VPC의 데이터 보안 설정

IBM Cloud® Virtual Private Cloud 로 데이터를 안전하게 관리하려면 어떤 데이터가 저장되고 암호화되는지 이해해야 합니다. 또한 저장된 개인 데이터를 삭제하는 방법도 알고 있어야 합니다. 지원되는 키 관리 서비스(KMS)를 사용하면 자체 루트 키를 활용한 데이터 암호화를 사용할 수 있습니다.

Hyper Protect Crypto Services 는 더 이상 사용되지 않습니다. 고객은 2027년 3월 20일까지 기존 인스턴스를 사용할 수 있습니다. 자세한 내용은 ‘ IBM Cloud Hyper Protect Crypto Services 의 사용 중단 ’을 참조하십시오. 지속적인 보안을 위해 기존 암호화 키를 전용 Key Protect 인스턴스로 마이그레이션하는 것을 고려해 보십시오. 자세한 내용은 마이그레이션 가이드를 참조하십시오.

VPN for VPC는 VPN 게이트웨이, 연결 및 정책을 구성하는 데 필요한 요소 이외의 고객 데이터를 저장하지 않습니다. VPN 게이트웨이를 통해 전송되는 데이터는 IBM 에서 암호화되지 않습니다. 특정 VPN 및 정책 구성에 대한 데이터는 전송 및 저장 시 암호화됩니다. VPN 구성 데이터는 API 또는 콘솔을 통해 요청하면 삭제됩니다.

데이터가 VPC에 저장되고 암호화되는 방법

모든 블록 스토리지 볼륨은 기본적으로 IBM 관리 암호화로 암호화됩니다. IBM® 관리 키는 Consul에서 지원되고 IBM Cloud® 조작에 의해 유지보수되는 블록 스토리지 저장소에 생성되고 안전하게 저장됩니다.

보안과 제어 기능을 강화하기 위해, 자체 루트 키(고객 루트 키 또는 CRK라고도 함)를 사용하여 데이터를 보호할 수 있습니다. 이 기능을 일반적으로 BYOK(Bring Your Own Key)라고 합니다. 루트 키는 데이터를 보호하는 키를 암호화합니다. Key Protect 에 루트 키를 가져오거나, 키 관리 서비스에서 키를 생성하도록 할 수 있습니다.

Key Protect 는 서로 다른 보안 및 규정 준수 요구 사항을 충족하는 두 가지 배포 옵션을 제공합니다:

  • 표준 (멀티테넌트): FIPS 140-2 레벨 3 규정 준수 및 공유 HSM 인프라를 갖춘 비용 효율적인 솔루션입니다. IBM hSM 마스터 키를 관리합니다.
  • 전용 (단일 테넌트): FIPS 140-3 레벨 4 준수(인증을 위해 제출), 전용 HSM 파티션, 완벽한 워크로드 격리를 통해 보안을 강화합니다. IBM 관리자 액세스 권한이 없어도 자신만의 마스터 키를 소유하고 관리할 수 있습니다.

표준과 전용 중에서 선택하는 방법에 대한 자세한 내용은 표준 및 전용에 대한 정보 Key Protect 를 참조하세요.

KMS는 키를 저장하고 볼륨 및 사용자 정의 이미지 암호화 중에 키를 사용할 수 있도록 합니다. Key Protect 는 FIPS 140-2레벨 3준수를 제공합니다. 키 자료는 전송 중(전송 시) 및 저장 중(저장 시)에 보호됩니다.

고객 관리 암호화는 사용자 정의 이미지, 부트 볼륨 및 데이터 볼륨에 사용할 수 있습니다. 암호화된 사용자 정의 이미지에서 인스턴스가 프로비저닝되면 이미지의 루트 키를 사용하여 부트 볼륨이 암호화됩니다. 또한 다른 루트 키를 선택할 수도 있습니다. 데이터 볼륨은 가상 서버 인스턴스를 프로비저닝하거나 독립형 볼륨을 작성할 때 루트 키를 사용하여 암호화됩니다.

이미지와 볼륨은 여러 계층의 암호화 키로 데이터를 보호하는 봉투 암호화를데이터 암호화 키로 데이터를 암호화한 다음 완전히 관리 가능한 루트 키로 키를 암호화하는 프로세스입니다. 사용하여 암호화됩니다. 암호화 기술 및 키 계층 구조에 대한 자세한 내용은 VPC의 데이터 암호화 정보를 참조하세요.

VPN for VPC의 모든 상호작용은 암호화됩니다. 예를 들어, API를 사용하거나 콘솔을 통해 서비스와 상호작용하여 VPN 게이트웨이 및 VPN 연결을 구성할 때, 이러한 모든 상호작용은 종단 간 암호화됩니다. 마찬가지로, 사용자의 구성과 관련된 데이터 요소들은 전송 중 및 저장 시 모두 암호화됩니다. 개인 데이터 또는 민감한 데이터는 저장, 처리 또는 전송되지 않습니다. 저장 데이터는 암호화된 데이터베이스에 저장됩니다.

