AWS CloudTrail 사용 방법 AWS KMS

를 AWS CloudTrail 사용하여 AWS API 통화 및 기타 활동을 녹음하고, 기록된 정보를 선택한 Amazon AWS 계정 Simple Storage Service (Amazon S3) 버킷의 로그 파일에 저장할 수 있습니다. 기본적으로 S3 버킷에 저장되는 CloudTrail 로그 파일은 Amazon S3에서 관리하는 암호화 키 (-S3) 를 사용한 서버 측 암호화를 사용하여 암호화됩니다. SSE 하지만 대신 키 (-) 를 사용한 서버 측 암호화를 사용할 수도 있습니다. KMS SSE KMS 를 사용하여 CloudTrail 로그 파일을 암호화하는 방법을 알아보려면 사용 AWS KMS설명서의 AWS KMS keys (SSE-KMS) 를 사용하여 CloudTrail 로그 파일 암호화를 참조하십시오.AWS CloudTrail

중요

AWS CloudTrail Amazon S3는 AWS KMS keys대칭형만 지원합니다. 비대칭 KMS 키를 사용하여 로그를 암호화할 수 없습니다. CloudTrail KMS키가 대칭인지 비대칭인지 판단하는 데 도움이 필요하면 을 참조하십시오. 비대칭 KMS 키 식별

- 키로 암호화된 로그 파일을 CloudTrail 읽거나 쓸 때는 키 사용 요금이 부과되지 않습니다. SSE KMS 하지만 SSE - 키로 암호화된 CloudTrail 로그 파일에 액세스할 때는 KMS 키 사용 요금이 부과됩니다. AWS KMS 요금에 대한 자세한 내용은 AWS Key Management Service 요금을 참조하십시오. CloudTrail 가격 책정에 대한 자세한 내용은 AWS CloudTrail 사용 설명서의 AWS CloudTrail 가격 책정 및 비용 관리를 참조하십시오.

주제

KMS키 사용 시기 이해

KMS키 사용 시기 이해

Amazon S3 기반 AWS KMS 빌드로 CloudTrail 로그 파일을 암호화하는 것을 AWS KMS key (SSE-) 로 서버 측 암호화라고 합니다. KMS -에 대한 SSE 자세한 내용은 이 안내서 또는 Amazon Simple Storage Service 사용 설명서의 KMS 키 (SSE-KMS) 를 사용한 서버 측 암호화를 사용한 데이터 보호를 참조하십시오Amazon Simple Storage Service(Amazon S3)에서 AWS KMS 사용 방법. KMS

를 사용하여 SSE 로그 파일을 AWS CloudTrail KMS 암호화하도록 구성하면 Amazon S3는 사용자가 해당 서비스에서 특정 작업을 수행할 AWS KMS keys 때 이를 사용합니다. CloudTrail 다음 섹션에서는 해당 서비스가 KMS 키를 사용할 수 있는 시기와 방법을 설명하고 이 설명을 검증하는 데 사용할 수 있는 추가 정보를 제공합니다.

Amazon CloudTrail S3가 사용자 KMS 키를 사용하도록 유도하는 작업

다음을 사용하여 로그 파일을 CloudTrail 암호화하도록 구성합니다. AWS KMS key

KMS키를 사용하도록 CloudTrail 구성을 업데이트하면 키가 존재하고 암호화에 KMS 키를 사용할 CloudTrail 권한이 있는지 GenerateDataKey AWS KMS 확인하라는 요청을 CloudTrail 보냅니다. CloudTrail 결과 데이터 키는 사용하지 않습니다.

GenerateDataKey 요청에는 암호화 컨텍스트에 대한 다음 정보가 포함됩니다.

CloudTrail 트레일의 Amazon 리소스 이름 (ARN)
S3 버킷 및 CloudTrail 로그 파일이 전송되는 경로 ARN

GenerateDataKey요청 결과 다음 예와 마찬가지로 CloudTrail 로그에 항목이 생성됩니다. 이와 같은 로그 항목이 표시되면 () 가 특정 트레일 CloudTrail ( Red circle with number 1 inside, indicating a numerical step or priority. ) 에 대해 AWS KMS ( Red circle with number 2 inside, likely representing a step or item in a sequence. ) GenerateDataKey 작업 ( Red circle with number 3 inside, indicating a step or sequence number. ) 을 호출했음을 확인할 수 있습니다. Red circle with number 4 inside, likely representing a notification or count indicator. AWS KMS 특정 키 ( Red circle with white number 3 inside, indicating a step or sequence number. ) 아래에 데이터 KMS 키를 생성했습니다.

참고

다음 예제 로그 항목에서 일부 설명선을 보려면 오른쪽으로 스크롤해야 할 수 있습니다.


