AWS CloudHSM 키 저장소 연결

새로운 AWS CloudHSM 키 스토어는 연결되지 않습니다. AWS CloudHSM 키 스토어에 AWS KMS keys를 생성하고 사용할 수 있으려면 먼저 연결된 AWS CloudHSM 클러스터에 이를 연결해야 합니다. AWS CloudHSM 키 스토어를 언제든지 연결 및 연결 해제하고 해당 연결 상태를 볼 수 있습니다.

AWS CloudHSM 키 스토어를 연결할 필요는 없습니다. AWS CloudHSM 키 스토어를 연결 해제 상태로 무기한 남겨두고 사용 시에만 이를 연결할 수 있습니다. 하지만 설정이 올바른지, 연결이 가능한지 확인하기 위해 정기적으로 연결을 테스트하고 싶을 수 있습니다.

참고

AWS CloudHSM 키 스토어는 키 스토어가 연결되지 않았거나 사용자가 연결을 직접 해제한 경우에만 DISCONNECTED 상태가 됩니다. AWS CloudHSM 키 스토어 연결 상태가 CONNECTED인데 사용에 문제가 있을 경우 연결된 AWS CloudHSM 클러스터가 작동 중이며 최소 한 개의 활성 HSM을 포함하고 있는지 확인하세요. 연결 실패에 대한 도움말은 사용자 지정 키 스토어 문제 해결 단원을 참조하십시오.

AWS CloudHSM 키 스토어를 연결하면 AWS CloudHSM가 연결된 AWS KMS 클러스터를 찾아서 연결하고, AWS CloudHSM 클라이언트에 kmsuser CU(Crypto User)로 로그인한 다음, kmsuser 암호를 교체합니다. AWS KMS는 AWS CloudHSM 키 스토어가 연결되어 있는 한 AWS CloudHSM 클라이언트에 로그인한 상태로 유지됩니다.

연결을 설정하려면 AWS KMS는 클러스터의 Virtual Private Cloud(VPC)에 kms-<custom key store ID>라는 보안 그룹을 생성합니다. 보안 그룹은 클라우드 보안 그룹에서 인바운드 트래픽을 허용하는 단일 규칙을 가지고 있습니다. 또한 AWS KMS는 클러스터의 프라이빗 서브넷의 각 가용 영역에서 탄력적 네트워크 인터페이스(ENI)를 생성합니다. AWS KMS는 kms-<cluster ID> 보안 그룹 및 클러스터의 보안 그룹에 ENI를 추가합니다. 각 ENI에 대한 설명은 KMS managed ENI for cluster <cluster-ID>입니다.

연결 프로세스를 완료하는 데 최대 20분이 걸릴 수 있습니다.

AWS CloudHSM 키 스토어를 연결하기 전에 요구 사항을 충족하는지 확인합니다.

연결 AWS CloudHSM 클러스터에는 최소 하나의 활성 HSM이 포함되어 있어야 합니다. 클러스터에서 HSM의 수를 찾으려면 AWS CloudHSM 콘솔에서 클러스터를 보거나 DescribeClusters 작업을 사용합니다. 필요한 경우 HSM을 추가할 수 있습니다.
클러스터에는 kmsuser CU(Crypto User) 계정이 있어야 하지만 AWS CloudHSM 키 스토어를 연결할 때 해당 CU가 클러스터에 로그인할 수 없습니다. 로그아웃에 대한 도움말은 로그아웃 및 재연결 방법 단원을 참조하십시오.
AWS CloudHSM 키 스토어의 연결 상태는 DISCONNECTING 또는 FAILED일 수 없습니다. 연결 상태를 보려면 AWS KMS 콘솔 또는 DescribeCustomKeyStores 응답을 사용합니다. 연결 상태가 FAILED면 사용자 지정 키 스토어를 연결 해제하고 문제를 수정한 다음 다시 연결합니다.

연결 실패에 대한 도움말은 연결 오류를 수정하는 방법 단원을 참조하십시오.

AWS CloudHSM 키 스토어가 연결되면 여기에 KMS 키를 생성하고 암호화 작업에서 기존 KMS 키를 사용할 수 있습니다.

AWS CloudHSM 키 저장소에 연결 및 다시 연결

AWS KMS 콘솔에서 또는 ConnectCustomKeyStore 작업을 사용하여 AWS CloudHSM 키 저장소를 연결하거나 다시 연결할 수 있습니다.

AWS Management Console에서 AWS CloudHSM 키 스토어를 연결하려면 Custom key stores(사용자 지정 키 스토어) 페이지에서 AWS CloudHSM 키 스토어를 선택하는 것부터 시작합니다. 연결 프로세스가 완료되는 데 최대 20분이 걸릴 수 있습니다.

AWS Management Console에 로그인하고 https://console.aws.amazon.com/kms에서 AWS Key Management Service(AWS KMS) 콘솔을 엽니다.
AWS 리전을 변경하려면 페이지의 오른쪽 상단 모서리에 있는 리전 선택기를 사용합니다.
탐색 창에서 Custom key stores(사용자 지정 키 스토어), AWS CloudHSM key stores를 선택합니다.
연결하려는 AWS CloudHSM 키 스토어의 행을 선택합니다.

