기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
# AWS KMS 및 영향 범위에 대한 키 교체
규정 준수를 위해 키를 교체해야 하는 경우가 아니면 키 교체 AWS Key Management Service (AWS KMS)를 권장하지 않습니다. 예를 들어 비즈니스 정책, 계약 규칙 또는 정부 규정으로 인해 KMS 키를 교체해야 할 수 있습니다. 의 설계는 일반적으로 키 교체가 완화하는 데 사용되는 위험 유형을 AWS KMS 크게 줄입니다. KMS 키를 교체해야 하는 경우 자동 키 교체를 사용하고 자동 키 교체가 지원되지 않는 경우에만 수동 키 교체를 사용하는 것이 좋습니다.
**Topics**
+ [AWS KMS 대칭 키 교체](#data-protection-key-rotation-symmetric)
+ [Amazon EBS 볼륨의 키 교체](#data-protection-key-rotation-ebs)
+ [Amazon RDS의 키 교체](#data-protection-key-rotation-rds)
+ [Amazon S3 및 동일 리전 복제의 키 교체](#data-protection-key-rotation-s3)
+ [가져온 구성 요소로 KMS 키 교체](#data-protection-key-rotation-imported)
## AWS KMS 대칭 키 교체
AWS KMS 는가 AWS KMS 생성하는 [키 구성 요소가 있는 대칭 암호화 KMS 키에 대해서만 자동 키 교체](https://docs.aws.amazon.com/kms/latest/developerguide/rotate-keys.html)를 지원합니다. 고객 관리형 KMS 키의 경우 자동 교체는 선택 사항입니다. 는 매년 AWS 관리형 KMS 키의 키 구성 요소를 AWS KMS 교체합니다.는 암호화 구성 요소의 모든 이전 버전을 영구적으로 AWS KMS 저장하므로 해당 KMS 키로 암호화된 데이터를 해독할 수 있습니다.는 KMS 키를 삭제할 때까지 교체된 키 구성 요소를 삭제하지 AWS KMS 않습니다. 또한를 사용하여 객체를 복호화하면 서비스가 AWS KMS복호화 작업에 사용할 올바른 백업 구성 요소를 결정하므로 추가 입력 파라미터를 제공할 필요가 없습니다.
는 암호화 키 구성 요소의 이전 버전을 AWS KMS 유지하고 해당 구성 요소를 사용하여 데이터를 복호화할 수 있으므로 키 교체는 추가 보안 이점을 제공하지 않습니다. 키 교체 메커니즘은 규제 또는 기타 요구 사항에서 요구하는 컨텍스트에서 워크로드를 운영하는 경우 키를 더 쉽게 교체할 수 있도록 하기 위해 존재합니다.
## Amazon EBS 볼륨의 키 교체
다음 방법 중 하나를 사용하여 Amazon Elastic Block Store(Amazon EBS) 데이터 키를 교체할 수 있습니다. 접근 방식은 워크플로, 배포 방법 및 애플리케이션 아키텍처에 따라 달라집니다. 관리형 키에서 고객 관리형 키로 AWS 변경할 때이 작업을 수행할 수 있습니다.
**운영 체제 도구를 사용하여 한 볼륨에서 다른 볼륨으로 데이터를 복사하려면**
1. 새 KMS 키를 생성합니다. 지침은 [KMS 키 생성을 참조하세요](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html).
1. 원본과 크기가 같거나 더 큰 새 Amazon EBS 볼륨을 생성합니다. 암호화의 경우 생성한 KMS 키를 지정합니다. 지침은 [Amazon EBS 볼륨 생성을 참조하세요](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-creating-volume.html).
1. 새 볼륨을 원래 볼륨과 동일한 인스턴스 또는 컨테이너에 마운트합니다. 지침은 [Amazon EC2 인스턴스에 Amazon EBS 볼륨 연결을 참조하세요](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-attaching-volume.html).
1. 원하는 운영 체제 도구를 사용하여 기존 볼륨의 데이터를 새 볼륨으로 복사합니다.
1. 동기화가 완료되면 사전 예약된 유지 관리 기간 동안 인스턴스에 대한 트래픽을 중지합니다. 지침은 [인스턴스 수동 중지 및 시작을 참조하세요](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/Stop_Start.html#starting-stopping-instances).
1. 원래 볼륨의 탑재를 해제합니다. 지침은 [Amazon EC2 인스턴스에서 Amazon EBS 볼륨 분리를](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-detaching-volume.html) 참조하세요.
1. 새 볼륨을 원래 탑재 지점에 탑재합니다.
1. 새 볼륨이 올바르게 작동하는지 확인합니다.
1. 원래 볼륨을 삭제합니다. 지침은 [Amazon EBS 볼륨 삭제를](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-deleting-volume.html) 참조하세요.
**Amazon EBS 스냅샷을 사용하여 한 볼륨에서 다른 볼륨으로 데이터를 복사하려면**
1. 새 KMS 키를 생성합니다. 지침은 [KMS 키 생성을 참조하세요](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html).
