AWS CloudHSM 클러스터 관리 모범 사례
AWS CloudHSM 클러스터를 생성, 액세스 및 관리할 때는 이 섹션의 모범 사례를 따르십시오.
피크 트래픽을 처리할 수 있도록 클러스터 확장
클라이언트 인스턴스 크기, 클러스터 크기, 네트워크 지형, 사용 사례에 필요한 암호화 작업 등 여러 요인이 클러스터가 처리할 수 있는 최대 처리량에 영향을 미칠 수 있습니다.
시작점으로 일반적인 클러스터 크기 및 구성에 대한 성능 추정치는 주제 AWS CloudHSM 성능 정보 섹션을 참조하십시오. 예상되는 최대 부하로 클러스터를 부하 테스트하여 현재 아키텍처가 복원력이 있고 적절한 규모인지 확인하는 것이 좋습니다.
고가용성을 위한 클러스터 설계
유지 관리를 위해 계정에 중복성 추가: AWS는 예정된 유지 관리를 위해 또는 문제가 감지된 경우 HSM을 교체할 수 있습니다. 일반적으로 클러스터 크기에는 +1 이상의 중복성이 있어야 합니다. 예를 들어, 피크 타임에 서비스를 운영하기 위해 2개의 HSM이 필요한 경우 이상적인 클러스터 크기는 3입니다. 가용성과 관련된 모범 사례를 따른다면 이러한 HSM 교체가 서비스에 영향을 미치지 않을 것입니다. 그러나 교체된 HSM에서 진행 중인 작업은 실패할 수 있으므로 다시 시도해야 합니다.
HSM을 여러 가용 영역으로 분산: 가용 영역 장애 발생 시 서비스를 어떻게 운영할 수 있을지 생각해 보십시오. AWS에서는 가능한 한 많은 가용 영역에 HSM을 분산할 것을 권장합니다. HSM이 3개인 클러스터의 경우 HSM을 3개의 가용 영역에 분산해야 합니다. 시스템에 따라 추가 중복성이 필요할 수 있습니다.
새로 생성된 키의 내구성을 보장하려면 HSM이 3개 이상 있어야 합니다.
새로 생성된 키의 내구성을 필요로 하는 애플리케이션의 경우 한 리전에 있는 다양한 가용 영역에 3개 이상의 HSM을 분산시키는 것이 좋습니다.
클러스터에 대한 보안 액세스
프라이빗 서브넷을 사용하여 인스턴스에 대한 액세스 제한: VPC의 프라이빗 서브넷에서 HSM과 클라이언트 인스턴스를 시작하십시오. 이렇게 하면 외부에서 HSM에 액세스하는 것이 제한됩니다.
VPC 엔드포인트를 사용하여 API에 액세스: AWS CloudHSM 데이터 영역은 인터넷 또는 API에 액세스할 필요 없이 작동하도록 설계되었습니다. 클라이언트 인스턴스에서 AWS CloudHSM API에 액세스해야 하는 경우 클라이언트 인스턴스에서 인터넷에 액세스할 필요 없이 VPC 엔드포인트를 사용하여 API에 액세스할 수 있습니다. 자세한 내용은 AWS CloudHSM 및 VPC 엔드포인트 섹션을 참조하십시오.
필요에 맞게 확장하여 비용 절감
AWS CloudHSM 사용에 따른 선결제 비용은 없습니다. HSM을 종료할 때까지 시작한 각 HSM에 대해 시간당 요금을 지불합니다. 서비스에 AWS CloudHSM의 지속적인 사용이 필요하지 않은 경우 필요하지 않을 때 HSM을 0으로 스케일 다운(삭제)하여 비용을 줄일 수 있습니다. HSM이 다시 필요한 경우 백업에서 HSM을 복원할 수 있습니다. 예를 들어 한 달에 한 번, 특히 말일에 코드에 서명해야 하는 워크로드가 있는 경우 먼저 클러스터를 확장하고, 작업이 완료된 후 HSM을 삭제하여 축소하고, 다음 달 말에 서명 작업을 다시 수행하도록 클러스터를 복원할 수 있습니다.
AWS CloudHSM은 클러스터에 있는 HSM을 주기적으로 자동 백업합니다. 나중에 새 HSM을 추가할 때 AWS CloudHSM는 새 HSM에 최신 백업을 복원하여 이전 위치에서 다시 사용할 수 있도록 합니다. AWS CloudHSM 아키텍처 비용을 계산하려면 AWS CloudHSM 요금
관련 리소스:
