기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

스토리지 위치 보안 인증 정보 보호

DataSync는 위치를 사용하여 온프레미스, 다른 클라우드 또는에 있는 스토리지 리소스에 액세스합니다 AWS. 일부 위치 유형에서는 스토리지 시스템으로 인증하기 위해 액세스 키 및 보안 키 또는 사용자 이름 및 암호와 같은 자격 증명을 제공해야 합니다. 인증에 자격 증명이 필요한 DataSync 위치를 생성할 때 다음 옵션 중 하나를 선택하여 자격 증명의 보안 암호가 저장되는 방식을 제어할 수 있습니다.

모든 경우에 Secrets Manager 보안 암호는 계정에 저장되므로 DataSync 서비스와 관계없이 필요에 따라 보안 암호를 업데이트할 수 있습니다. DataSync 외부에서 생성한 보안 암호 사용에 대해서만 요금이 부과됩니다. DataSync에서 생성하고 관리하는 보안 암호에는 접두사가 있습니다aws-datasync.

기본 키로 암호화된 서비스 관리형 보안 암호 사용

DataSync 위치를 생성할 때 보안 암호 문자열만 제공하면 됩니다. DataSync는에 보안 암호 리소스를 생성 AWS Secrets Manager 하여 사용자가 제공한 보안 암호를 저장하고 계정의 기본 Secrets Manager KMS 키로 보안 암호를 암호화합니다. Secrets Manager에서 직접 또는 DataSync 콘솔 또는 AWS CLI SDK를 사용하여 위치를 업데이트하여 보안 암호 값을 변경할 수 있습니다. 위치 리소스를 삭제하거나 사용자 지정 보안 암호를 사용하도록 업데이트하면 DataSync는 보안 암호 리소스를 자동으로 삭제합니다.

사용자 지정 AWS KMS 키로 암호화된 서비스 관리형 보안 암호 사용

DataSync 위치를 생성할 때 키의 보안 암호와 ARN을 AWS KMS 제공합니다. DataSync는에 보안 암호 리소스를 자동으로 생성 AWS Secrets Manager 하여 사용자가 제공한 보안 암호를 저장하고 AWS KMS 키를 사용하여 암호화합니다. Secrets Manager에서 직접 또는 DataSync 콘솔 또는 AWS CLI SDK를 사용하여 위치를 업데이트하여 보안 암호 값을 변경할 수 있습니다. 위치 리소스를 삭제하거나 사용자 지정 보안 암호를 사용하도록 업데이트하면 DataSync는 보안 암호 리소스를 자동으로 삭제합니다.

Secrets Manager에서 보안 암호 리소스를 생성, 수정 및 삭제하려면 DataSync에 적절한 권한이 있어야 합니다. 자세한 내용은 AWS 관리형 정책AWSDataSyncFullAccess 단원을 참조하십시오.

올바른 DataSync 관리형 정책을 사용하는 것 외에도 다음 권한도 필요합니다.

{
    "Sid": "DataSyncKmsPermissions",
    "Effect": "Allow",
    "Action": [
        "kms:Encrypt",
        "kms:GenerateDataKey",
        "kms:Decrypt"
    ],
    "Resource": "your-kms-key-arn",
    "Condition": {
        "StringLike": {
            "kms:ViaService": "secretsmanager.*.amazonaws.com"
        }
    }
}

your-kms-key-arn을 KMS 키 ARN으로 바꿉니다.

보안 암호 값을 검색하고 해독하기 위해 DataSync는 서비스 연결 역할(SLR)을 사용하여 AWS KMS 키에 액세스합니다. DataSync가 KMS 키를 사용할 수 있도록 하려면 키의 정책 설명에 다음을 추가합니다.

{
    "Sid": "Allow DataSync to use the key for decryption",
    "Effect": "Allow",
    "Principal": {
            "AWS": "arn:aws:iam::accountid:role/aws-service-role/datasync.amazonaws.com/AWSServiceRoleForDataSync"
    },
    "Action": "kms:Decrypt",
    "Resource": "*"
}

accountid를 AWS 계정 ID로 바꿉니다.

관리하는 보안 암호 사용

DataSync 위치를 생성하기 전에 에서 보안 암호를 생성합니다 AWS Secrets Manager. 보안 암호 값은 보안 암호 문자열 자체만 일반 텍스트로 포함해야 합니다. DataSync 위치를 생성할 때 보안 암호의 ARN과 DataSync가 보안 암호와 보안 암호를 암호화하는 데 사용되는 AWS KMS 키 모두에 액세스하는 데 사용하는 IAM 역할을 제공합니다. 적절한 권한이 있는 IAM 역할을 생성하려면 다음을 수행합니다.

위치를 생성할 때이 역할을 지정할 수 있습니다. 보안 암호가 암호화에 고객 관리형 AWS KMS 키를 사용하는 경우 이전 절차에서 생성한 역할에서 액세스를 허용하도록 키의 정책도 업데이트해야 합니다. 정책을 업데이트하려면 AWS KMS 키의 정책 설명에 다음을 추가합니다.

{
    "Sid": "Allow DataSync use of the key",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam accountid:role/your-role-name”
    },
    "Action": "kms:Decrypt",
    "Resource": "*"
}

accountid를 AWS 계정 ID로 바꾸고 your-role-name을 이전 절차에서 생성한 IAM 역할의 이름으로 바꿉니다.