요청 할당량

AWS KMS는 초당 요청되는 API 작업 수에 대한 할당량을 설정합니다. 요청 할당량은 API 작업, AWS 리전, KMS 키 유형과 같은 요소에 따라 다릅니다. API 요청 할당량을 초과하면 AWS KMS가 요청을 제한합니다.

AWS CloudHSM 키 스토어 요청 할당량을 제외한 모든 요청 AWS KMS 할당량은 조정 가능합니다. 할당량 증가를 요청하려면 Service Quotas 사용 설명서의 할당량 증가 요청 섹션을 참조하십시오. 할당량 감소를 요청하거나 Service Quotas에 나열되지 않은 할당량을 변경하거나 AWS KMS에 대한 Service Quotas를 사용할 수 없는 AWS 리전에서 할당량을 변경하려면 AWS Support Center를 방문하여 사례를 생성합니다.

GenerateDataKey작업에 대한 요청 할당량을 초과하는 경우 의 데이터 키 캐싱 기능을 사용해 보십시오. AWS Encryption SDK 데이터 키를 다시 사용하면 AWS KMS에 대한 요청 빈도가 감소할 수 있습니다.

요청 할당량 외에도 AWS KMS는 리소스 할당량을 사용하여 모든 사용자의 용량을 보장합니다. 자세한 내용은 리소스 할당량 섹션을 참조하세요.

요청 비율의 추세를 보려면 Service Quotas 콘솔을 사용하세요. 요청 비율이 할당량 값의 특정 비율에 도달하면 알려주는 Amazon CloudWatch 경보를 생성할 수도 있습니다. 자세한 내용은 보안 블로그의 Service Quotas 및 CloudWatch AWS Amazon을 사용한 AWS KMS API 요청 속도 관리를 참조하십시오.

각 AWS KMS API 작업에 대한 요청 할당량

이 표에는 Service Quotas 할당량 코드 및 각 AWS KMS 요청 할당량의 기본값이 나열되어 있습니다. AWS CloudHSM 키 스토어 요청 할당량을 제외한 모든 요청 AWS KMS 할당량은 조정 가능합니다.

참고

이 테이블의 모든 데이터를 보려면 가로 또는 세로로 스크롤해야 할 수도 있습니다.

