비대칭 KMS 키 생성 - AWS Key Management Service

비대칭 KMS 키 생성

AWS KMS 콘솔에서 CreateKey API를 사용하거나 AWS CloudFormation 템플릿을 사용하여 비대칭 KMS 키를 생성할 수 있습니다. 비대칭 KMS 키는 암호화 또는 서명에 사용할 수 있는 퍼블릭 및 프라이빗 키 페어를 나타냅니다. 프라이빗 키는 AWS KMS 내에 남아 있습니다. AWS KMS 외부에서 사용하기 위해 퍼블릭 키를 다운로드하려면 퍼블릭 키 다운로드 단원을 참조하세요.

AWS 서비스에 저장하거나 관리하는 데이터를 암호화하기 위해 KMS 키를 생성하는 경우에는 대칭 암호화 KMS 키를 사용합니다. AWS KMS와 통합되는 AWS 서비스는 비대칭 KMS 키를 지원하지 않습니다. 대칭 또는 비대칭 KMS 키 중 어느 유형을 생성할지에 결정하는 방법은 KMS KMS 키 유형 선택 단원을 참조하세요.

KMS 키를 생성하는 데 필요한 권한에 대한 자세한 내용은 KMS 키를 생성하기 위한 사용 권한 단원을 참조하세요.

비대칭 KMS 키 만들기(콘솔)

AWS Management Console을 사용하여 비대칭 AWS KMS keys(KMS 키)를 만들 수 있습니다. 각 비대칭 KMS 키는 퍼블릭 및 프라이빗 키 페어를 나타냅니다.

  1. AWS Management Console에 로그인하고 https://console.aws.amazon.com/kms에서 AWS Key Management Service(AWS KMS) 콘솔을 엽니다.

  2. AWS 리전을 변경하려면 페이지의 오른쪽 상단 모서리에 있는 리전 선택기를 사용합니다.

  3. 탐색 창에서 고객 관리형 키(Customer managed keys)를 선택합니다.

  4. 키 생성(Create key)을 선택합니다.

  5. 비대칭 KMS 키를 생성하려면 키 유형(Key type)에서 비대칭(Asymmetric)을 선택합니다.

    AWS KMS 콘솔에서 대칭 암호화 KMS 키를 생성하는 방법에 대한 자세한 내용은 대칭 암호화 KMS 키 생성(콘솔) 단원을 참조하세요.

  6. 퍼블릭 키 암호화를 위한 비대칭 KMS 키를 생성하면 키 사용(Key usage)에서 암호화 및 복호화(Encrypt and decrypt)를 선택합니다. 또는 메시지 서명 및 서명 확인을 위한 비대칭 KMS 키를 생성하려면 키 사용(Key usage)에서 서명 및 확인(Sign and verify)을 선택합니다.

    키 사용 값 선택에 대한 도움말은 키 사용 선택 단원을 참조하세요.

  7. 비대칭 KMS 키에 대한 사양(키 사양(Key spec))을 선택합니다.

    선택하는 키 사양은 규정, 보안 또는 비즈니스 요구 사항에 따라 결정됩니다. 또한 암호화하거나 서명해야 하는 메시지의 크기에 영향을 받을 수 있습니다. 일반적으로 암호화 키가 길수록 무차별 대입 공격에 더 강합니다.

    키 사양 선택에 대한 도움말은 키 사양 선택 단원을 참조하세요.

  8. 다음을 선택합니다.

  9. KMS 키에 대한 별칭을 입력합니다. 별칭은 aws/로 시작할 수 없습니다. aws/ 접두사는 Amazon Web Services에서 계정에서 AWS 관리형 키를 나타내기 위해 예약한 것입니다.

    별칭은 콘솔 및 일부 AWS KMS API에서 KMS 키를 식별하는 데 사용할 수 있는 알아보기 쉬운 다른 이름입니다. 보호하고자 하는 데이터의 유형 또는 KMS 키와 함께 사용할 애플리케이션을 나타내는 별칭을 선택하는 것이 좋습니다.

    AWS Management Console에서 KMS 키를 생성할 때 별칭이 필요합니다. CreateKey 작업을 사용할 때는 별칭을 지정할 수 없지만 콘솔이나 CreateAlias 작업을 사용하여 기존 KMS 키의 별칭을 생성합니다. 자세한 내용은 별칭 사용 단원을 참조하세요.

  10. (선택 사항) KMS 키에 대한 설명을 입력합니다.

    보호하려는 데이터의 유형 또는 KMS 키와 함께 사용하려는 애플리케이션을 설명하는 내용을 입력합니다.

    키 상태Pending Deletion 또는 Pending Replica Deletion이 아닌 한 지금 설명을 추가하거나 언제든지 설명을 업데이트할 수 있습니다. 기존 고객 관리 키의 설명을 추가, 변경 또는 삭제하려면 AWS Management Console에서 설명을 편집하거나 UpdateKeyDescription 작업을 사용합니다.

  11. (선택 사항) 태그 키와 태그 값(선택)을 입력합니다. KMS 키에 두 개 이상의 태그를 추가하려면 태그 추가(Add tag)를 선택합니다.

    AWS 리소스에 태그를 추가하면 AWS에서 사용 내역 및 비용을 태그별로 집계한 비용 할당 보고서를 생성합니다. KMS 키에 대한 액세스를 제어하는 데에도 태그를 사용할 수 있습니다. KMS 키 태그 지정에 대한 자세한 내용은 키 태그 지정AWS KMS의 ABAC 단원을 참조하세요.

