외부 키 스토어에서 KMS 키 사용

외부 키 스토어에 대칭 암호화 KMS 키를 생성한 후 다음 암호화 작업에 사용할 수 있습니다.

• 암호화

• Decrypt

• GenerateDataKey

• GenerateDataKeyWithoutPlaintext

• ReEncrypt

비대칭 데이터 키 쌍을 생성하는 대칭 암호화 작업은 사용자 지정 키 저장소에서 지원되지 않습니다. GenerateDataKeyPairGenerateDataKeyPairWithoutPlaintext

암호화 컨텍스트는 외부 키 스토어에서 KMS 키를 사용하는 모든 암호화 작업에 지원됩니다. 항상 그렇듯이 암호화 컨텍스트를 사용하는 것이 AWS KMS에서 권장하는 보안 모범 사례입니다.

요청에서 KMS 키를 사용하는 경우 키 ID, 키 ARN, 별칭 또는 별칭 ARN으로 KMS 키를 식별합니다. 외부 키 스토어를 지정할 필요가 없습니다. 응답에는 모든 비대칭 암호화 KMS 키에서 반환된 동일한 필드가 포함되어 있습니다. 그러나 외부 키 스토어에서 KMS 키를 사용하면 외부 키 관리자가 KMS 키와 연결된 외부 키를 사용하여 암호화 및 복호화 작업을 수행합니다.

외부 키 스토어의 KMS 키로 암호화된 사이퍼텍스트가 표준 KMS 키로 암호화된 사이퍼텍스트 이상으로 안전하도록 AWS KMS는 이중 암호화를 사용합니다. 데이터는 먼저 AWS KMS 키 구성 요소를 사용하여 AWS KMS에서 암호화됩니다. 그런 다음 KMS 키의 외부 키를 사용하여 외부 키 관리자에 의해 암호화됩니다. 이중 암호화된 암호화 텍스트를 복호화하기 위해 먼저 KMS 키의 외부 키를 사용하여 외부 키 관리자에 의해 사이퍼텍스트가 복호화됩니다. 그런 다음 KMS 키의 AWS KMS 키 구성 요소를 사용하여 AWS KMS에서 복호화됩니다.

이것이 가능하려면 다음 조건이 충족되어야 합니다.

• KMS 키의 키 상태가 Enabled여야 합니다. 키 상태를 찾으려면 고객 관리 키의 상태 필드, AWS KMS콘솔 또는 응답의 KeyState 필드를 참조하십시오. DescribeKey

• KMS 키를 호스팅하는 외부 키 스토어는 외부 키 스토어 프록시에 연결되어야 합니다. 즉, 외부 키 스토어의 연결 상태가 CONNECTED여야 합니다.

  AWS KMS콘솔의 외부 키 스토어 페이지 또는 DescribeCustomKeyStores응답에서 연결 상태를 볼 수 있습니다. 외부 키 스토어의 연결 상태는 AWS KMS 콘솔의 KMS 키에 대한 세부 정보 페이지에도 표시됩니다. 세부 정보 페이지에서 Cryptographic configuration(암호화 구성) 탭을 선택하고 Custom key store(사용자 지정 키 스토어) 섹션의 Connection state(연결 상태) 필드를 봅니다.

  연결 상태가 DISCONNECTED면 먼저 연결해야 합니다. 연결 상태가 FAILED면 문제를 해결하고 외부 키 스토어를 연결 해제한 다음 연결해야 합니다. 지침은 외부 키 스토어 연결 및 연결 해제 섹션을 참조하세요.

• 외부 키 스토어 프록시는 외부 키를 찾을 수 있어야 합니다.

• 외부 키가 활성화되고 암호화 및 복호화를 수행해야 합니다.

  외부 키의 상태는 KMS 키 활성화 및 비활성화를 포함하여 KMS 키의 키 상태 변경과 독립적이며 영향을 받지 않습니다. 마찬가지로 외부 키를 비활성화하거나 삭제해도 KMS 키의 키 상태는 변경되지 않지만 연결된 KMS 키를 사용하는 암호화 작업은 실패합니다.

이러한 조건들이 충족되지 않으면 암호화 작업이 실패하고 AWS KMS가 KMSInvalidStateException 예외를 반환합니다. 외부 키 스토어를 다시 연결하거나 외부 키 관리자 도구를 사용하여 외부 키를 재구성 또는 복구해야 할 수 있습니다. 추가적인 도움말은 외부 키 스토어 문제 해결 섹션을 참조하십시오.

외부 키 스토어에서 KMS 키를 사용할 때는 각 외부 키 스토어의 KMS 키가 암호화 작업에 대해 사용자 지정 키 스토어 요청 할당량을 공유한다는 점에 유의하세요. 할당량을 초과하는 경우 AWS KMS는 ThrottlingException을 반환합니다. 사용자 지정 키 스토어 요청 할당량에 대한 자세한 내용은 사용자 지정 키 스토어 요청 할당량 섹션을 참조하세요.