암호화 관리
기본적으로 Event Notifications 의 고객 데이터는 무작위로 생성된 키를 사용하여 저장 시 암호화됩니다. 이 기본 암호화 모델이 저장 시 보안을 제공하지만 상위 레벨의 제어가 필요할 수 있습니다. 이 유스 케이스의 경우 Event Notifications는 다음 IBM Cloud® Key Management Services를 사용하여 고객 관리 암호화를 지원합니다.
- IBM® Key Protect for IBM Cloud® (Bring Your Own Key - BYOK)는 IBM Cloud 서비스에서 앱에 대한 암호화된 키를 프로비저닝하는 데 도움이 됩니다. 사용자는 키의 라이프사이클을 관리하면서, 정보 도난을 막는 FIPS 140-2 레벨 3 인증 클라우드 기반 하드웨어 보안 모듈(HSM)로 키를 안심하고 보호할 수 있습니다. 시작하기 튜토리얼에서 Key Protect 사용에 대한 자세한 정보를 찾을 수 있습니다.
- Hyper Protect Crypto Services(Keep Your Own Key - KYOK)는 사용자가 제어하는 단일 테넌트인 데디케이티드 HSM입니다. 이 서비스는 업계의 클라우드 제공자가 제공하는 것 중 가장 보안 수준이 높은 FIPS 140-2 레벨 4 인증 하드웨어를 기반으로 구축됩니다. 시작하기 튜토리얼에서 Hyper Protect Crypto Services 사용에 대한 자세한 정보를 찾을 수 있습니다.
이 서비스는 암호화를 제어하기 위해 고객 제공 키를 사용할 수 있도록 합니다. 이 키를 사용 안함으로 설정하거나 삭제하면 더 이상 암호를 해독할 수 없기 때문에 서비스에서 저장한 데이터에 대한 추가 액세스를 방지할 수 있습니다.
다음 기능이 필요한 경우 고객 관리 키 사용을 고려하십시오.
- 나만의 키로 제어되는 미사용 데이터 암호화.
- 저장된 데이터의 수명 주기를 명시적으로 제어.
고객 관리 키는 Standard 요금제에서만 사용할 수 있습니다.
고객 관리 키 삭제는 복구 불가능하며 삭제하면 Event Notifications 인스턴스에 저장된 데이터가 유실될 수 있습니다.
고객 관리 암호화에서 다루지 않는 사항
고객 관리 암호화 기능을 선택한 경우, 사용자는 고객 데이터만 이 암호화에 적용된다는 점을 유의해야 합니다. Event Notifications 서비스 이용과 관련된 기타 미사용 데이터는 암호화합니다.
클라이언트 메타데이터에 기밀 정보를 사용하지 않는 것이 좋습니다.
고객 관리 암호화 작동 방식
Event Notifications는 엔벨로프 암호화라는 개념을 사용하여 고객 관리 키를 구현합니다.
엔벨로프 암호화는 하나의 암호화 키로 다른 암호화 키를 암호화하는 것입니다. 실제 데이터를 암호화하는 데 사용되는 키를 DEK(Data Encryption Key)라고 합니다. DEK 자체는 결코 저장되지 않지만, 대신에 랩핑된 DEK를 작성하도록 키 암호화 키(KEK)로 알려진 두 번째 키로 랩핑됩니다.
데이터를 복호화하려면 먼저 랩핑된 DEK를 랩핑 해제하여 DEK를 가져와야 합니다. 이 프로세스는 KEK에 액세스해야만 가능하며, 이 경우 루트 키는 다음 중 하나에 저장되어 있습니다 Key Protect 또는 Hyper Protect Crypto Services.
KEK를 소유합니다. KEK는 Hyper Protect Crypto Services 또는 Key Protect 서비스에서 루트 키로 작성합니다. Event Notifications 서비스는 결코 루트(KEK) 키를 확인하지 않습니다. DEK를 랩핑 및 랩핑 해제하는 스토리지, 관리, 사용은 전체가 키 관리 서비스 내에서 수행됩니다. 키를 사용 안함으로 설정하거나 삭제하는 경우 데이터는 더 이상 암호 해독할 수 없습니다.
