Athena의 데이터 보호
AWS 공동 책임 모델
데이터를 보호하려면 AWS 계정 보안 인증 정보를 보호하고 AWS IAM Identity Center 또는 AWS Identity and Access Management(IAM)를 통해 개별 사용자 계정을 설정하는 것이 좋습니다. 이렇게 하면 개별 사용자에게 자신의 직무를 충실히 이행하는 데 필요한 권한만 부여됩니다. 또한 다음과 같은 방법으로 데이터를 보호하는 것이 좋습니다.
-
각 계정에 다중 인증(MFA)을 사용합니다.
-
SSL/TLS를 사용하여 AWS리소스와 통신합니다. TLS 1.2가 필수이며 TLS 1.3을 권장합니다.
-
AWS CloudTrail로 API 및 사용자 활동 로깅을 설정합니다.
-
AWS 암호화 솔루션을 AWS 서비스 내의 모든 기본 보안 컨트롤과 함께 사용하세요.
-
Amazon S3에 저장된 민감한 데이터를 검색하고 보호하는 데 도움이 되는 Amazon Macie와 같은 고급 관리형 보안 서비스를 사용하세요.
-
명령줄 인터페이스 또는 API를 통해 AWS에 액세스할 때 FIPS 140-2 인증 암호화 모듈이 필요한 경우 FIPS 엔드포인트를 사용하세요. 사용 가능한 FIPS 엔드포인트에 대한 자세한 내용은 Federal Information Processing Standard(FIPS) 140-2
를 참조하십시오.
고객의 이메일 주소와 같은 기밀 정보나 중요한 정보는 태그나 이름 필드와 같은 자유 양식 필드에 입력하지 않는 것이 좋습니다. 여기에는 Athena 또는 기타 AWS 서비스에서 콘솔, API, AWS CLI 또는 AWS SDK를 사용하여 작업하는 경우가 포함됩니다. 이름에 사용되는 태그 또는 자유 형식 텍스트 필드에 입력하는 모든 데이터는 청구 또는 진단 로그에 사용될 수 있습니다. 외부 서버에 URL을 제공할 때 해당 서버에 대한 요청을 검증하기 위해 보안 인증 정보를 URL에 포함시켜서는 안 됩니다.
추가 보안 단계로 aws:CalledVia 전역 조건 컨텍스트 키를 사용하여 Athena에서 보낸 요청으로만 요청을 제한할 수 있습니다. 자세한 내용은 Athena와 CalledVia 컨텍스트 키 사용 단원을 참조하십시오.
다양한 유형의 데이터 보호
Athena를 사용하여 데이터베이스 및 테이블을 작성할 때 여러 유형의 데이터가 관련됩니다. 이러한 데이터 형식에는 Amazon S3에 저장된 원본 데이터, 쿼리를 실행할 때 만드는 데이터베이스 및 테이블의 메타 데이터 또는 데이터, 쿼리 결과 데이터 및 쿼리 기록 검색을 위한 AWS Glue 크롤러가 포함됩니다. 이 섹션에서는 각 유형의 데이터에 대해 설명하고 데이터 보호에 대한 지침을 제공합니다.
-
소스 데이터 – Amazon S3 및 Athena의 데이터베이스와 테이블의 데이터를 저장하고 수정하지 않습니다. 자세한 내용은 Amazon Simple Storage Service 사용 설명서의 Amazon S3의 데이터 보호를 참조하세요. Amazon S3에서 소스 데이터에 대한 액세스를 제어하고 이를 암호화할 수 있습니다. Athena는 Amazon S3에서 암호화된 데이터 세트를 기반으로 테이블을 생성할 수 있습니다.
-
데이터베이스 및 테이블 메타데이터(스키마) – Athena는 스키마-온-리드(schema-on-read) 기술을 사용합니다. 즉, 테이블 정의는 Athena 쿼리 실행 시 Amazon S3의 데이터에 적용됩니다. 사용자가 정의하는 모든 스키마는 명시적으로 삭제하지 않는 한, 자동으로 저장됩니다. Athena에서 DDL 문을 사용하여 데이터 카탈로그 메타데이터를 수정할 수 있습니다. Amazon S3에 저장된 기본 데이터에 영향을 주지 않고도 테이블 정의 및 스키마를 삭제할 수도 있습니다. Athena에서 사용하는 데이터베이스 및 테이블의 메타데이터는 AWS Glue Data Catalog에 저장됩니다.
AWS Identity and Access Management(IAM)를 사용하면 AWS Glue Data Catalog에 등록된 데이터베이스 및 테이블에 대해 세분화된 액세스 정책을 정의할 수 있습니다. AWS Glue Data Catalog의 메타데이터도 암호화할 수 있습니다. 메타데이터를 암호화하는 경우 액세스를 위해 암호화된 메타데이터에 대한 사용 권한을 사용하세요.
-
저장된 쿼리를 포함한 쿼리 결과 및 쿼리 기록 – 쿼리 결과는 전역 또는 각 작업 그룹에 대해 지정하도록 선택할 수 있는 Amazon S3의 위치에 저장됩니다. 지정하지 않으면 Athena는 각 경우에 기본 위치를 사용합니다. 쿼리 결과 및 저장된 쿼리를 저장하는 Amazon S3 버킷에 대한 액세스를 제어합니다. 또한 Amazon S3에 저장한 쿼리 결과를 암호화하도록 선택할 수 있습니다. 사용자는 Amazon S3 위치에 액세스하고 파일을 해독할 수 있는 적절한 권한을 가지고 있어야 합니다. 자세한 내용은 이 문서의 Amazon S3에 저장된 Athena 쿼리 결과 암호화 단원을 참조하세요.
Athena는 45일 동안 쿼리 기록을 보관합니다. 콘솔에서 Athena API와 AWS CLI를 사용하여 쿼리 기록을 볼 수 있습니다. 45일 이상 된 쿼리를 저장하려면 저장하세요. 저장된 쿼리에 대한 액세스를 보호하려면 Athena에서 작업 그룹을 사용하여 저장된 쿼리에 대한 액세스 권한을, 쿼리를 볼 수 있는 권한이 있는 사용자에게만 제한합니다.
