서버 측 암호화 사용
변경 제안
PDF
서버측 암호화를 통해 유휴 개체 데이터를 보호할 수 있습니다. StorageGRID는 개체를 쓸 때 데이터를 암호화하고 개체에 액세스할 때 데이터를 해독합니다.
서버측 암호화를 사용하려면 암호화 키가 관리되는 방식에 따라 상호 배타적인 두 가지 옵션 중 하나를 선택할 수 있습니다.
-
* SSE(StorageGRID 관리 키를 사용한 서버 측 암호화) *: S3 요청을 발행하여 오브젝트를 저장할 때 StorageGRID는 고유 키를 사용하여 오브젝트를 암호화합니다. S3 요청을 통해 오브젝트를 검색할 때 StorageGRID는 저장된 키를 사용하여 오브젝트를 해독합니다.
-
* SSE-C(고객이 제공한 키를 사용한 서버측 암호화) *: S3 요청을 발행하여 오브젝트를 저장할 때 사용자는 자신만의 암호화 키를 제공합니다. 오브젝트를 검색할 때 요청의 일부로 동일한 암호화 키를 제공합니다. 두 암호화 키가 일치하면 해당 개체는 해독되고 개체 데이터는 반환됩니다.
StorageGRID는 모든 개체 암호화 및 암호 해독 작업을 관리하지만 사용자가 제공하는 암호화 키를 관리해야 합니다.
제공한 암호화 키는 저장되지 않습니다. 암호화 키를 분실하면 해당 개체가 손실됩니다. 
개체가 SSE 또는 SSE-C로 암호화된 경우 버킷 수준 또는 그리드 수준 암호화 설정은 무시됩니다.
SSE 사용
StorageGRID에서 관리하는 고유 키를 사용하여 개체를 암호화하려면 다음 요청 헤더를 사용합니다.
x-amz-server-side-encryption
SSE 요청 헤더는 다음 오브젝트 작업에서 지원됩니다.
-
개체 를 넣습니다
-
개체 - 복사 를 선택합니다
-
멀티파트 업로드를 시작합니다
SSE-C 사용
관리하는 고유 키로 개체를 암호화하려면 다음 세 가지 요청 헤더를 사용합니다.
| 요청 헤더 | 설명 |
|---|---|
|
암호화 알고리즘을 지정합니다. 헤더 값은 이어야 합니다 |
|
개체를 암호화하거나 해독하는 데 사용할 암호화 키를 지정합니다. 키의 값은 256비트 base64로 인코딩되어야 합니다. |
|
RFC 1321에 따라 암호화 키의 MD5 다이제스트를 지정합니다. RFC 1321은 암호화 키가 오류 없이 전송되도록 하는 데 사용됩니다. MD5 다이제스트 값은 base64로 인코딩된 128비트여야 합니다. |
SSE-C 요청 헤더는 다음 개체 작업에서 지원됩니다.
-
객체 가져오기
-
헤드 개체
-
개체 를 넣습니다
-
개체 - 복사 를 선택합니다
-
멀티파트 업로드를 시작합니다
-
부품 업로드
-
업로드 부품 - 복사
고객이 제공한 키(SSE-C)와 함께 서버측 암호화 사용 시 고려 사항
SSE-C를 사용하기 전에 다음 사항을 고려하십시오.
-
https를 사용해야 합니다.
StorageGRID는 SSE-C를 사용할 때 http를 통해 이루어진 요청을 거부합니다 보안을 위해 실수로 http를 사용하여 보낸 모든 키가 손상되지 않도록 고려해야 합니다. 키를 폐기하고 필요에 따라 회전합니다. -
응답의 ETag는 객체 데이터의 MD5가 아닙니다.
-
암호화 키를 개체에 매핑하는 작업을 관리해야 합니다. StorageGRID는 암호화 키를 저장하지 않습니다. 각 개체에 대해 제공하는 암호화 키를 추적할 책임은 사용자에게 있습니다.
-
버킷을 버전 관리가 활성화된 경우 각 오브젝트 버전에는 고유한 암호화 키가 있어야 합니다. 각 개체 버전에 사용되는 암호화 키를 추적할 책임은 사용자에게 있습니다.
-
클라이언트 측에서 암호화 키를 관리하기 때문에 클라이언트 측에서 키 회전과 같은 추가 보호 수단을 관리해야 합니다.
제공한 암호화 키는 저장되지 않습니다. 암호화 키를 분실하면 해당 개체가 손실됩니다. -
CloudMirror 복제가 버킷에 대해 구성된 경우 SSE-C 객체를 수집할 수 없습니다. 수집 작업이 실패합니다.