기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
외부 키 스토어 생성
각 AWS 계정 및 리전에 하나 이상의 외부 키 스토어를 생성할 수 있습니다. 각 외부 키 스토어는 AWS 외부의 외부 키 관리자 및 AWS KMS와 외부 키 관리자 간의 통신을 조정하는 외부 키 스토어 프록시(XKS 프록시)와 연결되어야 합니다. 자세한 내용은 외부 키 스토어 계획 단원을 참조하세요. 시작하기 전에 외부 키 스토어가 필요한지 확인합니다. 대부분의 고객은 AWS KMS 키 구성 요소에서 지원하는 KMS 키를 사용할 수 있습니다.
작은 정보
일부 외부 키 관리자는 외부 키 스토어를 생성하는 더 간단한 방법을 제공합니다. 자세한 내용은 외부 키 관리자 설명서를 참조하세요.
외부 키 스토어를 생성하기 전에 사전 조건을 수집해야 합니다. 생성 프로세스 중 외부 키 스토어의 속성을 지정합니다. 무엇보다 AWS KMS의 외부 키 스토어가 외부 키 스토어 프록시에 연결하는 데 퍼블릭 엔드포인트를 사용하는지 아니면 VPC 엔드포인트 서비스를 사용하는지 지정합니다. 또한 프록시의 URI 엔드포인트와 AWS KMS가 프록시로 API 요청을 전송하는 프록시 엔드포인트 내의 경로를 포함한 연결 세부 정보를 지정합니다.
-
퍼블릭 엔드포인트 연결을 사용하는 경우 AWS KMS가 HTTPS 연결을 사용하여 인터넷을 통해 프록시와 통신할 수 있는지 확인합니다. 여기에는 외부 키 스토어 프록시에서 TLS를 구성하고 AWS KMS와 프록시 간의 방화벽이 프록시의 포트 443에서 들어오고 나가는 트래픽을 허용하는지 확인하는 작업이 포함됩니다. 퍼블릭 엔드포인트 연결이 있는 외부 키 스토어를 생성하는 동안 AWS KMS는 외부 키 스토어 프록시로 상태 요청을 전송하여 연결을 테스트합니다. 이 테스트는 엔드포인트에 연결할 수 있고 외부 키 스토어 프록시가 외부 키 스토어 프록시 인증 자격 증명으로 서명된 요청을 수락하는지 확인합니다. 이 테스트 요청이 실패하면 외부 키 스토어를 생성하는 작업이 실패합니다.
-
VPC 엔드포인트 서비스 연결을 사용하는 경우 Network Load Balancer, 프라이빗 DNS 이름 및 VPC 엔드포인트 서비스가 올바르게 구성되고 작동하는지 확인합니다. 외부 키 스토어 프록시가 VPC에 없는 경우 VPC 엔드포인트 서비스가 외부 키 스토어 프록시와 통신할 수 있는지 확인해야 합니다. (AWS KMS는 외부 키 스토어 프록시에 외부 키 스토어를 연결할 때 VPC 엔드포인트 서비스 연결을 테스트합니다.)
추가 고려 사항:
-
AWS KMS특히 외부 키 스토어의 경우 Amazon CloudWatch 지표 및 차원을 기록합니다. 이러한 지표 중 일부를 기반으로 하는 모니터링 그래프는 각 외부 키 스토어의 AWS KMS 콘솔에 나타납니다. 이러한 지표를 사용하여 외부 키 스토어를 모니터링하는 경보를 생성하는 것이 좋습니다. 이러한 경보는 성능 및 작동 문제가 발생하기 전에 조기 징후를 알립니다. 지침은 외부 키 스토어 모니터링 섹션을 잠조하세요.
-
외부 키 스토어에는 리소스 할당량이 적용됩니다. 외부 키 스토어에서 KMS 키를 사용할 경우 요청 할당량이 적용됩니다. 외부 키 스토어 구현을 설계하기 전에 이러한 할당량을 검토합니다.