  12. 다음을 선택합니다.

  13. KMS 키를 관리할 수 있는 IAM 사용자 및 역할을 선택합니다.

    참고

    이 키 정책은 AWS 계정에 이 KMS 키에 대한 완전한 제어 권한을 부여합니다. 계정 관리자가 IAM 정책을 사용하여 KMS 키를 관리할 수 있는 권한을 다른 보안 주체에게 부여하도록 허용합니다. 자세한 내용은 기본 키 정책 단원을 참조하세요.

  14. (선택 사항) 선택한 IAM 사용자와 역할이 페이지 하단의 키 삭제 섹션에서 이 KMS 키를 삭제하지 못하도록 하려면 키 관리자가 이 키를 삭제하도록 허용(Allow key administrators to delete this key) 확인란의 선택을 취소합니다.

  15. 다음을 선택합니다.

  16. 암호화 작업에서 KMS 키를 사용할 수 있는 IAM 사용자 및 역할을 선택합니다.

    참고

    이 키 정책은 AWS 계정에 이 KMS 키에 대한 완전한 제어 권한을 부여합니다. 계정 관리자가 IAM 정책을 사용하여 암호화 작업에 KMS 키를 사용할 수 있는 권한을 다른 보안 주체에게 부여하도록 허용합니다. 자세한 내용은 기본 키 정책 단원을 참조하세요.

  17. (선택 사항) 다른 AWS 계정이 암호화 작업에서 이 KMS 키를 사용하도록 허용할 수 있습니다. 이렇게 하려면 페이지 하단의 기타(Other)AWS 계정 섹션에서 다른 AWS 계정 추가(Add another)를 선택하고 외부 계정의 AWS 계정 식별 번호를 입력합니다. 외부 계정을 여러 개 추가하려면 이 단계를 반복합니다.

    참고

    외부 계정의 보안 주체가 KMS 키를 사용하도록 허용하려면 외부 계정 관리자가 이러한 권한을 제공하는 IAM 정책을 생성해야 합니다. 자세한 정보는 다른 계정의 사용자가 CMK를 사용하도록 허용 단원을 참조하세요.

  18. 다음을 선택합니다.

  19. 선택한 키 설정을 검토합니다. 여전히 돌아가서 모든 설정을 변경할 수 있습니다.

  20. 마침(Finish)을 선택하여 KMS 키를 생성합니다.

비대칭 KMS 키 만들기(AWS KMS API)

CreateKey 작업을 사용하여 비대칭 AWS KMS key를 생성할 수 있습니다. 이 예제들은 AWS Command Line Interface(AWS CLI)를 사용하지만, 사용자는 어떤 지원되는 프로그래밍 언어라도 사용할 수 있습니다.

비대칭 KMS 키를 생성할 때 KeySpec 파라미터를 지정해야 합니다. 이 파라미터는 생성할 키의 유형을 결정합니다. 또한 KeyUsage 값 ENCRYPT_DECRYPT 또는 SIGN_VERIFY를 지정해야 합니다. KMS 키가 생성된 후에는 이러한 속성을 변경할 수 없습니다.

CreateKey 작업을 사용하면 별칭을 지정할 수 없지만 CreateAlias 작업을 사용하여 새 KMS 키의 별칭을 만들 수 있습니다.

다음 예제에서는 CreateKey 작업을 사용하여 퍼블릭 키 암호화를 위해 설계된 4096비트 RSA 키의 비대칭 KMS 키를 생성합니다.

$ aws kms create-key --key-spec RSA_4096 --key-usage ENCRYPT_DECRYPT { "KeyMetadata": { "KeyState": "Enabled", "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab", "KeyManager": "CUSTOMER", "Description": "", "Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab", "CreationDate": 1569973196.214, "MultiRegion": false, "KeySpec": "RSA_4096", "CustomerMasterKeySpec": "RSA_4096", "KeyUsage": "ENCRYPT_DECRYPT", "EncryptionAlgorithms": [ "RSAES_OAEP_SHA_1", "RSAES_OAEP_SHA_256" ], "AWSAccountId": "111122223333", "Origin": "AWS_KMS", "Enabled": true } }

다음 예제 명령은 서명 및 확인에 사용되는 ECDSA 키 페어를 나타내는 비대칭 KMS 키를 생성합니다. 암호화 및 암호 해독을 위한 타원 곡선 키 페어는 생성할 수 없습니다.

$ aws kms create-key --key-spec ECC_NIST_P521 --key-usage SIGN_VERIFY { "KeyMetadata": { "KeyState": "Enabled", "KeyId": "0987dcba-09fe-87dc-65ba-ab0987654321", "CreationDate": 1570824817.837, "Origin": "AWS_KMS", "SigningAlgorithms": [ "ECDSA_SHA_512" ], "Arn": "arn:aws:kms:us-west-2:111122223333:key/0987dcba-09fe-87dc-65ba-ab0987654321", "AWSAccountId": "111122223333", "KeySpec": "ECC_NIST_P521", "CustomerMasterKeySpec": "ECC_NIST_P521", "KeyManager": "CUSTOMER", "Description": "", "Enabled": true, "MultiRegion": false, "KeyUsage": "SIGN_VERIFY" } }