SecureString 파라미터 값 복호화 제한
SecureString 파라미터 값은 AWS KMS 키로 암호화됩니다. 복호화된 값을 검색하는 위탁자는 직접적으로 호출하는 Parameter Store 작업에 관계없이 해당 키에 대한 kms:Decrypt 권한이 있어야 합니다. 이렇게 하면 AWS KMS 키 권한이 SecureString 파라미터에 대한 효과적인 제어가 됩니다. 단일 AWS KMS 정책 문이 한 번에 모든 검색 경로에 적용되기 때문입니다.
이 제어를 효과적으로 사용하려면 AWS 관리형 키가 아닌 고객 관리형 키로 민감한 파라미터를 암호화합니다.
중요
AWS 관리형 키용 Parameter Store(aws/ssm)는 AWS 계정의 모든 IAM 위탁자에 Decrypt 권한을 부여합니다. 계정 내의 SecureString 파라미터에 대해 다른 수준의 액세스가 필요한 경우 해당 파라미터를 기본 키로 암호화하지 마세요.
AWS 관리형 키에 대한 액세스를 거부하는 방법, 고객 관리형 키에 대한 액세스 권한을 부여하는 방법 등 키 정책 예제는 AWS KMS 키를 사용하는 파라미터 암호화 및 복호화 섹션을 참조하세요.
참고
kms:Decrypt 제한은 위탁자가 암호화된 값을 읽지 못하게 합니다. 암호화되지 않은 파라미터의 이름, 설명 또는 기타 메타데이터를 숨기지 않으며 파라미터가 나열되는 것을 방지하지 않습니다. 이를 제어하려면 특정 파라미터 및 경로에 대한 액세스 제한에 설명된 대로 Parameter Store 작업 거부를 사용합니다.
