AWS IoT Greengrass 코어에 암호 배포 - AWS IoT Greengrass

다음에 대한 설명서를 보고 있습니다.AWS IoT Greengrass Version 1.AWS IoT Greengrass Version 2의 최신 주요 버전입니다AWS IoT Greengrass. 사용에 관한 자세한 내용은 단원을 참조하십시오.AWS IoT Greengrass V2에 대한 자세한 내용은AWS IoT Greengrass Version 2개발자 안내서.

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

AWS IoT Greengrass 코어에 암호 배포

이 기능은 다음에 사용할 수 있습니다.AWS IoT Greengrass코어 v1.7 이상

AWS IoT Greengrass를 사용하면 하드 코딩된 암호, 토큰 또는 기타 암호를 사용하지 않고도 Greengrass 디바이스의 서비스와 애플리케이션에 인증할 수 있습니다.

AWS Secrets Manager는 클라우드에서 보안 암호를 안전하게 저장하고 관리하는 데 사용할 수 있는 서비스입니다.AWS IoT GreengrassGreengrass 핵심 장치에 Secrets Manager 확장, 그래서 당신의커넥터및 Lambda 함수는 로컬 암호를 사용하여 서비스 및 애플리케이션과 상호 작용할 수 있습니다. 예를 들어, Twilio 알림 커넥터는 로컬로 저장된 인증 토큰을 사용합니다.

보안 암호를 Greengrass 그룹에 통합하려면 Secrets Manager 보안 암호를 참조하는 그룹 리소스를 생성합니다. 이 암호 리소스는 ARN을 통해 클라우드 암호를 참조합니다. 암호 리소스의 생성, 관리, 사용 방법을 알아보려면 암호 리소스 작업을 참조하십시오.

AWS IoT Greengrass는 전송 중이거나 상주 중인 암호를 암호화합니다. 그룹 배포 중에AWS IoT Greengrass암호 Secrets Manager 가져오고 Greengrass 코어에서 암호화된 로컬 사본을 생성합니다. 암호 Secrets Manager 클라우드 암호를 교체한 후 그룹을 다시 배포하여 업데이트된 값을 코어에 전파합니다.

다음 다이어그램에서는 암호를 코어에 배포하는 프로세스를 자세히 보여줍니다. 암호는 전송 및 저장 상태에서 암호화됩니다.


            AWS IoT Greengrass에서 비밀을 가져옵니다.AWS Secrets Manager는 커넥터 및 Lambda 함수에서 보안 암호로 코어 디바이스에 배포합니다.

AWS IoT Greengrass를 사용하여 로컬로 암호를 저장하는 경우 다음과 같은 이점이 있습니다.

  • 코드에서 분리됨(하드 코딩되지 않음). 중앙에서 관리되는 자격 증명을 지원하며 민감한 데이터를 손상 위험으로부터 보호할 수 있습니다.

  • 오프라인 시나리오에 사용할 수 있습니다. 인터넷 연결이 끊어진 상태에서 커넥터와 함수가 로컬 서비스 및 소프트웨어에 안전하게 액세스할 수 있습니다.

  • 암호에 제어된 액세스. 그룹에서 승인된 커넥터와 함수만 암호에 액세스할 수 있습니다. AWS IoT Greengrass는 프라이빗 키 암호화를 사용하여 암호를 보호합니다. 암호는 전송 및 저장 상태에서 암호화됩니다. 자세한 내용은 암호 암호화 섹션을 참조하세요.

  • 제어된 회전. 암호 Secrets Manager 교체한 후 Greengrass 그룹을 다시 배포하여 암호의 로컬 사본을 업데이트합니다. 자세한 내용은 보안 암호 생성 및 관리 섹션을 참조하세요.

    중요

    AWS IoT Greengrass는 클라우드 버전 교체 후 로컬 암호 값을 자동으로 업데이트하지 않습니다. 로컬 값을 업데이트하려면 그룹을 다시 배포해야 합니다.

암호 암호화

AWS IoT Greengrass는 전송 및 유휴 상태의 암호를 암호화합니다.

중요

사용자 정의한 함수에서 보안 암호를 안전하게 취급해야 하고, 보안 암호에 저장된 기밀 데이터를 로그에 기록하지 말아야 합니다. 자세한 내용은 단원을 참조하십시오.Lambda 함수 로깅 및 디버깅 위험 줄이기AWS Secrets Manager사용 설명서. 이 설명서에서는 특별히 교체 기능을 언급하지만 권장 사항은 Greengrass Lambda 함수에도 적용됩니다.