참고
작동을 방해할 수 있는 순환 종속성이 있는지 구성을 검토하세요.
예를 들어 AWS 리소스를 사용하여 외부 키 스토어 프록시를 생성하는 경우 프록시를 작동하는 데 해당 프록시를 통해 액세스하는 외부 키 스토어의 KMS 키가 있어야 하는 것은 아닌지 확인하세요.
모든 새 외부 키 스토어는 연결 해제된 상태로 생성됩니다. 외부 키 스토어에서 KMS 키를 생성하려면 먼저 외부 키 스토어 프록시에 연결해야 합니다. 외부 키 스토어의 속성을 변경하려면 외부 키 스토어 설정을 편집합니다.
사전 조건 수집
외부 키 스토어를 생성하기 전에 외부 키 스토어를 지원하는 데 사용할 외부 키 관리자와 AWS KMS 요청을 외부 키 관리자가 이해할 수 있는 형식으로 변환하는 외부 키 스토어 프록시를 비롯하여 필요한 구성 요소를 조합해야 합니다.
모든 외부 키 스토어에는 다음 구성 요소가 필요합니다. 이러한 구성 요소 외에도 선택한 외부 키 스토어 프록시 연결 옵션을 지원하는 구성 요소를 제공해야 합니다.
작은 정보
외부 키 관리자에 이러한 구성 요소 중 일부가 포함되어 있거나 사용자에게 맞게 구성될 수 있습니다. 자세한 내용은 외부 키 관리자 설명서를 참조하세요.
AWS KMS 콘솔에서 외부 키 스토어를 생성하는 경우 프록시 URI 경로와 프록시 인증 자격 증명을 지정하는 JSON 기반 프록시 구성 파일을 업로드할 수 있습니다. 일부 외부 키 스토어 프록시는 이 파일을 자동으로 생성합니다. 자세한 내용은 외부 키 스토어 프록시 또는 외부 키 관리자의 설명서를 참조하세요.
외부 키 관리자
외부 키 스토어마다 하나 이상의 외부 키 관리자 인스턴스가 필요합니다. 이는 물리적 또는 가상 하드웨어 보안 모듈(HSM)이나 키 관리 소프트웨어일 수 있습니다.
단일 키 관리자를 사용할 수 있지만 중복성을 위해 암호화 키를 공유하는 관련 키 관리자 인스턴스를 두 개 이상 사용하는 것이 좋습니다. 외부 키 스토어에는 외부 키 관리자의 독점 사용이 필요 없습니다. 그러나 리소스 보호를 위해 외부 키 스토어에서 KMS 키를 사용하는 AWS 서비스의 예상 암호화 및 암호 복호화 요청 빈도를 처리할 수 있는 용량이 외부 키 관리자에 있어야 합니다. 외부 키 관리자는 초당 최대 1,800개의 요청을 처리하고 각 요청에 대해 250밀리초 제한 시간 내에 응답하도록 구성되어야 합니다. 네트워크 왕복 시간(RTT)이 35밀리초 이하가 되도록 AWS 리전 가까이에 외부 키 관리자를 배치하는 것이 좋습니다.
외부 키 스토어 프록시에서 허용하는 경우 외부 키 스토어 프록시와 연결하는 외부 키 관리자를 변경할 수 있지만 새 외부 키 관리자는 동일한 키 구성 요소를 사용하는 백업 또는 스냅샷이어야 합니다. KMS 키와 연결된 외부 키를 외부 키 스토어 프록시에서 더 이상 사용할 수 없는 경우 AWS KMS는 KMS 키로 암호화된 사이퍼텍스트를 복호화할 수 없습니다.
외부 키 관리자가 외부 키 스토어 프록시에 액세스할 수 있어야 합니다. 프록시의 GetHealthStatus응답이 모든 외부 키 관리자 인스턴스가 Unavailable
그렇다고 보고하면 외부 키 스토어를 생성하려는 모든 시도가 실패하고 a가 발생합니다 XksProxyUriUnreachableException.