VPN for VPC가 프로비저닝되고 네트워크 연결이 작성된 후 네트워크를 통해 전송하도록 선택한 데이터의 암호화는 사용자의 책임입니다.

인스턴스 스토리지 데이터 격리 및 암호화

가상 서버 인스턴스에 연결된 인스턴스 스토리지 디스크는 다른 가상 서버와 공유할 수 없습니다. 인스턴스 스토리지 디스크는 향후 다른 가상 서버에서 액세스할 수 없습니다. 이 디스크는 인스턴스 스토리지를 요청한 가상 서버용으로, 1회용이며 한 번만 연결할 수 있습니다.

인스턴스 스토리지 데이터는 온디스크 암호화로 보안 설정됩니다. 인스턴스 스토리지에 사용되는 물리적 디스크는 강력한 AES-256 암호화 표준을 적용한 자체 암호화 방식입니다. 데이터는 인스턴스가 데이터에 액세스할 때 자동으로 복호화됩니다. 인스턴스가 종료되거나 삭제되면 기본 스토리지 공간이 지워지고 복구 불가능합니다. 이때 데이터는 복구할 수 없습니다.

데이터는 드라이브 레벨로 실제 매체에서 자동으로 암호화됩니다. 하지만 인스턴스 스토리지의 경우 고객 관리 키가 지원되지 않습니다. 민감한 데이터의 경우, 사용자는 리눅스( Linux® )용 LUKS나 Windows®용 BitLocker 와 같은 소프트웨어 기반 파일 시스템 암호화를 사용할 것을 강력히 권장합니다. 이 기술을 통해 사용자는 인스턴스 내에서 완전히 암호화할 수 있으며, 인스턴스와 물리적 드라이브 매체 간에 전송되는 민감한 데이터에 대한 추가적인 보호 기능을 제공할 수 있습니다. 일부 운영 체제에서는 FIPS 인증을 받은 암호화 알고리즘도 제공하며, 이 알고리즘을 사용할 수도 있습니다. Red Hat Enterprise Linux® 에서 암호화하는 방법의 예는 LUKS를 사용하여 블록 디바이스 암호화하기를 참조하세요. 각 디바이스를 암호화하는 방법에 대한 구체적인 내용은 운영 체제 설명서를 참조하세요.

VPC에서 민감한 데이터 보호

Key Protect ‘엔벨로프 암호화’라고 불리는 더 높은 수준의 보호 기능을 제공하며, 이는 하나의 암호화 키를 다른 암호화 키로 암호화하는 방식입니다. 이러한 다계층 접근 방식은 여러 개의 키로 데이터를 보호하고 루트 키에 대한 액세스를 본인만 제어할 수 있도록 도와줍니다.

IBM Cloud® 내 KMS 인스턴스에 저장된 루트 키에 대한 액세스 권한은 IBM Cloud® Identity and Access Management (IAM)을 사용하여 관리할 수 있습니다. 키를 사용하기 위해 서비스에 대한 액세스를 부여합니다. 또한, 예를 들어 키가 유출되었을 가능성이 있다고 의심되는 경우 등에는 언제든지 접근 권한을 취소할 수 있습니다. 암호화 키 관리에 대한 자세한 내용은 데이터 암호화 관리하기를 참조하세요.

VPN for VPC: 고객이 제공한 사전 공유 키는 데이터베이스에 저장되기 전에 암호화됩니다. 다른 모든 데이터 VPN 게이트웨이 및 VPN 정책 구성은 데이터베이스 레벨에서 저장 시 암호화됩니다.

고객 관리 키 정보

Key Protect 를 사용하면 루트 키를 생성, 가져오기 및 관리할 수 있습니다. Key Protect 는 다음 두 가지 배포 옵션으로 제공됩니다:

  • 표준: FIPS 140-2 레벨 3을 준수하는 멀티테넌트 서비스로, 고객이 관리하는 암호화가 필요한 대부분의 워크로드에 적합합니다.
  • 전용: FIPS 140-3 레벨 4를 준수하는 단일 테넌트 서비스(인증을 위해 제출됨)로, IBM 관리자 액세스 없이 암호화 키를 완벽하게 제어할 수 있습니다.

키에 액세스 정책을 지정하거나 사용자 또는 서비스 ID를 키에 지정하거나 특정 서비스에만 키 액세스 권한을 부여할 수 있습니다. 가격 정보는 Key Protect 의 가격을 참조하세요.

루트 키를 회전하여 보안을 강화할 수 있습니다. 자세한 정보는 VPC 리소스에 대한 키 순환을 참조하십시오.

고객 관리 암호화를 사용하도록 선택할 때 지역 및 교차 지역의 영향을 고려하십시오. 자세한 내용은 지역 및 지역 간 고려 사항을 참조하세요.

고객 관리 암호화 볼륨 및 이미지 정보

고객 관리 암호화를 사용하여 클라우드에서 암호화된 리소스를 보호하도록 루트 키를 프로비저닝합니다. 루트 키는 데이터를 보호하는 암호화 키를 암호화하는 키 랩핑 키 역할을 수행합니다. 기존 루트 키를 가져올지 아니면 지원되는 KMS로 사용자를 위해 루트 키를 작성할지를 결정합니다.

