Day 2 - 암호화: KMS와 서비스별 암호화

데이터는 저장 중(at rest)과 전송 중(in transit) 모두 보호되어야 합니다. AWS에서 암호화의 중심에는 KMS(Key Management Service)가 있고, S3·Redshift·Glue 등 데이터 서비스가 KMS와 통합되어 키를 관리합니다. 오늘은 키 종류, 서비스별 암호화 설정, 클라이언트 측 암호화를 정리합니다.

1. KMS 기초

KMS는 암호화 키를 생성·관리·제어하는 서비스입니다.

• CMK(Customer Master Key) / KMS key: 데이터를 암호화하는 데 쓰는 봉투 암호화(envelope encryption)의 루트 키.
  • AWS 관리형 키: 서비스가 자동 생성(aws/s3 등), 정책 제어 제한적.
  • 고객 관리형 키(CMK): 사용자가 생성, 키 정책·교체·접근 제어 완전 통제.
  • AWS 소유 키: AWS가 소유, 사용자에게 보이지 않음.
• 봉투 암호화: KMS 키로 데이터 키(data key)를 암호화하고, 데이터 키로 실제 데이터를 암호화. 대용량 데이터에 효율적.

KMS CMK ──암호화──> Data Key ──암호화──> 실제 데이터(S3 객체 등)
   (KMS에 보관)      (암호문으로 객체와 함께 저장)

💡 관련 이론: KMS는 데이터 자체를 암호화하지 않고 데이터 키를 관리합니다. 실제 대용량 데이터는 로컬에서 데이터 키로 암호화되므로 KMS API 호출 비용·지연을 줄입니다.