[AWS SCS] KMS Key 정책 평가 프로세스

KMS 키 인증 프로세스 완벽 이해하기

AWS KMS(Key Management Service)는 데이터를 암호화하고 키를 안전하게 관리할 수 있도록 도와주는 서비스입니다. KMS 키 인증 프로세스는 키 사용을 승인하기 위한 여러 조건들을 평가하는 과정을 포함하고 있습니다. 이번 글에서는 KMS 키 인증 프로세스와 이를 평가하는 조건들을 상세히 설명합니다. 이 과정은 복잡할 수 있지만, 각 단계별로 중요한 개념을 이해하면 쉽게 파악할 수 있습니다.

1. KMS 키 인증 프로세스 개요

KMS 키 사용 권한을 평가하는 과정은 여러 단계를 거칩니다. 각 단계에서 조건을 만족해야만 요청이 허용됩니다. 이 과정은 주로 DENY 문, SCP(서비스 제어 정책), VPC 엔드포인트 정책, 그리고 KMS 키 정책, Grant, IAM 정책 등을 포함합니다.

기본 흐름

1. DENY 문 확인: KMS 키 정책에 DENY 문이 포함되어 있으면 요청은 즉시 거부됩니다.
2. SCP 확인: 조직의 서비스 제어 정책(SCP)이 요청을 허용하는지 확인합니다. 허용되지 않으면 요청은 거부됩니다.
3. VPC 엔드포인트 정책 확인: KMS에 대한 액세스가 VPC 엔드포인트를 통해 이루어진다면, 해당 정책이 액세스를 허용하는지 확인합니다.
4. KMS 키 정책: KMS 키 정책이 호출자가 작업을 수행할 수 있도록 허용하는지 확인합니다. 만약 허용하지 않는다면, Grant(그랜트)가 존재하는지 확인합니다.
5. Grant 확인: KMS 키 정책이 허용하지 않는 경우, Grant가 호출자가 작업을 수행할 수 있도록 허용할 수 있습니다.
6. IAM 정책: 호출자의 IAM 정책이 해당 작업을 수행할 수 있도록 허용하는지 확인합니다.
7. 교차 계정 액세스: 호출자가 다른 계정에 있을 경우, Grant와 IAM 정책이 서로 일치하는지 확인하여 교차 계정 액세스를 허용합니다.

---

2. KMS 키 정책과 Grant

KMS 키 정책은 기본적으로 키에 대한 액세스를 제어합니다. 그러나 Grant는 특정 사용자 또는 서비스가 KMS 키에 대해 수행할 수 있는 작업을 더 세밀하게 정의할 수 있도록 도와줍니다. 예를 들어, AWS EC2나 RDS 서비스는 KMS 키를 사용하여 EBS 볼륨을 암호화하거나 RDS 데이터베이스를 암호화하는 데 필요한 권한을 Grant를 통해 부여받습니다.

Grant는 특정 IAM 사용자 또는 서비스가 특정 작업을 수행할 수 있게 허용하며, 기본적으로 KMS 키 정책이 이를 제어합니다.

---

3. KMS 키 인증 프로세스 단계별 설명

동일 계정 내에서의 KMS 키 액세스

1. DENY 문 확인: KMS 키 정책에 DENY 문이 있으면 액세스가 거부됩니다.
2. 키 정책 확인: 기본 KMS 키 정책에 따라 키 정책이 호출자를 허용하는지 확인합니다. 기본 KMS 키 정책은 IAM 정책을 통해 액세스를 제어할 수 있도록 허용합니다.
3. IAM 정책 확인: IAM 정책이 호출자가 수행할 작업을 허용하는지 확인합니다. 허용되면 키가 동일 계정 내에 있기 때문에 작업을 수행할 수 있습니다.

교차 계정 액세스

1. DENY 문 확인: 교차 계정 요청도 마찬가지로 DENY 문이 있으면 거부됩니다.
2. 키 정책 확인: 기본 KMS 키 정책이 호출자의 계정에서 IAM 정책을 통해 키 액세스를 제어할 수 있도록 허용하는지 확인합니다.
3. IAM 정책 확인: 호출자의 계정에서 IAM 정책이 작업을 수행할 수 있도록 허용하는지 확인합니다. 교차 계정 액세스의 경우, 키가 다른 계정에 있을 때 Grant가 없다면 IAM 정책에서 권한을 부여해야 합니다.

---

4. KMS 키 인증 프로세스 이해를 위한 예시

예시 1: 동일 계정 내에서 Alice의 API 호출

• 기본 KMS 키 정책에 따라 Alice는 IAM 정책에서 적절한 권한을 가지고 있다면, 키가 동일 계정 내에 있기 때문에 작업을 수행할 수 있습니다.

예시 2: 교차 계정 액세스

• Account 2의 KMS 키 정책이 Account 1의 모든 사용자에게 허용하고, Account 1에서 IAM 정책이 액세스를 허용하는 경우, 교차 계정에서도 액세스가 허용됩니다.

---

5. 핵심 개념 정리

• KMS 키 정책과 Grant는 KMS 키에 대한 액세스를 제어하는 주요 도구입니다.
• IAM 정책은 호출자가 특정 작업을 수행할 수 있도록 허용하는 역할을 합니다.
• 교차 계정 액세스는 키가 다른 계정에 있을 경우, 적절한 IAM 정책과 Grant가 필요합니다.
• SCP와 VPC 엔드포인트 정책은 KMS에 대한 액세스를 제한하거나 허용하는 역할을 합니다.

---

KMS 키 인증 프로세스를 이해하는 것은 AWS에서 보안 정책을 설정하는 데 있어 매우 중요합니다. 이 프로세스를 통해, KMS 키, Grant, IAM 정책 등 다양한 요소들이 어떻게 상호작용하는지를 파악할 수 있습니다. 이 글에서 다룬 각 단계를 이해하고 적용한다면, 보다 안전하고 효율적인 키 관리가 가능합니다.