고객 관리형 키(CMK) 자동 키 교체 설정

1. 관련 법령

• 전자금융감독규정 제31조 제2항
• 개인정보의 안전성 확보조치 기준 제7조 제6항

2. 개요

• AWS 서비스에서 암호화 적용 시 고객 관리형 키(CMK)를 사용하는 경우 암호키 자동 교체 설정 필요

3. 취약점 판단 기준

• 고객 관리형 키(CMK)의 자동 키 교체 설정을 적용하지 않은 경우 취약
• 고객 관리형 키(CMK)의 자동 키 교체 설정을 적용한 경우 취약하지 않음

4. 취약점 확인 방법 - (1) 관리 콘솔에서 확인

• 관리 콘솔에서 [KMS] 검색 → [고객 관리형 키] 메뉴 → 암호키 선택 → [키 교체] 탭에서 키 교체 설정 여부 확인

4. 취약점 확인 방법 - (2) AWS CLI에서 확인

• KMS 권한을 보유한 계정의 Access key를 활용해 AWS CLI에서 Command(1) 실행
  • Command(1)

    aws kms list-keys
    aws kms get-key-rotation-status --key-id <kms_key_id>

• KeyRotationEnabled true 설정 여부 확인

5. 취약점 조치 방법 - (1) 관리 콘솔에서 조치

• [키 교체] 탭에서 [매년 이 KMS 키를 자동으로 교체합니다.] 체크 → 저장 클릭

5. 취약점 조치 방법 - (2) AWS CLI에서 조치

• AWS CLI에서 Command(2) 실행
  • Command(2)

    aws kms enable-key-rotation --key-id <kms_key_id>

6. 참고

• https://docs.aws.amazon.com/ko_kr/kms/latest/developerguide/rotate-keys.html
• CIS AWS Benchmark v1.4.0