기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
EC2 Image Builde의 데이터 보호
AWS 공동 책임 모델 공동 책임 모델
데이터 보호를 위해 AWS 계정 자격 증명을 보호하고 AWS IAM Identity Center OR AWS Identity and Access Management (IAM) 을 사용하여 개별 사용자를 설정하는 것이 좋습니다. 이 방식을 사용하면 각 사용자에게 자신의 직무를 충실히 이행하는 데 필요한 권한만 부여됩니다. 또한 다음과 같은 방법으로 데이터를 보호하는 것이 좋습니다.
-
각 계정에 다중 인증(MFA)을 사용합니다.
-
SSL/TLS를 사용하여 리소스와 통신할 수 있습니다. AWS TLS 1.2는 필수이며 TLS 1.3을 권장합니다.
-
를 사용하여 API 및 사용자 활동 로깅을 설정합니다. AWS CloudTrail
-
포함된 모든 기본 보안 제어와 함께 AWS 암호화 솔루션을 사용하십시오 AWS 서비스.
-
Amazon Macie와 같은 고급 관리형 보안 서비스를 사용하여 Amazon S3에 저장된 민감한 데이터를 검색하고 보호합니다.
-
명령줄 인터페이스 또는 API를 AWS 통해 액세스할 때 FIPS 140-2로 검증된 암호화 모듈이 필요한 경우 FIPS 엔드포인트를 사용하십시오. 사용 가능한 FIPS 엔드포인트에 대한 자세한 내용은 Federal Information Processing Standard(FIPS) 140-2
를 참조하십시오.
고객의 이메일 주소와 같은 기밀 정보나 중요한 정보는 태그나 이름 필드와 같은 자유 양식 필드에 입력하지 않는 것이 좋습니다. 여기에는 콘솔 AWS CLI, API 또는 AWS 서비스 AWS SDK를 사용하여 Image Builder 또는 다른 도구로 작업하는 경우가 포함됩니다. 이름에 사용되는 태그 또는 자유 형식 텍스트 필드에 입력하는 모든 데이터는 청구 또는 진단 로그에 사용될 수 있습니다. 외부 서버에 URL을 제공할 때 해당 서버에 대한 요청을 검증하기 위해 보안 인증 정보를 URL에 포함시켜서는 안 됩니다.
EC2 Image Builder의 암호화 및 키 관리
Image Builder는 서비스 소유의 KMS 키를 사용하여 전송 중 데이터와 저장된 데이터를 기본적으로 암호화합니다. 단, 다음과 같은 경우는 예외입니다.
-
사용자 지정 구성 요소-Image Builder는 기본 KMS 키 또는 서비스 소유 KMS 키를 사용하여 사용자 지정 구성 요소를 암호화합니다.
-
이미지 워크플로-Image Builder는 워크플로 생성 중에 키를 지정하는 경우 고객 관리형 키를 사용하여 이미지 워크플로를 암호화할 수 있습니다. Image Builder는 키로 암호화 및 복호화를 처리하여 이미지에 대해 구성한 워크플로를 실행합니다.
를 통해 AWS KMS자체 키를 관리할 수 있습니다. 하지만 Image Builder가 소유한 Image Builder KMS 키를 관리할 권한은 없습니다. KMS 키를 관리하는 방법에 대한 자세한 내용은 AWS Key Management Service 개발자 안내서의 시작하기를 참조하십시오. AWS Key Management Service
암호화 컨텍스트
암호화된 데이터에 대한 무결성 및 신뢰성 검사를 추가로 제공하기 위해 데이터를 암호화할 때 암호화 컨텍스트를 포함할수 있습니다. 리소스가 암호화 컨텍스트로 암호화되면 컨텍스트를 AWS KMS 암호문에 암호로 바인딩합니다. 요청자가 컨텍스트에 대해 대소문자를 구분하여 정확히 일치하는 항목을 제공하는 경우에만 리소스를 해독할 수 있습니다.
이 섹션의 정책 예제는 Image Builder 워크플로 리소스의 Amazon 리소스 이름(ARN)과 유사한 암호화 컨텍스트를 사용합니다.
