고성능 단일 가용 영역(AZ) S3 스토리지 클래스인 Amazon S3 Express One Zone은 이제 AWS Key Management Service(KMS) 키 (SSE-KMS)를 사용한 서버 측 암호화를 지원합니다. S3 Express One Zone은 기본적으로 Amazon S3 관리형 키(SSE-S3)를 사용하여 S3 디렉터리 버킷에 저장된 모든 객체를 이미 암호화합니다. 오늘부터 AWS KMS 고객 관리형 키를 사용하여 성능에 영향을 주지 않고 저장 데이터를 암호화할 수 있습니다. 이 새로운 암호화 기능은 S3 Express One Zone을 사용할 때 규정 준수 및 규제 요구 사항을 충족할 수 있는 추가 옵션을 제공합니다. S3 Express One Zone은 가장 자주 액세스하는 데이터와 지연 시간에 민감한 애플리케이션에 대해 일관된 10밀리초 이하의 데이터 액세스를 제공하도록 설계되었습니다.
S3 디렉터리 버킷을 사용하면 SSE-KMS 암호화에 버킷당 하나의 고객 관리형 키만 지정할 수 있습니다. 고객 관리형 키를 추가한 후에는 새 키를 사용하도록 편집할 수 없습니다. 반면, S3 범용 버킷의 경우 버킷의 기본 암호화 구성을 변경하거나 S3 PUT 요청 중에 여러 KMS 키를 사용할 수 있습니다. SSE-KMS를 S3 Express One Zone과 함께 사용하는 경우 S3 버킷 키는 항상 활성화됩니다. S3 버킷 키는 무료이며 AWS KMS에 대한 요청 수를 최대 99% 줄여 성능과 비용을 모두 최적화합니다.
Amazon S3 Express One Zone과 함께 SSE-KMS 사용
이 새로운 기능을 실제로 보여드리기 위해 S3 디렉터리 버킷을 생성하고 apne1-az4를 가용 영역으로 사용하는 단계에 따라 먼저 Amazon S3 콘솔에서 S3 디렉터리 버킷을 생성합니다 기본 이름에 s3express-kms를 입력하면 가용 영역 ID가 포함된 접미사가 자동으로 추가되어 최종 이름이 생성됩니다. 그런 다음 확인란을 선택하여 데이터가 단일 가용 영역에 저장되었음을 확인한 후 버킷 생성을 선택합니다.
이제 AWS Command Line Interface(AWS CLI)를 사용하여 방금 생성한 버킷에 암호화를 설정하는 방법을 살펴보겠습니다.
AWS CLI를 통해 S3 Express One Zone과 함께 SSE-KMS를 사용하려면 다음 정책을 준수하는 AWS Identity and Access Management(IAM) 사용자 또는 역할이 필요합니다. 이 정책은 암호화된 파일을 S3 디렉터리 버킷에 업로드하고 다운로드하는 데 필요한 CreateSession API 작업을 허용합니다.
PutBucketEncryption API를 사용하여 기본 버킷 암호화를 SSE-KMS로 설정하겠습니다. 다음은 AWS CLI의 예입니다.
aws s3api put-bucket-encryption
–bucket s3express-kms–apne1-az4–x-s3
–server-side-encryption-configuration
‘{“Rules”: [{“ApplyServerSideEncryptionByDefault”:
{“SSEAlgorithm”: “aws:kms”,
“KMSMasterKeyID”: “1234abcd-12ab-34cd-56ef-1234567890ab”
},
“BucketKeyEnabled”:true}]}’
이 S3 디렉터리 버킷에 업로드하는 모든 새 객체는 AWS KMS 키를 사용하여 자동으로 암호화됩니다. PutObject 명령을 사용하여 S3 디렉터리 버킷에 confidential-doc.txt라는 새 파일을 업로드합니다
이전 명령이 성공하면 다음과 같은 결과가 출력됩니다.
HeadObject 명령으로 객체의 속성을 확인하면 이전에 생성한 키로 SSE-KMS를 사용하여 암호화된 것을 볼 수 있습니다.
다음 출력이 반환됩니다.
GetObject를 사용하여 암호화된 객체를 다운로드합니다.
내 세션에 필요한 권한이 있으므로 객체가 자동으로 다운로드되고 복호화됩니다.
이 두 번째 테스트에서는 다른 IAM 사용자를 사용합니다. 이 IAM 사용자는 객체를 다운로드하는 데 필요한 KMS 키 권한이 부여되지 않은 정책을 사용합니다. 이 시도는 AccessDenied 오류와 함께 실패하며, 이는 SSE-KMS 암호화가 의도한 대로 작동하고 있음을 나타냅니다.
이 데모에서는 SSE-KMS가 S3 Express One Zone과 원활하게 작동하여 인증된 사용자에게 사용 편의성을 유지하면서 추가 보안 계층을 제공하는 방법을 보여줍니다.
알아야 할 사항
시작하기 – AWS CLI 또는 AWS SDK를 사용하여 S3 Express One Zone에 SSE-KMS를 활성화할 수 있습니다. S3 디렉터리 버킷의 기본 암호화 구성을 SSE-KMS로 설정하고 AWS KMS 키를 지정합니다. 수명 기간 동안 S3 디렉터리 버킷당 하나의 고객 관리형 키만 사용할 수 있다는 점을 기억하세요.
리전 – 고객 관리형 키를 사용하는 SSE-KMS에 대한 S3 Express One Zone 지원은 현재 S3 Express One Zone을 사용할 수 있는 모든 AWS 리전에서 제공됩니다.
성능 – SSE-KMS를 S3 Express One Zone과 함께 사용해도 요청 지연 시간에는 영향을 주지 않습니다. 10밀리초 미만으로 데이터에 지속적으로 액세스할 수 있습니다.
요금 – 암호화 및 복호화에 사용되는 데이터 키를 생성하고 검색하는 데 발생한 AWS KMS 요금을 지불해야 합니다. 자세한 내용은 AWS KMS 요금 페이지를 참조하세요. 또한 SSE-KMS를 S3 Express One Zone과 함께 사용하는 경우 CopyObject 및 UploadPartCopy를 제외한 모든 데이터 플레인 작업에 대해 S3 버킷 키가 기본적으로 활성화되며 이 키는 비활성화할 수 없습니다. 이를 통해 AWS KMS에 대한 요청 수가 최대 99% 감소하여 성능과 비용을 모두 최적화합니다.
AWS CloudTrail 통합– AWS CloudTrail을 사용하여 S3 Express One Zone 객체에서 SSE-KMS 작업을 감사할 수 있습니다. 이에 대한 자세한 내용은 이전 블로그 게시물에서 확인하세요.
– Eli.
2024년 9월 19일 업데이트 – 콘솔 대신 기존 버킷의 기본 암호화를 구성하도록 CLI 예제를 업데이트했습니다.