할당량 이름	기본값(초당 요청 수)
Cryptographic operations (symmetric) request rate 적용 대상: Decrypt Encrypt GenerateDataKey GenerateDataKeyWithoutPlaintext GenerateMac GenerateRandom ReEncrypt VerifyMac	이러한 공유 할당량은 AWS 리전 및 요청에 사용된 KMS 키 유형에 따라 다릅니다. 각 할당량은 별도로 계산됩니다. 5,500(공유) 다음 리전에서는 10,000(공유): 미국 동부(오하이오) us-east-2 아시아 태평양(싱가포르) ap-southeast-1 아시아 태평양(시드니) ap-southeast-2 아시아 태평양(도쿄) ap-northeast-1 EU(프랑크푸르트) eu-central-1 EU(런던) eu-west-2 다음 리전에서는 50,000(공유): 미국 동부(버지니아 북부), us-east-1 미국 서부(오리건), us-west-2 유럽(아일랜드) eu-west-1
Cryptographic operations (RSA) request rate 적용 대상: Decrypt Encrypt ReEncrypt Sign Verify	RSA KMS 키의 경우 500(공유)
Cryptographic operations (ECC) request rate 적용 대상: Sign Verify	타원 곡선(ECC) KMS 의 경우 300(공유)
Cryptographic operations (SM) request rate 적용 대상: Decrypt Encrypt ReEncrypt Sign Verify	SM2(중국 리전만 해당) KMS 키의 경우 300(공유)
Custom key store request quotas 적용 대상: Decrypt Encrypt GenerateDataKey GenerateDataKeyWithoutPlaintext GenerateRandom ReEncrypt	사용자 지정 키 스토어 요청 할당량은 각 사용자 지정 키 스토어에 별도로 계산됩니다. 각 AWS CloudHSM 키 스토어에 대해 1,800회(공유) 각 외부 키 스토어에 대해 1,800회(공유)
CancelKeyDeletion request rate	5
ConnectCustomKeyStore request rate	5
CreateAlias request rate	5
CreateCustomKeyStore request rate	5
CreateGrant request rate	50
CreateKey request rate	5
DeleteAlias request rate	15
DeleteCustomKeyStore request rate	5
DeleteImportedKeyMaterial request rate	5
DescribeCustomKeyStores request rate	5
DescribeKey request rate	2000
DisableKey request rate	5
DisableKeyRotation request rate	5
DisconnectCustomKeyStore request rate	5
EnableKey request rate	5
EnableKeyRotation request rate	15
GenerateDataKeyPair (ECC_NIST_P256) request rate 적용 대상: GenerateDataKeyPair GenerateDataKeyPairWithoutPlaintext	100
GenerateDataKeyPair (ECC_NIST_P384) request rate 적용 대상: GenerateDataKeyPair GenerateDataKeyPairWithoutPlaintext	100
GenerateDataKeyPair (ECC_NIST_P521) request rate 적용 대상: GenerateDataKeyPair GenerateDataKeyPairWithoutPlaintext	100
GenerateDataKeyPair (ECC_SECG_P256K1) request rate 적용 대상: GenerateDataKeyPair GenerateDataKeyPairWithoutPlaintext	100
GenerateDataKeyPair (RSA_2048) request rate 적용 대상: GenerateDataKeyPair GenerateDataKeyPairWithoutPlaintext	1
GenerateDataKeyPair (RSA_3072) request rate 적용 대상: GenerateDataKeyPair GenerateDataKeyPairWithoutPlaintext	0.5(2초 간격으로 1)
GenerateDataKeyPair (RSA_4096) request rate 적용 대상: GenerateDataKeyPair GenerateDataKeyPairWithoutPlaintext	0.1(10초 간격으로 1)
GenerateDataKeyPair (SM2 — China Regions only) request rate 적용 대상: GenerateDataKeyPair GenerateDataKeyPairWithoutPlaintext	25
GetKeyPolicy request rate	1000
GetKeyRotationStatus request rate	1000
GetParametersForImport request rate	0.25(4초 간격으로 1)
GetPublicKey request rate	2000
ImportKeyMaterial request rate	5
ListAliases request rate	500
ListGrants request rate	100
ListKeyPolicies request rate	100
ListKeys request rate	500
ListResourceTags request rate	2000
ListRetirableGrants request rate	100
PutKeyPolicy request rate	15
ReplicateKey request rate ReplicateKey 작업은 기본 키의 지역에서 하나의 ReplicateKey 요청으로 계산되고 복제본의 지역에서 두 개의 CreateKey 요청으로 계산됩니다. CreateKey 요청 중 하나는 키를 생성하기 전에 잠재적인 문제를 감지하기 위한 테스트 실행입니다.	5
RetireGrant request rate	30
RevokeGrant request rate	30
ScheduleKeyDeletion request rate	15
TagResource request rate	10
UntagResource request rate	5
UpdateAlias request rate	5
UpdateCustomKeyStore request rate	5
UpdateKeyDescription request rate	5
UpdatePrimaryRegion request rate UpdatePrimaryRegion 작업은 두 개의 UpdatePrimaryRegion 요청, 즉 영향을 받는 두 리전 각각에서 하나의 요청으로 계산됩니다.	5

요청 할당량 적용

요청 할당량 검토 시 다음 정보에 유의하십시오.

• 요청 할당량은 고객 관리형 키 및 AWS 관리형 키 둘 다에 적용됩니다. AWS 소유 키를 사용하면 계정의 리소스를 보호하는 데 사용되더라도 AWS 계정의 요청 할당량 계산에 포함되지 않습니다.

• 요청 할당량은 FIPS 엔드포인트 및 비 FIPS 엔드포인트로 전송된 요청에 적용됩니다. AWS KMS 서비스 엔드포인트 목록은 AWS 일반 참조의 AWS Key Management Service 엔드포인트 및 할당량을 참조하세요.

• 제한은 리전에 있는 모든 유형의 KMS 키에 대한 모든 요청을 기준으로 합니다. 이 합계에는 사용자를 대신한 AWS 서비스의 요청을 포함하여 AWS 계정의 모든 보안 주체의 요청이 포함됩니다.

• 각 요처 할당량은 독립적으로 계산됩니다. 예를 들어, 작업 요청은 해당 CreateKey작업의 요청 할당량에 영향을 주지 않습니다. CreateAlias CreateAlias 요청이 제한되는 경우에도 CreateKey 요청이 성공적으로 완료될 수 있습니다.

• 암호화 작업이 할당량을 공유하지만 공유 할당량은 다른 작업에 대한 할당량과 독립적으로 계산됩니다. 예를 들어 암호화 및 암호 해독 작업에 대한 호출은 요청 할당량을 공유하지만 해당 할당량은 관리 작업 (예:) 의 할당량과는 독립적입니다. EnableKey 예를 들어 유럽(런던) 리전에서는 제한 없이 대칭 KMS 키에 대해 10,000개의 암호화 작업과 이에 덧붙여 초당 5개의 EnableKey 작업을 수행할 수 있습니다.