전송 중 데이터 암호화

AWS IoT Greengrass는 TLS(전송 계층 보안)를 사용하여 인터넷 및 로컬 네트워크를 통한 모든 통신을 암호화합니다. 그러면 암호 관리자에서 암호를 검색하여 코어에 배포하는 과정에서 전송 중인 암호가 보호됩니다. 지원되는 TLS 암호 그룹은 TLS 암호 그룹 지원 단원을 참조하십시오.

유휴 시 암호화

AWS IoT Greengrass는 config.json에 지정된 프라이빗 키를 사용해 코어에 저장된 암호를 암호화합니다. 이 때문에 로컬 암호를 보호하려면 프라이빗 키의 보안 스토리지가 필요합니다. AWS 공동 책임 모델에서는 코어 디바이스에서 프라이빗 키의 보안 스토리지를 보장할 책임이 고객에게 있습니다.

AWS IoT Greengrass는 두 가지 프라이빗 키 스토리지 모드를 지원합니다.

  • 하드웨어 보안 모듈 사용 자세한 내용은 하드웨어 보안 통합 섹션을 참조하세요.

    참고

    현재 AWS IoT Greengrass는 하드웨어 기반 프라이빗 키를 사용할 경우 로컬 보안 암호의 암호화 및 해독에 PKCS#1 v1.5 패딩 메커니즘만 지원합니다. 공급업체에서 제공한 지침에 따라 하드웨어 기반 프라이빗 키를 수동으로 생성하는 경우, PKCS#1 v1.5를 선택해야 합니다. AWS IoT Greengrass는 OAEP(Optimal Asymmetric Encryption Padding)를 지원하지 않습니다.

  • 파일 시스템 권한 사용(기본값)

프라이빗 키는 로컬 암호를 암호화하는 데 사용되는 데이터 키를 보호하는 데 사용됩니다. 데이터 키는 각 그룹 배포로 교체됩니다.

이AWS IoT Greengrass코어는 프라이빗 키에 액세스할 수 있는 유일한 엔터티입니다. 암호 리소스와 연계된 Greengrass 커넥터 또는 Lambda 함수는 코어에서 암호의 값을 가져옵니다.

Requirements

로컬 암호 지원을 위한 요구 사항은 다음과 같습니다.

  • 를 사용해야 합니다.AWS IoT Greengrass코어 v1.7 이상

  • 로컬 비밀의 값을 가져오려면 사용자 정의 Lambda 함수에서AWS IoT Greengrass코어 SDK v1.3.0 이상

  • 로컬 암호 암호화에 사용되는 프라이빗 키를 Greengrass 구성 파일에서 지정해야 합니다. 기본적으로 AWS IoT Greengrass는 파일 시스템에 저장된 코어 프라이빗 키를 사용합니다. 사용자 본인의 프라이빗 키를 제공하려면 암호 암호화를 위한 프라이빗 키 지정 단원을 참조하십시오. RSA 키 유형만 지원됩니다.

    참고

    현재 AWS IoT Greengrass는 하드웨어 기반 프라이빗 키를 사용할 경우 로컬 보안 암호의 암호화 및 해독에 PKCS#1 v1.5 패딩 메커니즘만 지원합니다. 공급업체에서 제공한 지침에 따라 하드웨어 기반 프라이빗 키를 수동으로 생성하는 경우, PKCS#1 v1.5를 선택해야 합니다. AWS IoT Greengrass는 OAEP(Optimal Asymmetric Encryption Padding)를 지원하지 않습니다.

  • AWS IoT Greengrass에 암호 값을 가져올 수 있는 권한을 부여해야 합니다. 그러면 AWS IoT Greengrass가 그룹 배포 중에 값을 가져올 수 있습니다. 기본 Greengrass 서비스 역할을 사용 중인 경우 AWS IoT Greengrass는 이미 greengrass-로 시작하는 이름을 가진 암호에 액세스할 수 있습니다. 액세스를 사용자 지정하려면 AWS IoT Greengrass의 암호 값 가져오기 허용을 참조하십시오.

    참고

    권한을 사용자 지정하는 경우에도 이 명령 규칙을 사용하여 AWS IoT Greengrass가 액세스할 수 있는 암호를 식별하는 것이 좋습니다. 콘솔에서는 다른 권한을 사용하여 암호를 판독하므로 AWS IoT Greengrass가 가져올 권한이 없는 암호를 콘솔에서 선택할 수 있습니다. 명명 규칙을 사용하면 배포 오류가 발생하는 권한 충돌을 방지할 수 있습니다.

암호 암호화를 위한 프라이빗 키 지정

이 절차에서는 로컬 보안 암호화에 사용되는 프라이빗 키의 경로를 제공합니다. 이는 최소 2048비트 길이의 RSA 키여야 합니다. 에서 사용되는 프라이빗 키에 대한 자세한 내용은AWS IoT Greengrass코어에 대한 자세한 내용은AWS IoT Greengrass 코어 보안 주체.