고객 관리형 키로 이미지 워크플로 암호화
보호 계층을 추가하려면 Image Builder 워크플로 리소스를 자체 고객 관리형 키로 암호화할 수 있습니다. 고객 관리형 키를 사용하여 생성한 Image Builder 워크플로를 암호화하는 경우 Image Builder가 워크플로 리소스를 암호화 및 복호화할 때 Image Builder가 키를 사용하도록 키 정책에서 액세스 권한을 부여해야 합니다. 언제든지 액세스 권한을 취소할 수 있습니다. 그러나 키에 대한 액세스 권한을 취소할 경우 Image Builder는 이미 암호화된 워크플로에 액세스할 수 없습니다.
Image Builder에 고객 관리형 키를 사용할 수 있는 액세스 권한을 부여하는 프로세스는 다음과 같이 두 단계로 되어 있습니다.
1단계: Image Builder 워크플로에 키 정책 권한 추가
워크플로를 만들거나 사용할 때 Image Builder에서 워크플로 리소스를 암호화하고 해독할 수 있도록 하려면 KMS 키 정책에 권한을 지정해야 합니다.
이 예제의 키 정책은 Image Builder 파이프라인이 생성 프로세스 중에 워크플로 리소스를 암호화하고 워크플로 리소스를 해독하여 사용할 수 있는 액세스 권한을 부여합니다. 또한 이 정책은 주요 관리자에게 액세스 권한을 부여합니다. 암호화 컨텍스트 및 리소스 사양은 와일드카드를 사용하여 워크플로 리소스가 있는 모든 리전을 포함합니다.
이미지 워크플로를 사용하기 위한 전제 조건으로 Image Builder에 워크플로 작업을 실행할 권한을 부여하는 IAM 워크플로 실행 역할을 생성했습니다. 다음 키 정책 예제에 표시된 첫 번째 명령문의 주체는 IAM 워크플로 실행 역할을 지정해야 합니다.
고객 관리형 키에 대한 자세한 내용은AWS Key Management Service 개발자 안내서의 고객 관리형 키 액세스 관리를 참조하세요.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "Allow access to build images with encrypted workflow", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:role/YourImageBuilderExecutionRole" }, "Action": [ "kms:Decrypt", "kms:GenerateDataKey" ], "Resource": "*", "Condition": { "StringLike": { "kms:EncryptionContext:aws:imagebuilder:arn": "arn:aws:imagebuilder:*:111122223333:workflow/*" } } }, { "Sid": "Allow access for key administrators", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:root" }, "Action": [ "kms:*" ], "Resource": "arn:aws:kms:*:111122223333:key/" } ] }
2단계: 워크플로 실행 역할에 대한 키 액세스 권한 부여
Image Builder가 워크플로를 실행하기 위해 맡는 IAM 역할에는 고객 관리형 키를 사용할 권한이 필요합니다. 키에 액세스하지 않으면 Image Builder에서 해당 키로 워크플로 리소스를 암호화 또는 복호화할 수 없습니다.
워크플로 실행 역할의 정책을 편집하여 다음 정책 설명을 추가합니다.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "Allow access to the workflow key", "Effect": "Allow", "Action": [ "kms:Decrypt", "kms:GenerateDataKey" ], "Resource": "arn:aws:kms:us-west-2:111122223333:key/key_ID", "Condition": { "StringLike": { "kms:EncryptionContext:aws:imagebuilder:arn": "arn:aws:imagebuilder:*:111122223333:workflow/*" } } } ] }
AWS CloudTrail 이미지 워크플로용 이벤트
다음 예는 고객 관리 키로 저장되는 이미지 워크플로를 암호화하고 해독하기 위한 일반적인 AWS CloudTrail 항목을 보여줍니다.
예: GenerateDataKey
이 예제에서는 Image Builder가 Image Builder AWS KMS GenerateDataKey API 작업에서 API 작업을 호출할 때 CloudTrail 이벤트가 어떻게 표시되는지 보여줍니다. CreateWorkflow Image Builder는 워크플로 리소스를 생성하기 전에 새 워크플로를 암호화해야 합니다.