{
  "eventVersion": "1.02",
  "userIdentity": {
    "type": "IAMUser",
    "principalId": "AIDACKCEVSQ6C2EXAMPLE",
    "arn": "arn:aws:iam::086441151436:user/AWSCloudTrail",
    "accountId": "086441151436",
    "accessKeyId": "AKIAI44QH8DHBEXAMPLE",
    "userName": "AWSCloudTrail",
    "sessionContext": {"attributes": {
      "mfaAuthenticated": "false",
      "creationDate": "2015-11-11T21:15:33Z"
    }},
    "invokedBy": "internal.amazonaws.com"
  },
  "eventTime": "2015-11-11T21:15:33Z",
  "eventSource": "kms.amazonaws.com",
  "eventName": "GenerateDataKey",
  "awsRegion": "us-west-2",
  "sourceIPAddress": "internal.amazonaws.com",
  "userAgent": "internal.amazonaws.com",
  "requestParameters": {
    "keyId": "arn:aws:kms:us-west-2:111122223333:alias/ExampleAliasForCloudTrailKMS key",
    "encryptionContext": {
      "aws:cloudtrail:arn": "arn:aws:cloudtrail:us-west-2:111122223333:trail/Default",
      "aws:s3:arn": "arn:aws:s3:::example-bucket-for-CT-logs/AWSLogs/111122223333/"
    },
    "keySpec": "AES_256"
  },
  "responseElements": null,
  "requestID": "581f1f11-88b9-11e5-9c9c-595a1fb59ac0",
  "eventID": "3cdb2457-c035-4890-93b6-181832b9e766",
  "readOnly": true,
  "resources": [{
    "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "accountId": "111122223333"
  }],
  "eventType": "AwsServiceEvent",
  "recipientAccountId": "111122223333"
}

CloudTrail S3 버킷에 로그 파일을 넣습니다.

로그 파일을 S3 버킷에 넣을 때마다 CloudTrail Amazon S3는 를 AWS KMS 대신하여 GenerateDataKey요청을 보냅니다 CloudTrail. 이 요청에 따라 고유한 데이터 키를 AWS KMS 생성한 다음 Amazon S3에 데이터 키 사본 2개를 전송합니다. 하나는 일반 텍스트이고 다른 하나는 지정된 KMS 키로 암호화됩니다. Amazon S3는 일반 텍스트 데이터 키를 사용하여 CloudTrail 로그 파일을 암호화한 다음 사용 후 최대한 빨리 메모리에서 일반 텍스트 데이터 키를 제거합니다. Amazon S3는 암호화된 데이터 키를 암호화된 CloudTrail 로그 파일과 함께 메타데이터로 저장합니다.

GenerateDataKey 요청에는 암호화 컨텍스트에 대한 다음 정보가 포함됩니다.

CloudTrail 트레일의 Amazon 리소스 이름 (ARN)
S3 객체 ( CloudTrail 로그 파일) 의 ARN

각 GenerateDataKey 요청의 결과로 다음 예와 마찬가지로 CloudTrail 로그에 항목이 생성됩니다. 이와 같은 로그 항목이 표시되면 () 가 특정 로그 파일 CloudTrail ( Red circle with number 1 inside, indicating a numerical step or priority. ) 을 보호하기 위해 특정 트레일 ( Red circle with number 3 inside, indicating a step or sequence number. ) 에 대해 ( Red circle with number 4 inside, likely representing a notification or count indicator. ) GenerateDataKey 작업 () 을 호출했음을 확인할 수 있습니다. AWS KMS Red circle with number 2 inside, likely representing a step or item in a sequence. Red circle with white number 3 inside, indicating a step or sequence number. AWS KMS 동일한 로그 항목에 두 번 표시된 지정된 KMS 키 ( Red circle with white letter B inside, representing a logo or icon. ) 아래에 데이터 키를 생성했습니다.

참고

다음 예제 로그 항목에서 일부 설명선을 보려면 오른쪽으로 스크롤해야 할 수 있습니다.


{
  "eventVersion": "1.02",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROACKCEVSQ6C2EXAMPLE:i-34755b85",
    "arn": "arn:aws:sts::086441151436:assumed-role/AWSCloudTrail/i-34755b85",
    "accountId": "086441151436",
    "accessKeyId": "AKIAI44QH8DHBEXAMPLE",
    "sessionContext": {
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2015-11-11T20:45:25Z"
      },
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROACKCEVSQ6C2EXAMPLE",
        "arn": "arn:aws:iam::086441151436:role/AWSCloudTrail",
        "accountId": "086441151436",
        "userName": "AWSCloudTrail"
      }
    },
    "invokedBy": "internal.amazonaws.com"
  },
  "eventTime": "2015-11-11T21:15:58Z",
  "eventSource": "kms.amazonaws.com",
  "eventName": "GenerateDataKey",
  "awsRegion": "us-west-2",
  "sourceIPAddress": "internal.amazonaws.com",
  "userAgent": "internal.amazonaws.com",
  "requestParameters": {
    "encryptionContext": {
      "aws:cloudtrail:arn": "arn:aws:cloudtrail:us-west-2:111122223333:trail/Default",
      "aws:s3:arn": "arn:aws:s3:::example-bucket-for-CT-logs/AWSLogs/111122223333/CloudTrail/us-west-2/2015/11/11/111122223333_CloudTrail_us-west-2_20151111T2115Z_7JREEBimdK8d2nC9.json.gz"
    },
    "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "keySpec": "AES_256"
  },
  "responseElements": null,
  "requestID": "66f3f74a-88b9-11e5-b7fb-63d925c72ffe",
  "eventID": "7738554f-92ab-4e27-83e3-03354b1aa898",
  "readOnly": true,
  "resources": [{
    "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "accountId": "111122223333"
  }],
  "eventType": "AwsServiceEvent",
  "recipientAccountId": "111122223333"
}