외부 키 스토어 프록시
AWS KMS 외부 키 스토어 프록시 API 사양
둘 이상의 외부 키 스토어에 대해 외부 키 스토어 프록시를 사용할 수 있지만, 각 외부 키 스토어에는 요청에 대한 외부 키 스토어 프록시 내에 고유한 URI 엔드포인트 및 경로가 있어야 합니다.
VPC 엔드포인트 서비스 연결을 사용하는 경우 Amazon VPC에서 외부 키 스토어 프록시를 찾을 수 있지만 이것이 필수는 아닙니다. 프라이빗 데이터 센터와 같이 AWS 외부에서 프록시를 찾을 수 있으며 VPC 엔드포인트 서비스는 프록시와 통신하는 데만 사용할 수 있습니다.
프록시 인증 자격 증명
외부 키 스토어를 생성하려면 외부 키 스토어 프록시 인증 자격 증명(XksProxyAuthenticationCredential
)을 지정해야 합니다.
외부 키 스토어 프록시에서 AWS KMS에 대한 인증 자격 증명(XksProxyAuthenticationCredential
)을 설정해야 합니다. AWS KMS는 외부 키 스토어 프록시 인증 자격 증명과 함께 Signature Version 4(SigV4) 프로세스로 요청에 서명하여 프록시에 인증합니다. 외부 키 스토어를 생성할 때 인증 자격 증명을 지정하며 언제든지 이를 변경할 수 있습니다. 프록시가 자격 증명을 교체하는 경우 외부 키 스토어의 자격 증명 값을 업데이트해야 합니다.
프록시 인증 자격 증명은 두 부분으로 구성됩니다. 외부 키 스토어에 대해 두 부분을 모두 제공해야 합니다.
-
액세스 키 ID: 비밀 액세스 키를 식별합니다. 이 ID를 일반 텍스트로 제공할 수 있습니다.
-
비밀 액세스 키: 자격 증명의 비밀 부분입니다. AWS KMS는 자격 증명의 비밀 액세스 키를 저장하기 전에 암호화합니다.
AWS KMS가 외부 키 스토어 프록시에 대한 요청에 서명하는 데 사용하는 SigV4 자격 증명은 AWS 계정의 AWS Identity and Access Management 보안 주체와 연결된 SigV4 자격 증명과 무관합니다. 외부 키 스토어 프록시에 IAM SigV4 자격 증명을 재사용하지 마세요.
프록시 연결
외부 키 스토어를 생성하려면 외부 키 스토어 프록시 연결 옵션(XksProxyConnectivity
)을 지정해야 합니다.
AWS KMS는 퍼블릭 엔드포인트 또는 Amazon Virtual Private Cloud(Amazon VPC) 엔드포인트 서비스를 사용하여 외부 키 스토어 프록시와 통신할 수 있습니다. 퍼블릭 엔드포인트는 구성 및 유지 관리가 더 간단하지만 모든 설치에 대한 보안 요구 사항을 충족하지 못할 수 있습니다. Amazon VPC 엔드포인트 서비스 연결 옵션을 선택하는 경우 서로 다른 두 가용 영역에 두 개 이상의 서브넷이 있는 Amazon VPC, Network Load Balancer와 대상 그룹이 있는 VPC 엔드포인트 서비스, VPC 엔드포인트 서비스의 프라이빗 DNS 이름을 비롯하여 필요한 구성 요소를 생성하고 유지 관리해야 합니다.
외부 키 스토어에 대한 프록시 연결 옵션을 변경할 수 있습니다. 그러나 외부 키 스토어에서 KMS 키와 연결된 키 구성 요소를 계속 사용할 수 있는지 확인해야 합니다. 그렇지 않으면 AWS KMS가 해당 KMS 키로 암호화된 사이퍼텍스트를 복호화할 수 없습니다.