암호화 작업에 대한 공유 할당량

AWS KMS 암호화 작업 공유 요청 할당량 KMS 키에서 지원하는 암호화 작업의 조합을 요청할 수 있습니다. 이렇게 하면 총 암호화 작업 수가 KMS 키 유형에 대한 요청 할당량을 초과하지 않습니다. 예외는 별도의 GenerateDataKeyPair할당량을 공유하는 및 GenerateDataKeyPairWithoutPlaintext입니다.

다른 KMS 키 유형에 대한 할당량도 독립적으로 계산됩니다. 각 할당량은 지정된 키 유형을 가진 AWS 계정 및 리전에서 이러한 작업에 대한 모든 요청에 1초 간격으로 적용됩니다.

• 암호화 작업(대칭) 요청 비율은 계정 및 리전에서 대칭 KMS 키를 사용하는 암호화 작업에 대한 공유 요청 할당량입니다. 이 할당량은 대칭 암호화 키와 역시 대칭인 HMAC 키를 사용하는 암호화 작업에 적용됩니다.

  예를 들어 공유 할당량이 초당 10,000개 요청인 AWS 리전에서 대칭 KMS 키를 사용할 수 있습니다. 초당 7,000개의 GenerateDataKey요청과 초당 2,000개의 암호 해독 요청을 할 경우 요청의 병목 현상이 AWS KMS 발생하지 않습니다. 그러나 매초 9,500건의 GenerateDataKey 요청과 1,000건의 Encrypt 요청을 하는 경우 공유 제한을 초과하므로 AWS KMS는 요청을 제한합니다.

  사용자 지정 키 스토어의 대칭 암호화 KMS 키에 대한 암호화 작업은 계정에 대한 암호화 작업(대칭) 요청 빈도와 사용자 지정 키 스토어에 대한 사용자 지정 키 스토어 요청 할당량 모두에 포함됩니다.

• RSA(암호화 작업) 요청 비율은 RSA 비대칭 KMS 키를 사용하는 암호화 작업에 대한 공유 요청 할당량입니다.

  예를 들어 요청 할당량이 초당 500건인 경우, 암호화 및 해독이 가능한 RSA KMS 키로 200건의 암호화 요청 및 100건의 해독 요청과 서명 및 확인이 가능한 RSA KMS 키로 50건의 서명 요청 및 150건의 확인 요청을 할 수 있습니다.

• 암호화 작업(ECC) 요청 비율은 ECC(타원 곡선) 비대칭 KMS 키를 사용하는 암호화 작업에 대한 공유 요청 할당량입니다.

  예를 들어 요청 할당량이 초당 300건인 경우, 서명 및 확인이 가능한 RSA KMS 키를 사용하여 100개의 서명 요청과 200개의 확인 요청을 만들 수 있습니다.

• SM(암호화 작업, 중국 리전 전용) 요청 비율은 SM 비대칭 KMS 키를 사용하는 암호화 작업에 대한 공유 요청 할당량입니다.

  예를 들어 요청 할당량이 초당 300건인 경우, 암호화 및 해독이 가능한 SM2 KMS 키로 100건의 암호화 요청 및 100건의 해독 요청과 서명 및 확인이 가능한 SM2 KMS 키로 50건의 서명 요청 및 50건의 확인 요청을 할 수 있습니다.

• 사용자 지정 키 스토어 요청 할당량은 사용자 지정 키 스토어의 KMS 키의 암호화 작업에 대한 공유 요청 할당량입니다. 이 할당량은 각 사용자 지정 키 스토어에 별도로 계산됩니다.

  사용자 지정 키 스토어의 대칭 암호화 KMS 키에 대한 암호화 작업은 계정에 대한 암호화 작업(대칭) 요청 빈도와 사용자 지정 키 스토어에 대한 사용자 지정 키 스토어 요청 할당량 모두에 포함됩니다.

다른 키 유형에 대한 할당량도 독립적으로 계산됩니다. 예를 들어 아시아 태평양(싱가포르) 리전에서 대칭 KMS 키와 비대칭 KMS 키를 모두 사용하는 경우, 대칭 KMS 키(HMAC 키 포함)로 초당 최대 10,000건의 호출을 하고, 더해서 RSA 비대칭 KMS 키로 초당 최대 500건의 추가 호출을 하고, 여기에 더해서 ECC 기반 KMS 키로 초당 최대 300건의 추가 요청을 할 수 있습니다.

자동으로 이루어지는 API 요청

사용자가 직접, 또는 자동으로 에 API 요청을 해주는 통합 AWS 서비스를 AWS KMS이용해 API 요청을 할 수 있습니다. 이 할당량은 두 유형의 요청에 모두 적용됩니다.

