SysOps 시험과 관련해 KMS에
관해 추가로 알아둘
사항이 있습니다
첫 번째로 EBS 볼륨이
사용하는 암호 키는 바꿀 수 없습니다
바꾸고 싶다면 EBS 스냅샷을 만들어야
합니다 그런 다음 새 EBS 볼륨을 만들어야 합니다
거기서 새로운 KMS 키를 지정해야 합니다
우리가 지금까지 본 것과 아주 비슷합니다
이미 암호화된 EBS 볼륨에서
스냅샷을 만들 겁니다 동일한 CMK가
사용되는 것입니다
그런데 새 볼륨을 생성하면 새
CMK로 암호를 해독하고 다시 암호화할 수 있습니다
KMS 키를 한 볼륨에서 다른 볼륨으로
바꾸는 방법입니다
두 번째는 계정 간에 암호화된
KMS 스냅샷 공유하는 것입다
그러기 위해
대상 계정과 공유해야 합니다
또한 키 정책을 만들어 대상 계정이
스냅샷에 접속할 수 있게 만들어야 합니다
이를 실행하는 방법입니다
CMK에 키 정책을 생성해 거기에 지정된
다른 계정을 허용하고 암호 해독
연산 등을 할 수 있습니다
따라서 우리가 RDS DB 스냅샷을 공유할
때 암호화되어 있습다
CMK가 액세스 가능하기 때문에 다른 계정도 액세스할 수 있습니다
따라서 암호화된 스냅샷으로부터 다른 계정으로
DB 인스턴스를 만들 수 있습니다
아직 못 본 것은 KMS 키 삭제입니다
CMK를 삭제하도록 예약할 수 있습니다
그런 다음 7일에서 30일 사이에
대기 기간이 있습니다
이것은 여러분이 삭제를 취소하고 싶을 경우를 위한 것입니다
나중에 CMK가 필요하다는 걸 깨달을 수 있기 때문입니다
그래서 삭제가 되면 첫 번째
상태는 대기 기간으로
삭제되기를 보류하게 되고
그 대기 기간에 CMK는 어떤
암호화 연산에도 사용할 수 없습니다
즉, Amazon S3에 CMK로 KMS 암호화된
객체가 있다면 실패하게 됩니다
이 부분은 시험에 꼭 나올 것입니다
열쇠가 교체되도록 계획되어 있다면
이것이 발생하지 않을 것입니다
나중에 이 CMK를
사용할 예정이거나
사용하는 중이라는 것을 알게 되면
키 삭제를 취소할 수 있습니다
따라서 확실하지 않다면 삭제하는 대신에
항상 키를 먼저 비활성화 시키는 것이 중요합니다
신기한 자동화 기능이 있는데
삭제된 후의 상태를 파악하는 것으로
열쇠는 아직 사용 중인지 알 수 있습니다
이를 위해 키를
삭제하고
삭제 보류 상태로 가면
그 위에 CloudTrail을 설정할 수 있습니다
예를 들어 사용자가
키에 대해 암호화 작업을 사용하고자 한다면
예를 들어 암호 해독이나 암호화 작업이 있습니다
그러면 API 호출이 거부됩니다
이 API 호출을 CloudTrail에 로그합니다
CloudTrail이 로그를 CloudWatch Logs로
지표 필터를 설정할 수 있습니다 이를 통해 키워드를 찾을 수 있습니다
"the key is pending deletion"을 찾을 수 있습니다
이 지표 필터가
1회 이상의 발생 빈도를 나타낸다면
CloudWatch 알람을 설정해 트리거할 수 있습니다 예를 들어 이메일
알림으로 SMS 알림을 보낼 수 있습니다
이 전체 스케줄과 함께 발생하게 될 일은
CMK를 삭제하고 이 솔루션을 구현할 때마다 누군가
CMK를 사용하려 할 경우 경고를
받게 됩니다 그런 다음 드릴 다운하면 이 CMK가
삭제될 수 없다는 걸 이해할 수 있습니다
여전히 다른 사람이 사용하고 있기 때문입니다
멋진 형식의 자동화입니다
마음에 드셨으면
좋겠습니다
다음 강의에서 뵙겠습니다