외부 키 스토어에 가장 적합한 프록시 연결 옵션을 결정하는 방법에 대한 도움말은 프록시 연결 옵션 선택 섹션을 참조하세요. VPC 엔드포인트 서비스 연결을 생성하고 구성하는 방법에 대한 도움말은 VPC 엔드포인트 서비스 연결 구성 섹션을 참조하세요.
프록시 URI 엔드포인트
외부 키 스토어를 생성하려면 AWS KMS가 외부 키 스토어 프록시에 요청을 보내는 데 사용하는 엔드포인트(XksProxyUriEndpoint
)를 지정해야 합니다.
프로토콜은 HTTPS여야 합니다. AWS KMS는 포트 443에서 통신합니다. 프록시 URI 엔드포인트 값에 포트를 지정하지 마세요.
-
퍼블릭 엔드포인트 연결 - 외부 키 스토어 프록시에 대해 공개적으로 사용 가능한 엔드포인트를 지정합니다. 외부 키 스토어를 생성하기 전에 이 엔드포인트에 연결할 수 있어야 합니다.
-
VPC 엔드포인트 서비스 연결 -
https://
뒤에 VPC 엔드포인트 서비스의 프라이빗 DNS 이름을 지정합니다.
외부 키 스토어 프록시에 구성된 TLS 서버 인증서는 외부 키 스토어 프록시 URI 엔드포인트의 도메인 이름과 일치해야 하며 외부 키 스토어에 대해 지원되는 인증 기관에서 발급해야 합니다. 목록은 신뢰할 수 있는 인증 기관
TLS 인증서의 주체 일반 이름(CN)은 프라이빗 DNS 이름과 일치해야 합니다. 예를 들어 프라이빗 DNS 이름이 myproxy-private.xks.example.com
인 경우 TLS 인증서의 CN은 myproxy-private.xks.example.com
또는 *.xks.example.com
이어야 합니다.
프록시 URI 엔드포인트를 변경할 수 있지만, 외부 키 스토어 프록시가 외부 키 스토어의 KMS 키와 연결된 키 구성 요소에 액세스할 수 있는지 확인합니다. 그렇지 않으면 AWS KMS가 해당 KMS 키로 암호화된 사이퍼텍스트를 복호화할 수 없습니다.
고유성 요구 사항
-
결합된 프록시 URI 엔드포인트(
XksProxyUriEndpoint
) 및 프록시 URI 경로(XksProxyUriPath
) 값은 AWS 계정과 리전에서 고유해야 합니다. -
퍼블릭 엔드포인트 연결이 있는 외부 키 스토어는 프록시 URI 경로 값이 다른 경우 동일한 프록시 URI 엔드포인트를 공유할 수 있습니다.
-
퍼블릭 엔드포인트 연결이 있는 외부 키 스토어는 키 스토어가 다른 AWS 계정에 있더라도 동일한 AWS 리전에서 VPC 엔드포인트 서비스 연결이 있는 외부 키 스토어와 동일한 프록시 URI 엔드포인트 값을 사용할 수 없습니다.
-
VPC 엔드포인트 연결이 있는 각 외부 키 스토어에는 자체 프라이빗 DNS 이름이 있어야 합니다. 프록시 URI 엔드포인트(프라이빗 DNS 이름)는 AWS 계정 및 리전에서 고유해야 합니다.
프록시 URI 경로
외부 키 스토어를 생성하려면 외부 키 스토어 프록시에 필수 프록시 API에 대한 기본 경로를 지정해야 합니다. 값은 /
로 시작하고 /kms/xks/v1로 끝나야 하며, 여기서 v1
은 외부 키 스토어 프록시에 대한 AWS KMS API의 버전을 나타냅니다. 이 경로에는 /example-prefix/kms/xks/v1
과 같은 필수 요소 사이에 선택적 접두사가 포함될 수 있습니다. 이 값을 찾으려면 외부 키 스토어 프록시에 대한 설명서를 참조하세요.