인스턴스의 호스트 하이퍼바이저에서 생성된 고유한 데이터 암호화 키가 Block Storage 볼륨에 할당됩니다. 각 볼륨의 데이터 암호화 키는 고유한 KMS 생성 LUKS 비밀번호 문구를 사용하여 암호화된 후 루트 키로 암호화되고 KMS에 저장됩니다.

사용자 지정 이미지는 QEMU를 사용하여 직접 생성한 LUKS 암호로 암호화됩니다. 이미지가 암호화되면 KMS에 저장된 CRK를 사용하여 비밀번호 문구를 랩핑합니다. 자세한 정보는 암호화된 사용자 정의 이미지를 참조하십시오.

VPC용 고객 관리 키 사용

고객 관리 암호화를 사용하여 Block Storage 부트 및 데이터 볼륨을 작성하려면 다음 프로시저를 참조하십시오.

Key Protect 전용을 선택하는 경우, 먼저 CLI를 사용하여 인스턴스를 초기화해야만 VPC 리소스를 암호화하는 데 사용할 수 있습니다. 자세한 내용은 전용 초기화하기 Key Protect 를 참조하세요.

VPC용 고객 관리 키로 작업

데이터 암호화 관리에 대한 자세한 내용은 ‘데이터 암호화 관리’ 및 루트 키에 대한 서비스 권한을 제거하여 액세스를 일시적으로 취소하는 방법에 대한 섹션을 참조하십시오.

IBM Cloud 외부에 있는 고객의 워크로드와 IBM Cloud 내부에 있는 워크로드 간의 링크 암호화는 고객의 책임입니다. 보안 및 규제 준수의 _암호화_를 참조하십시오.

VPC의 데이터 삭제

키 삭제

루트 키를 삭제하면 해당 키로 보호되는 모든 리소스를 사용할 수 없게 됩니다. 가져온 루트 키를 복원하는 데 30일의 유예 기간이 있습니다. 자세한 내용은 데이터 암호화 관리하기를 참조하세요.

Block Storage 볼륨 삭제

Block Storage 볼륨 삭제에 대한 자세한 정보는 Block Storage for VPC 의 FAQ를 참조하십시오.

사용자 지정 이미지 삭제하기

IBM Cloud VPC에서 사용자 정의 이미지 삭제에 대한 자세한 정보는 사용자 정의 이미지 관리 를 참조하십시오. 사용자 정의 이미지로 프로비저닝한 가상 서버 인스턴스에 유의하십시오. 특정 사용자 정의 이미지와 연관된 모든 데이터를 제거하려면 연관된 부트 볼륨과 함께 사용자 정의 이미지에서 프로비저닝된 인스턴스도 삭제해야 합니다.

개인 카탈로그 오퍼링의 일부인 사용자 지정 IBM Cloud VPC 이미지를 삭제하려면 먼저 해당 이미지를 개인 카탈로그 오퍼링의 연관된 버전에서 제거해야 합니다. 그런 다음 사용자 지정 이미지를 에서 삭제할 수 IBM Cloud VPC 있습니다. 개인용 카탈로그에서 사용자 정의 이미지를 삭제하려면 개인용 제품 더 이상 사용되지 않음 을 참조하십시오.

VPC 인스턴스 삭제

VPC 및 관련 리소스를 삭제하는 방법에 대한 자세한 내용은 ‘VPC 삭제’를 참조하십시오.

VPC 데이터 보존 정책은 서비스를 삭제한 후 데이터가 저장되는 기간을 설명합니다. 데이터 보존 정책은 IBM Cloud® Virtual Private Cloud 이용 약관 및 주의사항에서 찾을 수 있는 IBM Cloud 서비스 설명에 포함되어 있습니다.

VPN 및 VPN 정책 구성은 API 또는 사용자 인터페이스를 통해 요청 시 삭제됩니다.

VPC의 삭제된 데이터 복원

삭제 후 30일 이내에 KMS로 가져온 삭제된 루트 키를 복원할 수 있습니다. 자세한 정보는 삭제된 루트 키 복원을 참조하십시오.

VPN for VPC는 삭제된 데이터의 복원을 지원하지 않습니다.

모든 VPC 데이터 삭제

IBM Cloud VPC가 저장하는 모든 지속적 데이터를 삭제하려면 다음 옵션 중 하나를 선택하십시오.

개인 정보 및 민감한 정보를 제거하려면 모든 IBM Cloud VPC리소스도 삭제해야 합니다. 계속하기 전에 데이터를 백업해야 합니다.

  • IBM Cloud 지원 케이스를 여십시오. IBM Cloud VPC에서 개인 정보 및 민감한 정보를 제거하려면 IBM 지원 센터에 문의하십시오. 자세한 정보는 지원 센터 사용을 참조하십시오.
  • IBM Cloud 구독을 종료하십시오. IBM Cloud 구독을 종료하면 IBM Cloud VPC는 작성한 모든 서비스 리소스를 삭제합니다. 여기에는 해당 리소스와 연관되어 있는 모든 지속적 데이터가 포함됩니다.