Azure의 암호화 및 키 관리
암호화는 Microsoft Azure에서 데이터 개인 정보 보호, 규정 준수 및 데이터 보존을 보장하기 위한 중요한 단계입니다. 많은 기업에서 가장 중요한 보안 문제 중 하나이기도 합니다. 이 섹션에서는 암호화 및 키 관리에 대한 디자인 고려 사항 및 권장 사항을 다룹니다.
디자인 고려 사항
구독 및 스케일링 제한을 Azure Key Vault에 적용할 때 설정합니다.
Key Vault에는 키 및 비밀에 대한 트랜잭션 제한이 있습니다. 특정 기간 동안 자격 증명 모음당 트랜잭션을 제한하려면 Azure 제한을 참조하세요.
키, 비밀 및 인증서에 대한 액세스 권한이 자격 증명 모음 수준에 있으므로 Key Vault는 보안 경계 역할을 합니다. Key Vault 액세스 정책 할당은 키, 비밀 또는 인증서에 개별적으로 권한을 부여합니다. 특정 키, 비밀 또는 인증서 키 관리와 같은 세분화된 개체 수준 권한은 지원하지 않습니다.
필요에 따라 애플리케이션별 및 워크로드별 비밀과 공유 비밀을 분리하여 액세스를 제어합니다.
HSM 보호(하드웨어 보안 모듈) 키가 필요한 프리미엄 SKU를 최적화합니다.
기본 HSM은 FIPS 140-2 수준 2를 준수합니다. 지원되는 시나리오를 고려하여 FIPS 140-2 수준 3 규격용 Azure 전용 HSM을 관리합니다.
키 회전 및 비밀 만료를 관리합니다.
Key Vault 인증서를 사용하여 인증서 조달 및 서명을 관리합니다. 경고, 경고 및 자동 인증서 갱신을 설정합니다.
키, 인증서 및 비밀에 대한 재해 복구 요구 사항을 설정합니다.
Key Vault 서비스 복제 및 장애 조치(failover) 기능을 설정합니다. 가용성 및 중복성을 설정합니다.
키, 인증서 및 비밀 사용을 모니터링합니다.
Key Vault 또는 Azure Monitor Log Analytics 작업 영역을 사용하여 무단 액세스를 검색합니다. 자세한 내용은 Azure Key Vault 모니터링 및 경고를 참조하세요.
Key Vault 인스턴스화 및 권한 있는 액세스를 위임합니다. 자세한 내용은 Azure Key Vault 보안을 참조하세요.
Azure Storage 암호화와 같은 네이티브 암호화 메커니즘에 고객 관리형 키를 사용하기 위한 요구 사항을 설정합니다.
- 고객 관리형 키
- VM(가상 머신)을 위한 전체 디스크 암호화
- 전송 중 데이터 암호화
- 미사용 데이터 암호화
디자인 권장 사항
페더레이션된 Azure Key Vault 모델을 사용하여 트랜잭션 규모 제한을 피합니다.
Azure RBAC는 Azure Key Vault 데이터 평면에 권장되는 권한 부여 시스템입니다. 자세한 내용은 Azure RBAC(Azure 역할 기반 액세스 제어) 및 액세스 정책(레거시)을 참조하세요.
삭제된 개체에 대한 보존 보호를 허용하도록 사용하도록 설정된 일시 삭제 및 제거 정책으로 Azure Key Vault를 프로비저닝합니다.
권한 부여를 제한하여 키, 비밀 및 인증서를 특수 사용자 지정 Microsoft Entra 역할로 영구적으로 삭제하도록 제한하여 최소 권한 모델을 따릅니다.
쉽게 관리할 수 있도록 공공 인증 기관을 통해 인증서 관리 및 갱신 프로세스를 자동화합니다.
키 및 인증서 교체를 위한 자동화된 프로세스를 설정합니다.
자격 증명 모음에 대한 액세스를 제어하려면 자격 증명 모음에서 방화벽 및 가상 네트워크 서비스 엔드포인트를 사용하도록 설정합니다.
플랫폼 중심 Azure Monitor Log Analytics 작업 영역을 사용하여 Key Vault의 각 인스턴스 내에서 키, 인증서 및 비밀 사용을 감사합니다.
Key Vault 인스턴스화 및 권한 있는 액세스를 위임하고 Azure Policy를 사용하여 일관된 호환 구성을 적용합니다.
보안 주체 암호화 기능을 위해 기본적으로 Microsoft 관리형 키를 사용하고 필요한 경우 고객 관리형 키를 사용합니다.
애플리케이션 키 또는 비밀에 대해 Key Vault의 중앙 집중식 인스턴스를 사용하지 마세요.
환경 간에 비밀 공유를 방지하려면 애플리케이션 간에 Key Vault 인스턴스를 공유하지 마세요.