AWS KMS가 다중 리전 키를 동기화하도록 승인
다중 리전 키를 지원하려면 AWS KMS에 다중 리전 프라이머리 키와 그 복제 키 간에 공유 속성을 동기화할 수 있는 권한이 있어야 합니다. 이러한 사용 권한을 얻을 수 있도록 AWS KMS는 AWS 계정에서 AWSServiceRoleForKeyManagementServiceMultiRegionKeys 서비스 연결 역할을 생성합니다. 다중 리전 키를 생성하는 사용자는 서비스 연결 역할을 생성할 수 있는 iam:CreateServiceLinkedRole 권한을 보유해야 합니다.
AWS CloudTrail 로그에서 AWS KMS 동기화 공유 속성을 기록하는 SynchronizeMultiRegionKey CloudTrail 이벤트를 볼 수 있습니다.
AWSKeyManagementServiceMultiRegionKeysServiceRolePolicy 관리형 정책의 업데이트에 대한 세부 정보를 보려면 AWS 관리형 정책으로 AWS KMS 업데이트 페이지를 참조하세요.
다중 리전 키에 대한 서비스 연결 역할
서비스 연결 역할은 사용자를 대신해 다른 AWS 서비스를 호출할 수 있는 권한을 한 AWS 서비스에 제공하는 IAM 역할입니다. 이 역할은 복잡한 IAM 정책을 생성 및 유지 관리할 필요 없이 여러 통합 AWS 서비스의 기능을 손쉽게 사용할 수 있도록 설계되었습니다.
다중 리전 키의 경우 AWS KMS는 AWSKeyManagementServiceMultiRegionKeysServiceRolePolicy 정책을 사용하여 AWSServiceRoleForKeyManagementServiceMultiRegionKeys 서비스 연결 역할을 생성합니다. 이 정책은 역할에 kms:SynchronizeMultiRegionKey 권한을 부여하여 다중 리전 키의 공유 속성을 동기화할 수 있도록 합니다.
AWSServiceRoleForKeyManagementServiceMultiRegionKeys 서비스 연결 역할은 mrk.kms.amazonaws.com만 신뢰하기 때문에, AWS KMS만 이 서비스 연결 역할을 수임할 수 있습니다. 이 역할은 AWS KMS가 다중 리전 공유 속성을 동기화하는 데 필요한 작업으로 제한됩니다. 이렇게 해도 AWS KMS에 어떤 추가 권한도 부여되지 않습니다. 예를 들어 AWS KMS는 KMS 키를 생성, 복제 또는 삭제할 수 있는 권한이 없습니다.
AWS 서비스가 서비스 연결 역할을 사용하는 방법에 대한 자세한 내용은 IAM 사용 설명서의 서비스 연결 역할 사용을 참조하십시오.
서비스 연결 역할 생성
역할이 아직 없는 경우 다중 리전 키를 생성할 때 AWS KMS가 자동으로 AWS 계정에서 AWSServiceRoleForKeyManagementServiceMultiRegionKeys 서비스 연결 역할을 생성합니다. 사용자는 이러한 서비스 연결 역할을 직접 생성하거나 다시 생성할 수 없습니다.
서비스 연결 역할 설명 편집
AWSServiceRoleForKeyManagementServiceMultiRegionKeys 서비스 연결 역할에서 역할 이름 또는 정책문을 편집할 수 없지만, 역할 설명은 편집이 가능합니다. 지침은 IAM 사용 설명서의 서비스 연결 역할 편집 단원을 참조하십시오.
서비스 연결 역할 삭제
AWS KMS는 AWS 계정에서 AWSServiceRoleForKeyManagementServiceMultiRegionKeys 서비스 연결 역할을 삭제할 수 없습니다. 그러나, AWS 계정 및 리전에 다중 리전 키가 없는 경우 AWS KMS는 AWSServiceRoleForKeyManagementServiceMultiRegionKeys 역할을 맡거나 권한을 사용하지 않습니다.
