기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
# HMAC KMS 키 생성
AWS KMS 콘솔에서 API를 사용하거나 AWS::KMS::Key 템플릿을 [https://docs.aws.amazon.com/kms/latest/APIReference/API_CreateKey.html](https://docs.aws.amazon.com/kms/latest/APIReference/API_CreateKey.html) 사용하여 HMAC KMS 키를 생성할 수 있습니다. [AWS::KMS::Key CloudFormation](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/aws-resource-kms-key.html)
HMAC KMS 키를 생성할 때 키 사양을 선택해야 합니다. [HMAC KMS 키에 대한 여러 키 사양을](symm-asymm-choose-key-spec.md#hmac-key-specs) AWS KMS 지원합니다. 선택하는 키 사양은 규정, 보안 또는 비즈니스 요구 사항에 따라 결정될 수 있습니다. 일반적으로 키가 길수록 무차별 대입 공격에 더 강합니다.
KMS 키를 생성하는 데 필요한 권한에 대한 자세한 내용은 [KMS 키를 생성하기 위한 사용 권한](create-keys.md#create-key-permissions) 섹션을 참조하세요.
## AWS KMS 콘솔 사용
AWS Management Console 를 사용하여 HMAC KMS 키를 생성할 수 있습니다. HMAC KMS 키는 키 사용이 **MAC 생성 및 확인(Generate and verify MAC)**인 대칭 키입니다. 다중 리전 HMAC 키를 생성할 수도 있습니다.
1. 에 로그인 AWS Management Console 하고 [https://console.aws.amazon.com/kms](https://console.aws.amazon.com/kms) AWS Key Management Service (AWS KMS) 콘솔을 엽니다.
1. 를 변경하려면 페이지 오른쪽 상단에 있는 리전 선택기를 AWS 리전사용합니다.
1. 탐색 창에서 **고객 관리형 키**를 선택합니다.
1. **키 생성**을 선택합니다.
1. **키 유형**에 **대칭**을 선택합니다.
HMAC KMS 키는 대칭입니다. 동일한 키를 사용하여 HMAC 태그를 생성하고 확인합니다.
1. **키 사용(Key usage)**에서 **MAC 생성 및 확인(Generate and verify MAC)**을 선택합니다.
MAC 생성 및 확인(Generate and verify MAC)은 HMAC KMS 키에 대한 유일한 유효한 키 사용입니다.
**참고**
선택한 리전에서 HMAC KMS 키가 지원되는 경우에만 대칭 키에 대한 **키 사용(Key usage)**이 표시됩니다.
1. HMAC KMS 키에 대한 사양(**키 사양(Key spec)**)을 선택합니다.
선택하는 키 사양은 규정, 보안 또는 비즈니스 요구 사항에 따라 결정될 수 있습니다. 일반적으로 더 긴 키는 더 안전합니다.
1. [다중 리전](multi-region-keys-overview.md) *기본* HMAC 키를 생성하려면, **고급 옵션(Advanced options)**에서 **다중 리전 키(Multi-Region key)**를 선택합니다. 키 유형, 키 사용 등과 같이 이 KMS 키에 대해 정의한 [공유 속성](multi-region-keys-overview.md#mrk-sync-properties)은 해당 복제본 키와 공유됩니다.
이 절차를 사용하여 복제본 키를 생성할 수 없습니다. 다중 리전 *복제본* HMAC 키를 생성하려면 [복제본 키 생성 지침](multi-region-keys-replicate.md)을 따릅니다.
1. **다음**을 선택합니다.
1. KMS 키에 대한 [별칭](kms-alias.md)을 입력합니다. 별칭은 **aws/**로 시작할 수 없습니다. **aws/** 접두사는 Amazon Web Services에서 계정에서 AWS 관리형 키 를 나타내기 위해 예약한 것입니다.
`HMAC/test-key`와 같이 KMS 키를 HMAC 키로 식별하는 별칭을 사용하는 것이 좋습니다. 이렇게 하면 AWS KMS 콘솔에서 HMAC 키를 더 쉽게 식별할 수 있습니다. 여기서 키 사양이나 키 사용량이 아닌 태그 및 별칭별로 키를 정렬하고 필터링할 수 있습니다.