1. 원본 볼륨의 Amazon EBS 스냅샷을 생성합니다. 지침은 [Amazon EBS 스냅샷 생성을 참조하세요](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-creating-snapshot.html).
1. 스냅샷에서 새 볼륨을 생성합니다. 암호화의 경우 생성한 새 KMS 키를 지정합니다. 지침은 [Amazon EBS 볼륨 생성을 참조하세요](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-creating-volume.html).
**참고**
워크로드에 따라 [Amazon EBS 빠른 스냅샷 복원](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-fast-snapshot-restore.html)을 사용하여 볼륨의 초기 지연 시간을 최소화할 수 있습니다.
1. 새 Amazon EC2 인스턴스를 생성합니다. 지침은 [ Amazon EC2 인스턴스 시작을](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/LaunchingAndUsingInstances.html) 참조하세요.
1. 생성한 볼륨을 Amazon EC2 인스턴스에 연결합니다. 지침은 [Amazon EC2 인스턴스에 Amazon EBS 볼륨 연결을 참조하세요](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-attaching-volume.html).
1. 새 인스턴스를 프로덕션 환경으로 전환합니다.
1. 원래 인스턴스를 프로덕션 환경에서 교체하고 삭제합니다. 지침은 [Amazon EBS 볼륨 삭제를](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-deleting-volume.html) 참조하세요.
**참고**
스냅샷을 복사하고 대상 복사에 사용되는 암호화 키를 수정할 수 있습니다. 스냅샷을 복사하고 원하는 KMS 키로 암호화한 후 스냅샷에서 Amazon Machine Image(AMI)를 생성할 수도 있습니다. 자세한 내용은 [Amazon EC2 설명서의 Amazon EBS 암호화](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/EBSEncryption.html)를 참조하세요. Amazon EC2
## Amazon RDS의 키 교체
Amazon Relational Database Service(RDS)와 같은 일부 서비스의 경우 데이터 암호화는 서비스 내에서 수행되며에서 제공됩니다 AWS KMS. 다음 지침에 따라 Amazon RDS 데이터베이스 인스턴스의 키를 교체합니다.
**Amazon RDS 데이터베이스의 KMS 키를 교체하려면**
1. 암호화된 원본 데이터베이스의 스냅샷을 생성합니다. 지침은 Amazon RDS 설명서의 [수동 백업 관리를 참조하세요](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_ManagingManualBackups.html).
1. 스냅샷을 새 스냅샷에 복사합니다. 암호화에 새 KMS 키를 지정합니다. 지침은 [Amazon RDS용 DB 스냅샷 복사를](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_CopySnapshot.html) 참조하세요.
1. 새 스냅샷을 사용하여 새 Amazon RDS 클러스터를 생성합니다. 지침은 Amazon RDS 설명서의 [DB 인스턴스로 복원](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_RestoreFromSnapshot.html)을 참조하세요. 기본적으로 클러스터는 새 KMS 키를 사용합니다.
1. 새 데이터베이스와 해당 데이터베이스의 데이터가 작동하는지 확인합니다.
1. 새 데이터베이스를 프로덕션으로 전환합니다.
1. 이전 데이터베이스를 프로덕션 환경에서 교체하고 삭제합니다. 지침은 [DB 인스턴스 삭제를 참조하세요](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_DeleteInstance.html).
## Amazon S3 및 동일 리전 복제의 키 교체
Amazon Simple Storage Service(Amazon S3)의 경우 객체의 암호화 키를 변경하려면 객체를 읽고 다시 작성해야 합니다. 객체를 다시 작성할 때 쓰기 작업에서 새 암호화 키를 명시적으로 지정합니다. 이렇게 하려면 [Amazon S3 배치 작업을](https://docs.aws.amazon.com/AmazonS3/latest/userguide/batch-ops.html) 사용하면 됩니다. 작업 설정 내에서 복사 작업에 새 암호화 설정을 지정합니다. 예를 들어 **SSE-KMS**를 선택하고 **keyId**를 입력할 수 있습니다.
또는 [Amazon S3 동일 리전 복제(SRR)](https://docs.aws.amazon.com/AmazonS3/latest/userguide/replication.html#srr-scenario)를 사용할 수 있습니다. SSR은 전송 중인 객체를 다시 암호화할 수 있습니다.
## 가져온 구성 요소로 KMS 키 교체
AWS KMS 는 [가져온 키 구성](https://docs.aws.amazon.com/kms/latest/developerguide/importing-keys-conceptual.html#import-keys-protect) 요소를 복구하거나 교체하지 않습니다. 가져온 키 구성 요소가 있는 KMS 키를 교체하려면 [키를 수동으로 교체해야](https://docs.aws.amazon.com/kms/latest/developerguide/rotate-keys.html#rotate-keys-manually) 합니다.