AWS KMS는 프록시 URI 엔드포인트와 프록시 URI 경로의 연결로 지정된 주소로 프록시 요청을 보냅니다. 예를 들어 프록시 URI 엔드포인트가 https://myproxy.xks.example.com
이고 프록시 URI 경로가 /kms/xks/v1
인 경우 AWS KMS는 https://myproxy.xks.example.com/kms/xks/v1
로 프록시 API 요청을 보냅니다.
프록시 URI 경로를 변경할 수 있지만, 외부 키 스토어 프록시가 외부 키 스토어의 KMS 키와 연결된 키 구성 요소에 액세스할 수 있는지 확인합니다. 그렇지 않으면 AWS KMS가 해당 KMS 키로 암호화된 사이퍼텍스트를 복호화할 수 없습니다.
고유성 요구 사항
-
결합된 프록시 URI 엔드포인트(
XksProxyUriEndpoint
) 및 프록시 URI 경로(XksProxyUriPath
) 값은 AWS 계정과 리전에서 고유해야 합니다.
VPC 엔드포인트 서비스
외부 키 스토어 프록시와 통신하는 데 사용되는 Amazon VPC 엔드포인트 서비스의 이름을 지정합니다. 이 구성 요소는 VPC 엔드포인트 서비스 연결을 사용하는 외부 키 스토어에만 필요합니다. 외부 키 스토어의 VPC 엔드포인트 서비스를 설정하고 구성하는 방법에 대한 도움말은 VPC 엔드포인트 서비스 연결 구성 섹션을 참조하세요.
VPC 엔드포인트 서비스에 다음과 같은 속성이 있어야 합니다.
-
VPC 엔드포인트 서비스가 외부 키 스토어와 동일한 AWS 계정 및 리전에 있어야 합니다.
-
각각 다른 가용 영역에 있는 두 개 이상의 서브넷에 연결된 NLB(Network Load Balancer)가 있어야 합니다.
-
VPC 엔드포인트 서비스의 보안 주체 허용 목록에 해당 리전(
cks.kms.
)의 AWS KMS KMS 서비스 보안 주체가 포함되어야 합니다(예:<region>
.amazonaws.comcks.kms.
).us-east-1
.amazonaws.com -
연결 요청 수락이 필요하지 않아야 합니다.
-
상위 수준의 퍼블릭 도메인 내에 프라이빗 DNS 이름이 있어야 합니다. 예를 들어 퍼블릭
xks.example.com
도메인의 프라이빗 DNS 이름이 myproxy-private.xks.example.com일 수 있습니다.VPC 엔드포인트 서비스 연결이 있는 외부 키 스토어의 프라이빗 DNS 이름은 AWS 리전에서 고유해야 합니다.
-
프라이빗 DNS 이름 도메인의 도메인 확인 상태는
verified
여야 합니다. -
외부 키 스토어 프록시에 구성된 TLS 서버 인증서는 엔드포인트에 연결할 수 있는 프라이빗 DNS 호스트 이름을 지정해야 합니다.
고유성 요구 사항
VPC 엔드포인트 연결이 있는 외부 키 스토어가
Amazon VPC
를 공유할 수 있지만 각 외부 키 스토어에는 자체 VPC 엔드포인트 서비스와 프라이빗 DNS 이름이 있어야 합니다.
프록시 구성 파일
프록시 구성 파일은 외부 키 스토어의 프록시 URI 경로와 프록시 인증 자격 증명 속성에 대한 값을 포함하는 선택적 JSON 기반 파일입니다. AWS KMS 콘솔에서 외부 키 스토어를 생성하거나 편집할 때 프록시 구성 파일을 업로드하여 외부 키 스토어에 대한 구성 값을 제공할 수 있습니다. 이 파일을 사용하면 입력 및 붙여넣기 오류를 방지하고 외부 키 스토어의 값이 외부 키 스토어 프록시의 값과 일치하는지 확인할 수 있습니다.