AWS Management Console에서 KMS 키를 생성할 때 별칭이 필요합니다. [CreateKey](https://docs.aws.amazon.com/kms/latest/APIReference/API_CreateKey.html) 작업을 사용할 때는 별칭을 지정할 수 없지만 콘솔이나 [CreateAlias](https://docs.aws.amazon.com/kms/latest/APIReference/API_CreateAlias.html) 작업을 사용하여 기존 KMS 키의 별칭을 생성합니다. 자세한 내용은 [의 별칭 AWS KMS](kms-alias.md) 섹션을 참조하세요.
1. (선택 사항) KMS 키에 대한 설명을 입력합니다.
보호하려는 데이터의 유형 또는 KMS 키와 함께 사용하려는 애플리케이션을 설명하는 내용을 입력합니다.
[키 상태](key-state.md)가 `Pending Deletion` 또는 `Pending Replica Deletion`이 아닌 한 지금 설명을 추가하거나 언제든지 설명을 업데이트할 수 있습니다. 기존 고객 관리형 키에 대한 설명을 추가, 변경 또는 삭제하려면의에서 KMS 키에 대한 세부 정보 페이지의 설명을 편집 AWS Management Console AWS Management Console 하거나 [UpdateKeyDescription](https://docs.aws.amazon.com/kms/latest/APIReference/API_UpdateKeyDescription.html) 작업을 사용합니다.
1. (선택 사항) 태그 키와 선택적 태그 값을 입력합니다. KMS 키에 두 개 이상의 태그를 추가하려면 **태그 추가(Add tag)**를 선택합니다.
`Type=HMAC`와 같이 키를 HMAC 키로 식별하는 태그를 추가하는 것이 좋습니다. 이렇게 하면 AWS KMS 콘솔에서 HMAC 키를 더 쉽게 식별할 수 있습니다. 여기서 키 사양이나 키 사용량이 아닌 태그 및 별칭별로 키를 정렬하고 필터링할 수 있습니다.
AWS 리소스에 태그를 추가하면는 태그별로 집계된 사용량 및 비용이 포함된 비용 할당 보고서를 AWS 생성합니다. KMS 키에 대한 액세스를 제어하는 데에도 태그를 사용할 수 있습니다. KMS 키 태그 지정에 대한 자세한 내용은 [의 태그 AWS KMS](tagging-keys.md) 및 [에 대한 ABAC AWS KMS](abac.md) 섹션을 참조하십시오.
1. **다음**을 선택합니다.
1. KMS 키를 관리할 수 있는 IAM 사용자 및 역할을 선택합니다.
**참고**
이 키 정책은이 KMS 키를 AWS 계정 완전히 제어합니다. 계정 관리자가 IAM 정책을 사용하여 KMS 키를 관리할 수 있는 권한을 다른 보안 주체에게 부여하도록 허용합니다. 자세한 내용은 [기본 키 정책](key-policy-default.md)을 참조하세요.
IAM 모범 사례는 장기 보안 인증 정보가 있는 IAM 사용자의 사용을 장려하지 않습니다. 가능할 경우, 임시 보안 인증 정보를 제공하는 IAM 역할을 사용하세요. 자세한 내용은 *IAM 사용 설명서*의 [IAM의 보안 모범 사례](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)를 참조하세요.
AWS KMS 콘솔은 문 식별자 아래의 키 정책에 키 관리자를 추가합니다`"Allow access for Key Administrators"`. 이 문 식별자를 수정하면 문에 대해 콘솔이 업데이트 내용을 표시하는 방식에 영향을 미칠 수 있습니다.
1. (선택 사항) 선택한 IAM 사용자와 역할이 페이지 하단의 **키 삭제** 섹션에서 이 KMS 키를 삭제하지 못하도록 하려면 **키 관리자가 이 키를 삭제하도록 허용(Allow key administrators to delete this key)** 확인란의 선택을 취소합니다.
1. **다음**을 선택합니다.
1. [암호화 작업](kms-cryptography.md#cryptographic-operations)에서 KMS 키를 사용할 수 있는 IAM 사용자 및 역할을 선택합니다.
**참고**
IAM 모범 사례는 장기 보안 인증 정보가 있는 IAM 사용자의 사용을 장려하지 않습니다. 가능할 경우, 임시 보안 인증 정보를 제공하는 IAM 역할을 사용하세요. 자세한 내용은 *IAM 사용 설명서*의 [IAM의 보안 모범 사례](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)를 참조하세요.
