고객 관리 암호화 키(CMEK) 정보

기본적으로 PostgreSQL용 Cloud SQL은 고객 저장 콘텐츠를 암호화합니다. PostgreSQL용 Cloud SQL은 사용자의 추가 작업 없이 암호화를 처리합니다. 이 옵션을 Google 기본 암호화라고 합니다.

암호화 키를 제어하려면 PostgreSQL용 Cloud SQL을 포함한 CMEK 통합 서비스와 함께 Cloud KMS에서 고객 관리 암호화 키(CMEK)를 사용하면 됩니다. Cloud KMS 키를 사용하면 보호 수준, 위치, 순환 일정, 사용 및 액세스 권한, 암호화 경계를 관리할 수 있습니다. Cloud KMS를 사용하면 키 사용을 추적하고 감사 로그를 보며 키 수명 주기를 제어할 수도 있습니다. Google에서 데이터를 보호하는 대칭 키 암호화 키(KEK)를 소유하고 관리하는 대신 사용자가 Cloud KMS에서 이러한 키를 제어하고 관리할 수 있습니다.

CMEK로 리소스를 설정한 후 PostgreSQL용 Cloud SQL 리소스에 액세스하는 환경은 Google 기본 암호화를 사용하는 것과 유사합니다. 암호화 옵션에 대한 자세한 내용은 고객 관리 암호화 키(CMEK)를 참조하세요.

Cloud KMS Autokey를 사용하는 CMEK

CMEK를 수동으로 만들어 PostgreSQL용 Cloud SQL 리소스를 보호하거나 Cloud KMS Autokey를 사용할 수 있습니다. Autokey를 사용하면 PostgreSQL용 Cloud SQL에서 리소스를 만들 때 필요에 따라 키링과 키가 생성됩니다. 암호화 및 복호화 작업에 키를 사용하는 서비스 에이전트가 없으면 생성되며 필요한 Identity and Access Management(IAM) 역할이 부여됩니다. 자세한 내용은 Autokey 개요를 참조하세요.

Autokey는 PostgreSQL용 Cloud SQL BackupRun 리소스의 키를 만들지 않습니다. PostgreSQL용 Cloud SQL 인스턴스의 백업을 만들면 기본 인스턴스의 고객 관리 키로 백업이 암호화됩니다.

PostgreSQL용 Cloud SQL은 Terraform 또는 REST API를 사용하여 리소스를 만들 때만 Cloud KMS Autokey와 호환됩니다.

수동으로 생성된 CMEK를 사용하여 PostgreSQL용 Cloud SQL 리소스를 보호하는 방법은 고객 관리 암호화 키(CMEK) 사용을 참조하세요.

Cloud KMS Autokey에서 만든 CMEK를 사용하여 PostgreSQL용 Cloud SQL 리소스를 보호하려면 Secret Manager 리소스에 Autokey 사용에서 Secret Manager에 대해 예시로 제공된 단계를 사용합니다.

Google 관리 암호화와 고객 관리 암호화 비교

아래 다이어그램은 기본 Google 암호화를 사용하는 경우와 고객 관리 암호화 키를 사용하는 경우에 Cloud SQL 인스턴스 내부에서 저장 데이터 암호화가 작동하는 방식을 비교해서 보여줍니다.

고객 관리 암호화 키로 래핑된 데이터를 복호화할 때 Cloud SQL은 KEK를 사용하여 DEK를 복호화하고 암호화되지 않은 DEK를 사용하여 저장 데이터를 복호화합니다.

Cloud SQL이 CMEK 키와 상호작용하는 경우는 언제인가요?

CMEK가 사용 설정된 Cloud SQL 인스턴스를 지원하는 위치는 어디인가요?

CMEK는 모든 Cloud SQL 인스턴스 위치에서 사용할 수 있습니다.

서비스 계정 정보

Cloud SQL 인스턴스에 CMEK가 사용 설정된 경우 서비스 계정을 사용하여 Cloud KMS에서 키 액세스를 요청해야 합니다.

프로젝트에서 고객 관리 암호화 키를 사용하려면 서비스 계정이 있어야 하며 고객 관리 암호화 키에 서비스 계정에 대한 액세스 권한을 부여해야 합니다. 서비스 계정은 프로젝트 내에 있어야 합니다. 모든 리전에서 서비스 계정을 볼 수 있습니다.

콘솔을 사용하여 인스턴스를 만들 경우 고객 관리 키 옵션을 처음 선택하면 Cloud SQL에서 서비스 계정을 자동으로 만듭니다(서비스 계정이 아직 없는 경우). Cloud SQL에서 서비스 계정을 자동으로 만들 때 사용자 계정에 대한 특별한 권한은 필요 없습니다.

키 정보

Cloud KMS에서는 위치가 설정된 암호화 키를 사용하여 키링을 만들어야 합니다. 새 Cloud SQL 인스턴스를 만들 때 이 키를 선택하여 인스턴스를 암호화합니다.