예를 들어 KMS 키(SSE-KMS)를 사용한 서버 측 암호화를 통해 Amazon S3에 데이터를 저장할 수 있습니다. SSE-KMS로 암호화되는 S3 객체를 업로드하거나 다운로드할 때마다 Amazon S3가 자동으로 AWS KMS에 GenerateDataKey(업로드용) 또는 Decrypt(다운로드용) 요청을 보냅니다. 이러한 요청은 할당량에 포함되기 때문에 SSE-KMS로 암호화된 S3 객체의 초당 업로드 또는 다운로드 수의 총합이 5,500(또는 AWS 리전에 따라 10,000 또는 50,000)을 초과하는 경우 AWS KMS가 요청을 제한합니다.

교차 계정 요청

한 AWS 계정의 한 애플리케이션이 다른 계정 소유의 KMS 키를 사용하는 경우를 교차 계정 요청이라고 합니다. 교차 계정 요청의 경우, AWS KMS는 KMS 키를 소유한 계정이 아니라 요청을 하는 계정을 제한합니다. 예를 들어 계정 A의 애플리케이션이 계정 B의 KMS 키를 사용하는 경우 KMS 키 사용은 계정 A의 할당량에만 적용됩니다.

사용자 지정 키 스토어 요청 할당량

AWS KMS는 사용자 지정 키 스토어의 KMS 키에 대한 암호화 작업에 대한 요청 할당량을 유지 관리합니다. 이러한 요청 할당량은 각 사용자 지정 키 스토어에 별도로 계산됩니다.

사용자 지정 키 스토어 요청 할당량	각 사용자 지정 키 스토어의 기본값(초당 요청 수)	조정 가능
AWS CloudHSM 키 스토어 요청 할당량	1800	아니오
외부 키 스토어 요청 할당량	1800	예

참고

AWS KMS 사용자 지정 키 스토어 요청 할당량은 Service Quotas 콘솔에 표시되지 않습니다. Service Quotas API 작업을 사용하여 이러한 할당량을 보거나 관리할 수 없습니다. 외부 키 스토어 요청 할당량 변경을 요청하려면 AWS Support 센터를 방문하여 사례를 생성하세요.

키 스토어와 연결된 AWS CloudHSM 클러스터가 사용자 지정 AWS CloudHSM 키 스토어와 관련이 없는 명령을 포함하여 수많은 명령을 처리하는 경우 일정 비율의 응답이 발생할 수 있습니다. AWS KMS ThrottlingException lower-than-expected 이 경우 요청 빈도를 AWS KMS로 낮추거나 AWS CloudHSM 키 스토어 전용 AWS CloudHSM 클러스터를 사용합니다.

AWS KMS지표에서 외부 키 저장소 요청의 병목 현상을 보고합니다. ExternalKeyStoreThrottle CloudWatch 이 지표를 사용하여 제한 패턴을 보고, 경보를 생성하고, 외부 키 스토어 요청 할당량을 조정할 수 있습니다.

사용자 지정 키 스토어에서 KMS 키의 암호화 작업에 대한 요청은 2개의 할당량에 포함됩니다.

• 암호화 작업(대칭) 요청 빈도 할당량(계정당)

  사용자 지정 키 스토어의 KMS 키에 대한 암호화 작업 요청은 각 AWS 계정 및 리전의 Cryptographic operations (symmetric) request rate 할당량에 포함됩니다. 예를 들어 미국 동부(버지니아 북부)(us-east-1)에서 각 AWS 계정은 사용자 지정 키 스토어에서 KMS 키를 사용하는 요청을 포함하여 대칭 암호화 KMS 키에 대해 초당 최대 50,000개의 요청을 가질 수 있습니다.

• 사용자 지정 키 스토어 요청 할당량(사용자 지정 키 스토어당)

  사용자 지정 키 스토어의 KMS 키의 암호화 작업에 대한 요청 역시 초당 작업 1,800회의 Custom key store request quota에 포함됩니다. 이러한 할당량은 각 사용자 지정 키 스토어에 별도로 계산됩니다. 사용자 지정 키 스토어에서 KMS 키를 사용하는 여러 AWS 계정의 요청을 포함할 수 있습니다.

예를 들어 미국 동부(버지니아 북부)(us-east-1) 리전에 있는 사용자 지정 키 스토어(두 유형 모두)의 KMS 키에 대한 암호화 작업은 해당 계정 및 리전에 대한 Cryptographic operations (symmetric) request rate 계정 수준 할당량(초당 요청 50,000개)과 사용자 지정 키 스토어에 대한 Custom key store request quota(초당 요청 1,800개)에 포함됩니다. 하지만 사용자 지정 키 스토어의 KMS 키와 같은 PutKeyPolicy관리 작업에 대한 요청은 계정 수준 할당량 (초당 15개 요청) 에만 적용됩니다.