AWS KMS 콘솔은 문 식별자 `"Allow use of the key"` 및 아래의 키 정책에 키 사용자를 추가합니다`"Allow attachment of persistent resources"`. 이러한 문 식별자들을 수정하면 문에 대해 콘솔이 업데이트 내용을 표시하는 방식에 영향을 미칠 수 있습니다.
1. (선택 사항) 다른 사용자가 암호화 작업에이 KMS 키를 AWS 계정 사용하도록 허용할 수 있습니다. 이렇게 하려면 페이지 하단의 **기타 AWS 계정** 섹션에서 **다른 AWS 계정추가**를 선택하고 외부 계정의 AWS 계정 식별 번호를 입력합니다. 외부 계정을 여러 개 추가하려면 이 단계를 반복합니다.
**참고**
외부 계정의 보안 주체가 KMS 키를 사용하도록 허용하려면 외부 계정 관리자가 이러한 권한을 제공하는 IAM 정책을 생성해야 합니다. 자세한 정보는 [다른 계정의 사용자가 KMS를 사용하도록 허용](key-policy-modifying-external-accounts.md) 섹션을 참조하세요.
1. **다음**을 선택합니다.
1. 키에 대한 키 정책 문을 검토합니다. 키 정책을 변경하려면 **편집**을 선택하세요.
1. **다음**을 선택합니다.
1. 선택한 키 설정을 검토합니다. 여전히 돌아가서 모든 설정을 변경할 수 있습니다.
1. **마침(Finish)**을 선택하여 HMAC KMS 키를 생성합니다.
## AWS KMS API 사용
[CreateKey](https://docs.aws.amazon.com/kms/latest/APIReference/API_CreateKey.html) 작업을 사용하여 HMAC KMS 키를 생성할 수 있습니다. 이 예제들은 [AWS Command Line Interface (AWS CLI)](https://aws.amazon.com/cli/)를 사용하지만, 사용자는 어떤 지원되는 프로그래밍 언어라도 사용할 수 있습니다.
HMAC KMS 키를 생성할 때 `KeySpec` 파라미터를 지정해야 합니다. 이 파라미터는 KMS 키의 유형을 결정합니다. 또한 HMAC 키의 유일하게 유효한 키 사용 값인 경우에도 `KeyUsage` 값을 GENERATE\$1VERIFY\$1MAC로 지정해야 합니다. [다중 리전](multi-region-keys-overview.md) HMAC KMS 키를 생성하려면, 값이 `true`인 `MultiRegion` 파라미터를 추가합니다. KMS 키가 생성된 후에는 이러한 속성을 변경할 수 없습니다.
`CreateKey` 작업을 사용하면 별칭을 지정할 수 없지만 [CreateAlias](https://docs.aws.amazon.com/kms/latest/APIReference/API_CreateAlias.html) 작업을 사용하여 새 KMS 키의 별칭을 만들 수 있습니다. `HMAC/test-key`와 같이 KMS 키를 HMAC 키로 식별하는 별칭을 사용하는 것이 좋습니다. 이렇게 하면 AWS KMS 콘솔에서 HMAC 키를 더 쉽게 식별할 수 있습니다. 여기서 키 사양이나 키 사용량이 아닌 별칭을 기준으로 키를 정렬하고 필터링할 수 있습니다.
HMAC 키가 지원되지 않는 AWS 리전 에서 HMAC KMS 키를 생성하려고 하면 `CreateKey` 작업이를 반환합니다. `UnsupportedOperationException`
다음 예제에서는 `CreateKey` 작업을 사용하여 512비트 HMAC KMS 키를 생성합니다.
```
$ aws kms create-key --key-spec HMAC_512 --key-usage GENERATE_VERIFY_MAC
{
"KeyMetadata": {
"KeyState": "Enabled",
"KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
"KeyManager": "CUSTOMER",
"Description": "",
"Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
"CreationDate": 1669973196.214,
"MultiRegion": false,
"KeySpec": "HMAC_512",
"CustomerMasterKeySpec": "HMAC_512",
"KeyUsage": "GENERATE_VERIFY_MAC",
"MacAlgorithms": [
"HMAC_SHA_512"
],
"AWSAccountId": "111122223333",
"Origin": "AWS_KMS",
"Enabled": true
}
}
```