대칭 키, 비대칭 키 및 다중 리전 키

KMS는 대칭 키와 비대칭 키를 모두 지원합니다.

• 대칭: 하나의 키로 암호화와 복호화를 모두 수행합니다.
• 비대칭: 공개 키와 개인 키로 이루어진 쌍을 사용합니다.

각 유형은 서로 다른 요구 사항에 적합하며, 올바른 유형을 선택하는 것은 시험에서 자주 다뤄지는 주제입니다.

대칭 키는 하나의 비밀 키(AES-256)를 암호화와 복호화에 모두 사용합니다.

• AWS에서 사용하는 기본 키 유형이며 가장 일반적입니다.
• 거의 모든 서비스 통합(S3, EBS, RDS)에서 대칭 키를 사용합니다.

키는 KMS를 벗어나지 않으므로 양쪽 모두 키를 공유하는 대신 KMS를 호출합니다.

비대칭 키에는 공유할 수 있는 공개 키와 KMS에 보관되는 개인 키가 있습니다.

암호화 및 복호화 또는 서명 및 검증을 지원합니다. AWS 외부의 주체가 공개 키로 데이터를 암호화해야 하거나 KMS에 액세스하지 않고 서명을 검증해야 할 때 사용합니다.

다음과 같은 경우 비대칭 키를 선택하십시오.

• 호출자가 공개 키만 보유한 AWS 외부에서 데이터를 암호화해야 하는 경우
• 진위를 입증하기 위해 디지털 서명이 필요한 경우

그 외에는 대칭 키가 더 간단하며 AWS 서비스 암호화의 기본 선택입니다.

각 KMS 키에는 생성 시 설정되는 키 사용 방식(암호화 및 복호화 또는 서명 및 검증)과 키 사양(알고리즘)이 있습니다.

서명 키로는 암호화할 수 없고 암호화 키로는 서명할 수 없습니다. 이러한 속성은 키가 생성된 후 변경할 수 없으므로 사용 목적을 미리 계획해야 합니다.

대칭 고객 관리형 키의 경우 KMS가 매년 기본 키 자료를 자동으로 교체할 수 있습니다.

• 키 ID와 별칭은 그대로 유지됩니다.
• 이전 데이터를 복호화할 수 있도록 이전 키 자료가 보존됩니다.

비대칭 키는 자동 교체를 지원하지 않습니다.

다중 리전 키는 기본 키와 다른 리전에 있는 복제 키로 구성되며, 동일한 키 ID와 키 자료를 공유합니다.

한 리전에서 암호화한 데이터를 다른 리전의 복제 키로 리전 간 KMS 호출 없이 복호화할 수 있습니다. 이는 글로벌 애플리케이션과 재해 복구를 지원합니다.

멀티 리전 키는 다음과 같은 상황에 적합합니다.

• 리전 간 재해 복구: 암호화된 백업을 두 번째 리전에서도 사용할 수 있어야 하는 경우입니다.
• 글로벌 테이블 또는 리전 간에 복제되는 데이터입니다.

한 리전에만 유지되는 데이터라면 일반 단일 리전 키가 더 간단합니다.

KMS를 사용하면 자체 키 자료(BYOK)를 대칭 키로 가져올 수 있습니다.

키 자료의 생성과 보관을 직접 제어할 수 있지만 자동 교체 기능은 사용할 수 없으며, 키 자료가 만료되면 다시 가져와야 합니다. AWS 외부에서 생성된 키를 요구하는 정책을 충족할 수 있습니다.

가장 엄격한 요구 사항에는 전용 CloudHSM 클러스터 또는 외부 HSM으로 KMS 키를 뒷받침하는 사용자 지정 키 저장소를 사용할 수 있습니다.

키 작업은 사용자가 제어하는 하드웨어에서 수행하면서도 익숙한 KMS API를 계속 사용할 수 있습니다. 이는 엄격한 규정 준수 의무가 있는 경우에 한해 사용합니다.

선택지를 요약하면 다음과 같습니다.

• 일상적인 AWS 암호화에는 대칭 키(기본값)를 사용합니다.
• 외부 암호화 또는 서명에는 비대칭 키를 사용합니다.
• 리전 간 요구 사항에는 멀티 리전 키를 사용합니다.

시나리오의 데이터 흐름에 맞는 키 유형을 선택하십시오.

적합한 키를 선택하십시오.

KMS 키 유형을 비교해 보았습니다.

• 대칭 키는 AWS의 기본값이며, 비대칭 키는 외부 암호화와 서명을 지원합니다.
• 멀티 리전 키는 재해 복구(DR)를 위해 리전 간에 키 자료를 공유합니다.
• 자동 교체는 대칭 키에 적용되며, BYOK와 사용자 지정 키 저장소는 엄격한 요구 사항을 충족합니다.