KMS

사용하려면 다음 요구 사항을 충족해야 합니다. AWS KMS WorkSpaces암호화하기 위한 키:

Limits

WorkSpaces 암호화 사용 개요 AWS KMS

암호화된 WorkSpaces 볼륨으로 생성하는 경우 Amazon Elastic Block Store (AmazonEBS) 를 WorkSpaces 사용하여 해당 볼륨을 생성하고 관리합니다. Amazon은 업계 표준 AES -256 알고리즘을 사용하여 데이터 키로 볼륨을 EBS 암호화합니다. EBSAmazon과 Amazon 모두 사용자의 KMS 키를 WorkSpaces 사용하여 암호화된 볼륨을 처리합니다. EBS볼륨 암호화에 대한 자세한 내용은 Amazon EC2 사용 설명서의 Amazon EBS 암호화를 참조하십시오.

암호화된 WorkSpaces 볼륨으로 시작하는 경우 end-to-end 프로세스는 다음과 같이 작동합니다.

WorkSpaces 암호화 컨텍스트

WorkSpaces KMS키를 암호화 작업 (예: Encrypt,, Decrypt등) 에 직접 사용하지 않습니다. 즉, 요청을 보내지 WorkSpaces 않습니다. GenerateDataKey AWS KMS 여기에는 암호화 컨텍스트가 포함됩니다. 하지만 EBS Amazon이 WorkSpaces (단계 3내 WorkSpaces 암호화 사용 개요 AWS KMS) 의 암호화된 볼륨에 대해 암호화된 데이터 키를 요청하고 해당 데이터 키 (단계 5) 의 일반 텍스트 사본을 요청하면 요청에 암호화 컨텍스트가 포함됩니다.

암호화 컨텍스트는 다음과 같은 인증된 추가 데이터 (AAD) 를 제공합니다. AWS KMS 데이터 무결성을 보장하는 데 사용합니다. 암호화 컨텍스트는 다음 사용자에게도 기록됩니다. AWS CloudTrail 로그 파일은 지정된 KMS 키가 사용된 이유를 이해하는 데 도움이 될 수 있습니다. EBSAmazon은 암호화 컨텍스트에 다음을 사용합니다.

다음 예는 JSON Amazon에서 EBS 사용하는 암호화 컨텍스트를 보여줍니다.

{
  "aws:workspaces:sid-directoryid": "[S-1-5-21-277731876-1789304096-451871588-1107]@[d-1234abcd01]",
  "aws:ebs:id": "vol-1234abcd"
}

사용자를 대신하여 KMS 키를 사용할 수 있는 WorkSpaces 권한을 부여하십시오.

다음에 따라 WorkSpace 데이터를 보호할 수 있습니다. AWS WorkSpaces(AWS/workspaces) 용 관리형 KMS 키 또는 고객 관리형 키. KMS 고객 관리형 KMS 키를 사용하는 경우 계정의 WorkSpaces 관리자를 대신하여 KMS 키 사용 WorkSpaces 권한을 부여해야 합니다. The AWS 의 관리 KMS WorkSpaces 키에는 기본적으로 필요한 권한이 있습니다.

에서 사용할 고객 관리 KMS 키를 준비하려면 다음 절차를 사용하십시오. WorkSpaces

WorkSpaces 관리자에게도 사용 권한이 필요합니다 WorkSpaces. 이러한 권한에 대한 자세한 내용은 ID 및 액세스 관리 대상 WorkSpaces 섹션을 참조하세요.

1부: WorkSpaces 관리자를 주요 사용자로 추가

WorkSpaces 관리자에게 필요한 권한을 부여하려면 다음을 사용할 수 있습니다. AWS Management Console 또는 AWS KMS API.