Event Notifications에 대한 고객 관리 키 사용
다음 단계를 완료하여 고객 관리 키를 사용하도록 Event Notifications 인스턴스를 프로비저닝하십시오.
-
Key Protect 또는 Hyper Protect Crypto Services의 인스턴스를 프로비저닝하십시오.
-
Event Notifications 서비스가 독자로서 키 관리 서비스 인스턴스에 액세스할 수 있도록 권한 정책을 작성하십시오. 자세한 내용은 권한을 사용하여 서비스 간 액세스 권한을 부여하는 방법을 참조하세요.
-
루트 키를 작성하거나 키 관리 서비스 인스턴스에 가져오십시오.
-
키 관리 서비스 인스턴스 GUI에서 CRN 보기 옵션을 사용하여 키의 클라우드 리소스 이름(CRN)을 검색하십시오.
-
Event Notifications의 인스턴스를 프로비저닝하십시오. 이 기능은 스탠다드 요금제에서만 지원됩니다.
사용자 관리 키 사용
고객 관리 키를 사용으로 설정하면 클러스터가 정상적으로 작동하지만 다음 추가 기능이 사용됩니다.
데이터에 대한 액세스 방지
일시적으로 액세스를 방지하기 위해 루트 키를 사용 안함으로 설정할 수 있습니다. 그러면 Event Notifications가 더 이상 키에 액세스할 수 없으므로 데이터에 더 이상 액세스할 수 없습니다.
키를 삭제하여 액세스를 영구적으로 제거할 수 있습니다. 하지만 이 조작은 복구 불가능하므로 매우 주의해야 합니다. Event Notifications 인스턴스에 저장된 모든 데이터에 액세스할 수 없게 됩니다. 이 데이터를 복구할 방법은 없습니다.
두 경우 모두 Event Notifications 인스턴스는 종료되며 더 이상 연결을 승인하거나 처리하지 않습니다. 클라우드 로그 이벤트가 생성되어 작업을 보고합니다. 자세한 정보는 Event Notifications 이벤트를 참조하십시오.
인증은 Event Notifications 과 키 관리 서비스 인스턴스 간에 항상 유지되어야 합니다. 이 권한을 제거하면 Event Notifications 에서 향후 데이터에 액세스할 수 없게 되지만 이미 사용 중인 데이터는 일정 기간 동안 계속 사용할 수 있습니다.
IBM Cloud 콘솔 또는 CLI를 사용하여 프로비저닝을 해제할 때까지 Event Notifications 인스턴스에 대한 요금이 청구됩니다. 이 비용은 데이터에 액세스하지 못하도록 선택한 경우에도 적용됩니다.
데이터에 대한 액세스 복원
키가 삭제되지 않은 경우에만 액세스를 복원할 수 있습니다. 액세스를 복원하려면 루트 키를 다시 사용으로 설정하십시오. 짧은 시간 동안 초기화한 후 Event Notifications 인스턴스가 다시 시작되고 연결 승인을 다시 시작합니다. 모든 데이터는 인스턴스에 구성된 일반 보존 한계에 따라 보존됩니다.
클라우드 로그 이벤트가 생성되어 작업을 보고합니다. 자세한 정보는 Activity Tracker 이벤트를 참조하십시오.
키 순환
Key Protect 및 Hyper Protect Crypto Services는 요청 시 또는 스케줄에 따라 루트 키의 순환을 지원합니다. 이 경우 Event Notifications 는 고객 관리 암호화 작동 방식에 설명된 대로 DEK를 다시 래핑하여 새 키를 채택합니다.
클라우드 로그 이벤트가 생성되어 작업을 보고합니다. 자세한 정보는 Activity Tracker 이벤트를 참조하십시오.
고객 관리 암호화 사용 안함
고객 관리 암호화를 사용으로 설정한 후에는 사용 안함으로 설정할 수 없습니다. 대신 서비스 인스턴스를 삭제하고 새 인스턴스를 작성해야 합니다.