S3 버킷에서 암호화된 로그 파일 가져오기

S3 버킷에서 암호화된 CloudTrail 로그 파일을 가져올 때마다 Amazon S3는 사용자를 대신하여 로그 파일의 암호화된 데이터 키를 Decrypt해독하라는 AWS KMS 요청을 보냅니다. 이 요청에 대한 응답으로 는 KMS 키를 AWS KMS 사용하여 데이터 키를 해독한 다음 일반 텍스트 데이터 키를 Amazon S3로 보냅니다. Amazon S3는 일반 텍스트 데이터 키를 사용하여 CloudTrail 로그 파일을 복호화한 다음 사용 후 최대한 빨리 메모리에서 일반 텍스트 데이터 키를 제거합니다.

Decrypt 요청에는 암호화 컨텍스트에 대한 다음 정보가 포함됩니다.

CloudTrail 트레일의 Amazon 리소스 이름 (ARN)
S3 객체 ( CloudTrail 로그 파일) 의 ARN

각 Decrypt 요청의 결과로 다음 예와 마찬가지로 CloudTrail 로그에 항목이 생성됩니다. 이와 같은 로그 항목이 표시되면 () 의 사용자가 특정 트레일 AWS 계정 ( Red circle with number 1 inside, indicating a numerical step or priority. ) 및 특정 로그 파일 AWS KMS ( Red circle with number 2 inside, likely representing a step or item in a sequence. ) 에 대해 ( Red circle with number 3 inside, indicating a step or sequence number. ) Decrypt 작업 ( Red circle with number 4 inside, likely representing a notification or count indicator. ) 을 호출했음을 확인할 수 있습니다. Red circle with white number 3 inside, indicating a step or sequence number. AWS KMS 특정 KMS 키 () 로 데이터 키를 해독했습니다. Red circle with white letter B inside, representing a logo or icon.

참고

다음 예제 로그 항목에서 일부 설명선을 보려면 오른쪽으로 스크롤해야 할 수 있습니다.


{
  "eventVersion": "1.02",
  "userIdentity": {
    "type": "IAMUser",
    "principalId": "AIDACKCEVSQ6C2EXAMPLE",
    "arn": "arn:aws:iam::111122223333:role/cloudtrail-admin",
    "accountId": "111122223333",
    "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
    "userName": "cloudtrail-admin",
    "sessionContext": {"attributes": {
      "mfaAuthenticated": "false",
      "creationDate": "2015-11-11T20:48:04Z"
    }},
    "invokedBy": "signin.amazonaws.com"
  },
  "eventTime": "2015-11-11T21:20:52Z",
  "eventSource": "kms.amazonaws.com",
  "eventName": "Decrypt",
  "awsRegion": "us-west-2",
  "sourceIPAddress": "internal.amazonaws.com",
  "userAgent": "internal.amazonaws.com",
  "requestParameters": {
    "encryptionContext": {
      "aws:cloudtrail:arn": "arn:aws:cloudtrail:us-west-2:111122223333:trail/Default",
      "aws:s3:arn": "arn:aws:s3:::example-bucket-for-CT-logs/AWSLogs/111122223333/CloudTrail/us-west-2/2015/11/11/111122223333_CloudTrail_us-west-2_20151111T2115Z_7JREEBimdK8d2nC9.json.gz"
    }
  },
  "responseElements": null,
  "requestID": "16a0590a-88ba-11e5-b406-436f15c3ac01",
  "eventID": "9525bee7-5145-42b0-bed5-ab7196a16daa",
  "readOnly": true,
  "resources": [{
    "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "accountId": "111122223333"
  }],
  "eventType": "AwsApiCall",
  "recipientAccountId": "111122223333"
}

javascript가 브라우저에서 비활성화되거나 사용이 불가합니다.

AWS 설명서를 사용하려면 Javascript가 활성화되어야 합니다. 지침을 보려면 브라우저의 도움말 페이지를 참조하십시오.

문서 규칙

AWS 서비스의 AWS KMS 활용 방식

Amazon DynamoDB