프록시 구성 파일은 외부 키 스토어 프록시에 의해 생성됩니다. 외부 키 스토어 프록시가 프록시 구성 파일을 제공하는지 알아보려면 외부 키 스토어 프록시 설명서를 참조하세요.
다음은 가상 값이 포함된 올바른 형식의 프록시 구성 파일의 예입니다.
{ "XksProxyUriPath": "/example-prefix/kms/xks/v1", "XksProxyAuthenticationCredential": { "AccessKeyId": "ABCDE12345670EXAMPLE", "RawSecretAccessKey": "0000EXAMPLEFA5FT0mCc3DrGUe2sti527BitkQ0Zr9MO9+vE=" } }
AWS KMS 콘솔에서 외부 키 스토어를 생성하거나 편집할 때만 프록시 구성 파일을 업로드할 수 있습니다. CreateCustomKeyStore또는 UpdateCustomKeyStore작업에는 사용할 수 없지만 프록시 구성 파일의 값을 사용하여 파라미터 값이 정확한지 확인할 수 있습니다.
외부 키 스토어 생성(콘솔)
외부 키 스토어를 생성하기 전에 외부 키 스토어 계획 섹션을 검토하고 프록시 연결 유형을 선택한 다음 필요한 구성 요소를 모두 생성하고 구성했는지 확인합니다. 필요한 값을 찾는 데 도움이 필요한 경우 외부 키 스토어 프록시 또는 키 관리 소프트웨어에 대한 설명서를 참조하세요.
참고
AWS Management Console에서 외부 키 스토어를 생성할 때 프록시 URI 경로 및 프록시 인증 자격 증명에 대한 값이 포함된 JSON 기반 프록시 구성 파일을 업로드할 수 있습니다. 일부 프록시는 이 파일을 자동으로 생성합니다. 이 값은 필수가 아닙니다.
-
AWS Management Console에 로그인하고 https://console.aws.amazon.com/kms
에서 AWS Key Management Service(AWS KMS) 콘솔을 엽니다. -
AWS 리전을 변경하려면 페이지의 오른쪽 상단 모서리에 있는 리전 선택기를 사용합니다.
탐색 창에서 Custom key stores(사용자 지정 키 스토어), External key stores(외부 키 스토어)를 선택합니다.
-
Create external key store(외부 키 스토어 생성)를 선택합니다.
-
기억하기 쉬운 외부 키 스토어 이름을 입력합니다. 이름은 계정의 모든 외부 키 스토어에서 고유해야 합니다.
중요
이 필드에 기밀 또는 민감한 정보를 포함하지 마십시오. 이 필드는 CloudTrail 로그 및 기타 출력에 일반 텍스트로 표시될 수 있습니다.
-
프록시 연결 유형을 선택합니다.
프록시 연결 선택에 따라 외부 키 스토어 프록시에 필요한 구성 요소가 결정됩니다. 이 선택에 대한 도움말은 프록시 연결 옵션 선택 섹션을 참조하세요.
-
이 외부 키 스토어에 대한 VPC 엔드포인트 서비스의 이름을 선택하거나 입력합니다. 이 단계는 외부 키 스토어 프록시 연결 유형이 VPC endpoint service(VPC 엔드포인트 서비스)인 경우에만 나타납니다.
VPC 엔드포인트 서비스와 해당 VPC가 외부 키 스토어의 요구 사항을 충족해야 합니다. 자세한 내용은 사전 조건 수집 단원을 참조하세요.
-
프록시 URI 엔드포인트를 입력합니다. 프로토콜은 HTTPS여야 합니다. AWS KMS는 포트 443에서 통신합니다. 프록시 URI 엔드포인트 값에 포트를 지정하지 마세요.
AWS KMS가 이전 단계에서 지정한 VPC 엔드포인트 서비스를 인식하면 이 필드를 자동으로 완료합니다.