{ "eventVersion": "1.08", "userIdentity": { "type": "AssumedRole", "principalId": "PRINCIPALID1234567890:workflow-role-name", "arn": "arn:aws:sts::111122223333:assumed-role/Admin/workflow-role-name", "accountId": "111122223333", "accessKeyId": "AKIAIOSFODNN7EXAMPLE", "sessionContext": { "sessionIssuer": { "type": "Role", "principalId": "PRINCIPALID1234567890", "arn": "arn:aws:iam::111122223333:role/Admin", "accountId": "111122223333", "userName": "Admin" }, "webIdFederationData": {}, "attributes": { "creationDate": "2023-11-21T20:29:31Z", "mfaAuthenticated": "false" } }, "invokedBy": "imagebuilder.amazonaws.com" }, "eventTime": "2023-11-21T20:31:03Z", "eventSource": "kms.amazonaws.com", "eventName": "GenerateDataKey", "awsRegion": "us-west-2", "sourceIPAddress": "imagebuilder.amazonaws.com", "userAgent": "imagebuilder.amazonaws.com", "requestParameters": { "encryptionContext": { "aws:imagebuilder:arn": "arn:aws:imagebuilder:us-west-2:111122223333:workflow/build/sample-encrypted-workflow/1.0.0/*", "aws-crypto-public-key": "key value" }, "keyId": "arn:aws:kms:us-west-2:111122223333:alias/ExampleKMSKey", "numberOfBytes": 32 }, "responseElements": null, "requestID": "a1b2c3d4-5678-90ab-cdef-EXAMPLEaaaaa", "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111", "readOnly": true, "resources": [ { "accountId": "111122223333", "type": "AWS::KMS::Key", "ARN": "arn:aws:kms:us-west-2:111122223333:key/a1b2c3d4-5678-90ab-cdef-EXAMPLEzzzzz" } ], "eventType": "AwsApiCall", "managementEvent": true, "recipientAccountId": "111122223333", "eventCategory": "Management" }
예: Decrypt
이 예제에서는 Image Builder가 Image Builder AWS KMS Decrypt API 작업에서 API 작업을 호출할 때 CloudTrail 이벤트가 어떻게 표시되는지 보여줍니다. GetWorkflow Image Builder 파이프라인은 워크플로 리소스를 사용하기 전에 먼저 복호화해야 합니다.
{ "eventVersion": "1.08", "userIdentity": { "type": "AssumedRole", "principalId": "PRINCIPALID1234567890:workflow-role-name", "arn": "arn:aws:sts::111122223333:assumed-role/Admin/workflow-role-name", "accountId": "111122223333", "accessKeyId": "AKIAIOSFODNN7EXAMPLE", "sessionContext": { "sessionIssuer": { "type": "Role", "principalId": "PRINCIPALID1234567890", "arn": "arn:aws:iam::111122223333:role/Admin", "accountId": "111122223333", "userName": "Admin" }, "webIdFederationData": {}, "attributes": { "creationDate": "2023-11-21T20:29:31Z", "mfaAuthenticated": "false" } }, "invokedBy": "imagebuilder.amazonaws.com" }, "eventTime": "2023-11-21T20:34:25Z", "eventSource": "kms.amazonaws.com", "eventName": "Decrypt", "awsRegion": "us-west-2", "sourceIPAddress": "imagebuilder.amazonaws.com", "userAgent": "imagebuilder.amazonaws.com", "requestParameters": { "keyId": "arn:aws:kms:us-west-2:111122223333:key/a1b2c3d4-5678-90ab-cdef-EXAMPLEzzzzz", "encryptionAlgorithm": "SYMMETRIC_DEFAULT", "encryptionContext": { "aws:imagebuilder:arn": "arn:aws:imagebuilder:us-west-2:111122223333:workflow/build/sample-encrypted-workflow/1.0.0/*", "aws-crypto-public-key": "ABC123def4567890abc12345678/90dE/F123abcDEF+4567890abc123D+ef1==" } }, "responseElements": null, "requestID": "a1b2c3d4-5678-90ab-cdef-EXAMPLEbbbbb", "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE22222", "readOnly": true, "resources": [ { "accountId": "111122223333", "type": "AWS::KMS::Key", "ARN": "arn:aws:kms:us-west-2:111122223333:key/a1b2c3d4-5678-90ab-cdef-EXAMPLEzzzzz" } ], "eventType": "AwsApiCall", "managementEvent": true, "recipientAccountId": "111122223333", "eventCategory": "Management" }
EC2 Image Builder의 데이터 스토리지
Image Builder는 서비스에 어떤 로그도 저장하지 않습니다. 모든 로그는 이미지를 빌드하는 데 사용되는 Amazon EC2 인스턴스 또는 Systems Manager 자동화 로그에 저장됩니다.
EC2 Image Builder의 인터네트워크 트래픽 프라이버시
Image Builder와 온프레미스 위치 간, 지역 내 AZ 간, HTTPS를 통해 AWS AWS 지역 간 연결이 보호됩니다. 계정 간에는 직접 연결이 없습니다.