AWS CloudHSM 키 스토어의 연결 상태가 실패면 연결에 앞서 사용자 지정 키 스토어를 연결 해제해야 합니다.
Key store actions(키 스토어 작업) 메뉴에서 Connect(연결)를 선택합니다.

AWS KMS는 사용자 지정 키 스토어를 연결하는 프로세스를 시작합니다. 또한 연결 AWS CloudHSM 클러스터를 찾고, 필요한 네트워크 인프라를 구축하여 연결하고, kmsuser CU로 AWS CloudHSM 클러스터에 로그인하고, kmsuser 암호를 교체합니다. 이 작업이 완료되면 연결 상태가 연결됨으로 변경됩니다.

작업이 실패하면 실패 원인을 설명하는 오류 메시지가 나타납니다. 다시 연결을 시도하기에 앞서 AWS CloudHSM 키 스토어의 연결 상태를 봅니다. 연결 상태가 실패이면 다시 연결을 하기 앞서 사용자 지정 키 스토어의 연결을 해제해야 합니다. 도움이 필요한 경우 사용자 지정 키 스토어 문제 해결 단원을 참조하십시오.

다음: AWS CloudHSM 키 저장소에서 KMS 키 생성.

연결 해제된 AWS CloudHSM 키 스토어를 연결하려면 ConnectCustomKeyStore 작업을 사용합니다. 연결된 AWS CloudHSM 클러스터에 최소 하나의 활성 HSM이 포함되어 있어야 하고, 연결 상태는 FAILED가 될 수 없습니다.

연결 프로세스를 완료하는 데 최대 20분이 걸릴 수 있습니다. 빨리 실패하지 않는 한, 작업은 속성 없이 HTTP 200 응답 및 JSON 객체를 반환합니다. 하지만 이러한 초기 응답은 연결이 성공했음을 의미하지는 않습니다. 사용자 지정 키 스토어의 연결 상태를 확인하려면 DescribeCustomKeyStores 응답을 봅니다.

이 섹션의 예제는 AWS Command Line Interface(AWS CLI)를 사용하지만, 지원되는 모든 프로그래밍 언어를 사용할 수 있습니다.

AWS CloudHSM 키 스토어를 식별하려면 사용자 지정 키 스토어 ID를 사용합니다. 콘솔의 Custom key stores(사용자 지정 키 스토어) 페이지에서, 또는 파라미터 없이 DescribeCustomKeyStores 작업을 사용하여 ID를 찾을 수 있습니다. 이 예제를 실행하기 앞서 예제 ID를 유효한 ID로 바꿉니다.


$ aws kms connect-custom-key-store --custom-key-store-id cks-1234567890abcdef0

AWS CloudHSM 키 스토어가 연결되어 있는지 확인하려면 DescribeCustomKeyStores 작업을 사용합니다. 기본적으로 이 작업은 계정 및 리전에서 모든 사용자 지정 키 스토어를 반환합니다. 그러나 CustomKeyStoreId 또는 CustomKeyStoreName 파라미터(둘 중 하나만)를 사용해서 특정한 사용자 지정 키 스토어로 응답을 제한할 수 있습니다. ConnectionState 값이 CONNECTED라는 것은 AWS CloudHSM 클러스터에 사용자 지정 키 스토어가 연결되어 있다는 것을 의미합니다.

참고

AWS CloudHSM 키 스토어를 외부 키 스토어와 구별하기 위해 CustomKeyStoreType 필드가 DescribeCustomKeyStores 응답에 추가되었습니다.


$ aws kms describe-custom-key-stores --custom-key-store-id cks-1234567890abcdef0
{
   "CustomKeyStores": [
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleCloudHSMKeyStore",
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "CustomKeyStoreType": "AWS_CLOUDHSM",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "CONNECTED"
   ],
}

ConnectionState 값이 실패인 경우, ConnectionErrorCode 요소는 실패 원인을 나타냅니다. 이 경우 AWS KMS는 클러스터 ID가 cluster-1a23b4cdefg인 계정에서 AWS CloudHSM 클러스터를 찾을 수 없었습니다. 클러스터를 삭제한 경우에는 원래 클러스터의 백업에서 이를 복원한 다음, 사용자 지정 키 스토어의 클러스터 ID를 편집할 수 있습니다. 연결 오류 코드에 대응하는 방법에 대한 도움말은 연결 오류를 수정하는 방법 섹션을 참조하세요.


$ aws kms describe-custom-key-stores --custom-key-store-id cks-1234567890abcdef0
{
   "CustomKeyStores": [
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "CustomKeyStoreType": "AWS_CLOUDHSM",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
      "ConnectionErrorCode": "CLUSTER_NOT_FOUND"
   ],
}

javascript가 브라우저에서 비활성화되거나 사용이 불가합니다.

AWS 설명서를 사용하려면 Javascript가 활성화되어야 합니다. 지침을 보려면 브라우저의 도움말 페이지를 참조하십시오.

문서 규칙

AWS CloudHSM 키 저장소 설정 편집

AWS CloudHSM 키 저장소 연결 해제