WorkSpaces 관리자를 키의 주요 사용자로 KMS 추가하려면 (콘솔)

WorkSpaces 관리자를 키의 주요 사용자로 KMS 추가하려면 (API)

2부: IAM 정책을 사용하여 WorkSpaces 관리자에게 추가 권한 부여

암호화에 사용할 고객 관리 KMS 키를 선택하는 경우 암호화를 시작한 계정의 IAM 사용자를 WorkSpaces 대신하여 Amazon이 KMS 키를 사용할 수 있도록 하는 IAM 정책을 설정해야 WorkSpaces 합니다. 또한 해당 사용자는 Amazon을 사용할 권한이 필요합니다 WorkSpaces. IAM사용자 정책 생성 및 편집에 대한 자세한 내용은 사용 설명서 및 의 IAMIAM정책 관리를 참조하십시오ID 및 액세스 관리 대상 WorkSpaces.

WorkSpaces 암호화에는 KMS 키에 대한 제한된 액세스가 필요합니다. 다음은 사용 가능한 샘플 키 정책입니다. 이 정책은 데이터를 관리할 수 있는 주체를 구분합니다. AWS KMS 키를 사용할 수 있는 사람과 키. 이 샘플 키 정책을 사용하기 전에 예제 계정 ID와 IAM 사용자 이름을 계정의 실제 값으로 바꾸십시오.

첫 번째 명령문은 기본값과 일치합니다. AWS KMS 키 정책. IAM정책을 사용하여 KMS 키에 대한 액세스를 제어할 수 있는 권한을 계정에 부여합니다. 두 번째 및 세 번째 명령문은 다음을 정의합니다. AWS 주체는 각각 키를 관리하고 사용할 수 있습니다. 네 번째 문장은 다음을 가능하게 합니다. AWS 다음과 통합된 서비스 AWS KMS 지정된 주체를 대신하여 키를 사용할 수 있습니다. 이 명령문을 사용하면 AWS 보조금 생성 및 관리 서비스. 이 명령문은 KMS 키에 대한 권한 부여를 다음과 같이 제한하는 조건 요소를 사용합니다. AWS 계정 내 사용자를 대신하는 서비스.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Create*",
        "kms:Describe*",
        "kms:Enable*",
        "kms:List*",
        "kms:Put*",
        "kms:Update*",
        "kms:Revoke*",
        "kms:Disable*",
        "kms:Get*",
        "kms:Delete*"
       ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": "true"}}
    }
  ]
}

암호화하는 사용자 또는 역할에 대한 IAM 정책에는 고객 관리 KMS 키에 대한 사용 권한과 액세스 권한이 WorkSpace 포함되어야 합니다. WorkSpaces IAM사용자 또는 역할에 WorkSpaces 권한을 부여하려면 다음 샘플 정책을 IAM 사용자 또는 역할에 연결할 수 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:*",
                "ds:DescribeDirectories",
                "workspaces:*",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:CreateWorkspaces",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:DescribeWorkspaceDirectories",
                "workspaces:DescribeWorkspaces",
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces"
            ],
            "Resource": "*"
        }
    ]
}

사용자가 사용하려면 다음 IAM 정책이 필요합니다. AWS KMS. 사용자에게 KMS 키에 대한 읽기 전용 액세스 권한과 권한 부여 생성 기능을 제공합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:Describe*",
                "kms:List*"
            ],
            "Resource": "*"
        }
    ]
}

정책에 KMS 키를 지정하려면 다음과 유사한 IAM 정책을 사용하십시오. 예제 KMS 키를 유효한 ARN 키로 교체하십시오.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:CreateGrant",
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:ListAliases",
        "kms:ListKeys"
      ],
      "Resource": "*"
    }
  ]
}

암호화하세요. WorkSpace

암호화된 상태로 보기 WorkSpaces

WorkSpaces 콘솔에서 어떤 WorkSpaces 및 볼륨이 암호화되었는지 확인하려면 왼쪽의 탐색 막대에서 선택하십시오 WorkSpaces. 볼륨 암호화 WorkSpace 열에는 각 항목에 암호화가 활성화되었는지 또는 비활성화되었는지가 표시됩니다. 어떤 특정 볼륨이 암호화되었는지 확인하려면 WorkSpace 항목을 확장하여 암호화된 볼륨 필드를 확인하십시오.