AWS IoT Greengrass에서는 두 가지 프라이빗 키 스토리지 모드인 하드웨어 기반 또는 파일 시스템 기반(기본값)을 지원합니다. 자세한 내용은 암호 암호화 섹션을 참조하세요.

파일 시스템에서 코어 프라이빗 키를 사용하는 기본 구성을 변경하려는 경우에만 이 절차를 따르십시오. 이 단계는 시작하기 저습서의 모듈 2에 설명된 대로 그룹 및 코어를 생성했다는 가정하에 작성되었습니다.

  1. 열기config.json파일에 있는/greengrass-root/config디렉토리에 로그인합니다.

    참고

    greengrass-root는 디바이스에서 AWS IoT Greengrass 코어 소프트웨어가 설치된 경로를 나타냅니다. 일반적으로 이는 /greengrass 디렉터리입니다.

  2. crypto.principals.SecretsManager 객체에서 privateKeyPath 속성에 프라이빗 키의 경로를 입력합니다.

    • 프라이빗 키가 파일 시스템에 저장된 경우 키의 절대 경로를 지정합니다. 예:

      "SecretsManager" : { "privateKeyPath" : "file:///somepath/hash.private.key" }
    • 프라이빗 키가 HSM(하드웨어 보안 모듈)에 저장되는 경우, RFC 7512 PKCS#11 URI 체계를 사용해 경로를 지정합니다. 예:

      "SecretsManager" : { "privateKeyPath" : "pkcs11:object=private-key-label;type=private" }

      자세한 내용은 AWS IoT Greengrass 코어에 대한 하드웨어 보안 구성 섹션을 참조하세요.

      참고

      현재 AWS IoT Greengrass는 하드웨어 기반 프라이빗 키를 사용할 경우 로컬 보안 암호의 암호화 및 해독에 PKCS#1 v1.5 패딩 메커니즘만 지원합니다. 공급업체에서 제공한 지침에 따라 하드웨어 기반 프라이빗 키를 수동으로 생성하는 경우, PKCS#1 v1.5를 선택해야 합니다. AWS IoT Greengrass는 OAEP(Optimal Asymmetric Encryption Padding)를 지원하지 않습니다.

AWS IoT Greengrass의 암호 값 가져오기 허용

이 절차에서는 AWS IoT Greengrass가 암호 값을 가져오도록 허용하는 인라인 정책을 Greengrass 서비스 역할에 추가합니다.

이 절차만 따르십시오.당신이 부여하려는 경우AWS IoT Greengrass사용자 지정 권한을 비밀에 부여하거나 Greengrass 서비스 역할에AWSGreengrassResourceAccessRolePolicy관리형 정책.AWSGreengrassResourceAccessRolePolicy로 시작하는 이름으로 비밀에 대한 액세스 권한을 부여합니다.Greengrass -.

  1. 다음 CLI 명령을 실행해 Greengrass 서비스 역할의 ARN을 가져옵니다.

    aws greengrass get-service-role-for-account --region region

    반환되는 ARN에는 역할 이름이 포함되어 있습니다.

    { "AssociatedAt": "time-stamp", "RoleArn": "arn:aws:iam::account-id:role/service-role/role-name" }

    다음 단계에서는 ARN 또는 이름을 사용합니다.

  2. secretsmanager:GetSecretValue 작업을 허용하는 인라인 정책을 추가합니다. 지침은 단원을 참조하십시오.IAM 정책 추가 및 제거IAM 사용 설명서.

    암호를 명시적으로 나열하거나 와일드카드 * 이름 지정 체계를 사용하여 세분화된 액세스 권한을 부여하거나 버전이 지정되거나 태그 지정된 암호에 대한 조건부 액세스를 허용할 수 있습니다. 예를 들어, 다음 정책은 AWS IoT Greengrass에 지정된 암호만 읽을 수 있도록 허용합니다.

    { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "secretsmanager:GetSecretValue" ], "Resource": [ "arn:aws:secretsmanager:region:account-id:secret:greengrass-SecretA-abc", "arn:aws:secretsmanager:region:account-id:secret:greengrass-SecretB-xyz" ] } ] }
    참고

    고객 관리형 AWS KMS 키를 사용해 암호를 암호화할 경우, Greengrass 서비스 역할이 kms:Decrypt 작업을 허용해야 합니다.

보안 Secrets Manager IAM 정책에 대한 자세한 내용은 단원을 참조하십시오.에 대한 인증 및 액세스 제어AWS Secrets ManagerIAM 정책 또는 보안 정책에서 사용할 수 있는 작업, 리소스 및 컨텍스트 키AWS Secrets ManagerAWS Secrets Manager사용 설명서.

다음 사항도 참조하세요.