퍼블릭 엔드포인트 연결로 공개적으로 사용 가능한 엔드포인트 URI를 입력합니다. VPC 엔드포인트 연결로
https://
뒤에 VPC 엔드포인트 서비스의 프라이빗 DNS 이름을 지정합니다. -
프록시 URI 경로 접두사 및 프록시 인증 자격 증명의 값을 입력하려면 프록시 구성 파일을 업로드하거나 값을 수동으로 입력합니다.
프록시 URI 경로 및 프록시 인증 자격 증명에 대한 값이 포함된 선택적 프록시 구성 파일이 있는 경우 Upload configuration file(구성 파일 업로드)을 선택합니다. 단계에 따라 파일을 업로드합니다.
파일이 업로드되면 콘솔은 편집 가능한 필드에 파일의 값을 표시합니다. 지금 값을 변경하거나 외부 키 스토어를 생성한 후 이 값을 편집할 수 있습니다.
비밀 액세스 키의 값을 표시하려면 Show secret access key(비밀 액세스 키 표시)를 선택합니다.
-
프록시 구성 파일이 없는 경우 프록시 URI 경로 및 프록시 인증 자격 증명 값을 수동으로 입력할 수 있습니다.
프록시 구성 파일이 없는 경우에는 프록시 URI를 수동으로 입력할 수 있습니다. 콘솔에서 필요한 /kms/xks/v1 값을 제공합니다.
프록시 URI 경로에 선택적 접두사(예:
/
의example-prefix
/kms/xks/v1example-prefix
)가 포함된 경우 Proxy URI path prefix(프록시 URI 경로 접두사) 필드에 접두사를 입력합니다. 그렇지 않은 경우 필드를 비워둡니다.프록시 구성 파일이 없는 경우 프록시 인증 자격 증명을 수동으로 입력할 수 있습니다. 액세스 키 ID와 비밀 액세스 키가 모두 필요합니다.
-
Proxy credential: Access key ID(프록시 자격 증명: 액세스 키 ID)에 프록시 인증 자격 증명의 액세스 키 ID를 입력합니다. 액세스 키 ID가 비밀 액세스 키를 식별합니다.
-
Proxy credential: Secret access key(프록시 자격 증명: 비밀 액세스 키)에 프록시 인증 자격 증명의 비밀 액세스 키를 입력합니다.
비밀 액세스 키의 값을 표시하려면 Show secret access key(비밀 액세스 키 표시)를 선택합니다.
이 절차는 외부 키 스토어 프록시에 설정한 인증 자격 증명을 설정하거나 변경하지 않습니다. 단지 이러한 값을 외부 키 스토어와 연결합니다. 프록시 인증 자격 증명 설정, 변경 및 교체에 대한 자세한 내용은 외부 키 스토어 프록시 또는 키 관리 소프트웨어 설명서를 참조하세요.
프록시 인증 자격 증명이 변경되면 외부 키 스토어의 자격 증명 설정을 편집합니다.
-
-
Create external key store(외부 키 스토어 생성)를 선택합니다.
절차가 성공하면 계정 및 리전의 외부 키 스토어 목록에 새로운 외부 키 스토어가 나타납니다. 절차가 실패하면 오류 메시지가 나타나서 문제를 설명하고 이를 수정할 수 있는 방법에 대한 도움말을 제공합니다. 도움이 더 필요한 경우 CreateKey 외부 키 오류 섹션을 참조하십시오.
다음: 새로운 외부 키 스토어는 자동으로 연결되지 않습니다. 외부 키 스토어에서 AWS KMS keys를 생성하려면 먼저 외부 키 스토어 프록시에 외부 키 스토어를 연결해야 합니다.
외부 키 스토어 생성(API)
CreateCustomKeyStore작업을 사용하여 새 외부 키 저장소를 생성할 수 있습니다. 필수 파라미터의 값을 찾는 방법에 대한 도움말은 외부 키 스토어 프록시 또는 키 관리 소프트웨어 설명서를 참조하세요.