고객 관리 암호화 키를 사용하는 새 Cloud SQL 인스턴스를 만들 때는 키 ID와 키 리전을 알아야 합니다. 새 Cloud SQL 인스턴스는 인스턴스와 연결된 고객 관리 암호화 키와 동일한 리전에 배치해야 합니다. 키와 Cloud SQL 인스턴스 모두를 위한 하나의 프로젝트를 만들거나 각각을 위해 서로 다른 프로젝트를 만들 수 있습니다.

고객 관리 암호화 키는 다음 형식을 사용합니다.

projects/[KMS_PROJECT_ID]/locations/[LOCATION]/keyRings/[KEY_RING]/cryptoKeys/[KEY_NAME]

Cloud SQL이 키에 액세스할 수 없는 경우 (예를 들어 키 버전을 사용 중지하는 경우) Cloud SQL에서 인스턴스를 정지합니다. 키에 다시 액세스할 수 있게 되면 Cloud SQL은 인스턴스를 자동으로 다시 시작합니다.

키를 순환하면 해당 키로 암호화된 인스턴스가 새로운 기본 키 버전으로 자동으로 다시 암호화되지 않습니다. 기존 CMEK 기본 인스턴스 또는 복제본을 새 기본 키 버전으로 다시 암호화할 수 있습니다. 키 순환 후 Cloud SQL 인스턴스 또는 복제본을 다시 암호화하는 방법에 대한 자세한 내용은 기존 CMEK가 사용 설정된 인스턴스 또는 복제본 다시 암호화를 참조하세요.

외부 키 관리자

Fortanix, Futurex, Thales와 같은 외부 키 관리자에 저장된 키를 고객 관리 암호화 키로 사용할 수 있습니다. Cloud KMS에서 외부 키를 사용하는 방법은 Cloud External Key Manager(Cloud EKM)를 참조하세요.

키 액세스 근거

키 액세스 근거를 Cloud EKM의 일부로 사용할 수 있습니다. 키 액세스 근거를 사용하면 각 Cloud EKM 요청의 이유를 볼 수 있습니다. 또한 제공된 근거에 따라 요청을 자동으로 승인하거나 거부할 수 있습니다. 자세한 내용은 키 액세스 근거 개요를 참조하세요.

따라서 키 액세스 근거는 각 데이터 복호화 시도에 대한 근거를 제공하여 데이터를 추가로 제어합니다.

Cloud SQL 인스턴스에서 키를 사용하는 방법에 대한 자세한 내용은 CMEK로 Cloud SQL 인스턴스 만들기를 참조하세요.

CMEK로 암호화된 데이터를 영구적으로 액세스할 수 없도록 하려면 어떻게 해야 하나요?

CMEK로 암호화된 데이터를 영구적으로 폐기하려는 경우가 있을 수 있습니다. 이렇게 하려면 고객 관리 암호화 키 버전을 삭제합니다. 키링이나 키를 삭제할 수 없지만 키의 키 버전을 삭제할 수 있습니다.

CMEK 사용 설정 인스턴스에서 데이터를 내보내고 가져오려면 어떻게 해야 하나요?

내보내기 또는 가져오기 중에 데이터를 고객 관리 키를 사용하여 암호화된 상태로 유지하려면 데이터를 내보내기 전에 Cloud Storage 버킷에 고객 관리 암호화 키를 설정해야 합니다. 데이터가 이전에 고객 관리 암호화 키가 사용 설정된 인스턴스에 저장되면 데이터를 새 인스턴스로 가져올 때 특별한 요구사항이나 제한사항이 적용되지 않습니다.

제한사항

고객 관리 암호화 키를 사용할 때 다음 제한사항이 적용됩니다.

• 기존 인스턴스에 고객 관리 암호화 키를 사용 설정할 수 없습니다.
• 기본 인스턴스와 동일한 리전에 있는 복제본에 다른 키를 할당할 수 없습니다. 리전 간 복제본의 경우 복제본 리전의 새 키를 만들어야 합니다.
• 클론에 다른 키를 할당할 수 없습니다.
• 고객 관리 암호화 키를 사용하여 암호화할 수 없습니다.
  • 외부 서버(외부 기본 인스턴스 및 외부 복제본)
  • 인스턴스 메타데이터(예: 인스턴스 ID, 데이터베이스 버전, 머신 유형, 플래그, 백업 일정 등)
• 고객 관리 암호화 키를 사용하여 사용자 쿼리 및 응답과 같은 전송 중인 사용자 데이터를 암호화할 수 없습니다.
• Cloud SQL 인스턴스를 만든 후에는 암호화 키 유형을 변경할 수 없습니다.Google-owned and Google-managed encryption key 에서 Cloud Key Management Service(KMS) 키로 전환하거나 그 반대로 전환할 수는 없습니다.

다음 단계

• Google Cloud Platform의 저장 데이터 암호화 알아보기
• CMEK를 사용 설정하여 인스턴스를 만드는 방법 알아보기
• Cloud Key Management Service(Cloud KMS)에 대해 알아보기
• Cloud KMS 리소스 할당량에 대해 알아보기
• IAM 서비스 계정 알아보기
• 키에 키 액세스 근거를 추가하는 방법 알아보기
• CMEK를 사용하는 다른 제품 찾아보기