작은 정보
CreateCustomKeyStore
작업을 사용할 때는 프록시 구성 파일을 업로드할 수 없습니다. 그러나 프록시 구성 파일의 값을 사용하여 파라미터 값이 올바른지 확인할 수 있습니다.
외부 키 스토어를 생성하려면 CreateCustomKeyStore
작업에 다음 파라미터 값이 필요합니다.
-
CustomKeyStoreName
– 계정에서 고유한 기억하기 쉬운 외부 키 스토어의 이름입니다.중요
이 필드에 기밀 또는 민감한 정보를 포함하지 마십시오. 이 필드는 CloudTrail 로그 및 기타 출력에 일반 텍스트로 표시될 수 있습니다.
-
CustomKeyStoreType
-EXTERNAL_KEY_STORE
를 지정합니다. -
XksProxyConnectivity –
PUBLIC_ENDPOINT
또는VPC_ENDPOINT_SERVICE
를 지정합니다. -
XksProxyAuthenticationCredential - 액세스 키 ID와 비밀 액세스 키를 모두 지정합니다.
-
XksProxyUriEndpoint - AWS KMS가 외부 키 스토어 프록시와 통신하는 데 사용하는 엔드포인트입니다.
-
XksProxyUriPath - 프록시 API에 대한 프록시 내의 경로입니다.
-
XksProxyVpcEndpointServiceName -
XksProxyConnectivity
값이VPC_ENDPOINT_SERVICE
인 경우에만 필요합니다.
참고
AWS CLI 버전 1.0을 사용하는 경우 HTTP 또는 HTTPS 값을 포함하는 파라미터(예: XksProxyUriEndpoint
파라미터)를 지정하기 전에 다음 명령을 실행합니다.
aws configure set cli_follow_urlparam false
그렇지 않으면 AWS CLI 버전 1.0이 파라미터 값을 해당 URI 주소에 있는 콘텐츠로 바꿔 다음 오류가 발생합니다.
Error parsing parameter '--xks-proxy-uri-endpoint': Unable to retrieve https:// : received non 200 status code of 404
다음 예제에서는 가상의 값을 사용합니다. 명령을 실행하기 전에 해당 값을 외부 키 스토어의 유효한 값으로 바꾸세요.
퍼블릭 엔드포인트 연결이 있는 외부 키 스토어를 생성합니다.
$
aws kms create-custom-key-store --custom-key-store-name
ExampleExternalKeyStorePublic
\ --custom-key-store-type EXTERNAL_KEY_STORE \ --xks-proxy-connectivity PUBLIC_ENDPOINT \ --xks-proxy-uri-endpointhttps://myproxy.xks.example.com
\ --xks-proxy-uri-path/kms/xks/v1
\ --xks-proxy-authentication-credential AccessKeyId=<value>
,RawSecretAccessKey=<value>
VPC 엔드포인트 서비스 연결이 있는 외부 키 스토어를 생성합니다.
$
aws kms create-custom-key-store --custom-key-store-name
ExampleExternalKeyStoreVPC
\ --custom-key-store-type EXTERNAL_KEY_STORE \ --xks-proxy-connectivity VPC_ENDPOINT_SERVICE \ --xks-proxy-vpc-endpoint-service-namecom.amazonaws.vpce.us-east-1.vpce-svc-example
\ --xks-proxy-uri-endpointhttps://myproxy-private.xks.example.com
\ --xks-proxy-uri-path/kms/xks/v1
\ --xks-proxy-authentication-credential AccessKeyId=<value>
,RawSecretAccessKey=<value>
작업이 성공하면 CreateCustomKeyStore
가 사용자 지정 키 스토어 ID를 반환합니다(다음 예제 응답 참조).
{ "CustomKeyStoreId": cks-1234567890abcdef0 }
작업이 실패할 경우 예외로 표시된 오류를 정정하고 다시 시도해보세요. 추가적인 도움말은 외부 키 스토어 문제 해결 섹션을 참조하십시오.
다음: 외부 키 스토어를 사용하려면 외부 키 스토어 프록시에 연결합니다.