개요

이 주제에서는 키 액세스 근거를 간략하게 설명합니다. 외부 키 만들기 및 관리에 대한 자세한 내용은 Cloud EKM 개요를 참조하세요.

개요

키 액세스 근거는 각 요청의 이유를 볼 수 있도록 하는 필드를 Cloud EKM 요청에 추가하여 작동합니다. 일부 외부 키 관리 파트너를 사용하면 근거에 따라 이러한 요청을 자동으로 승인하거나 거부할 수 있습니다.

키 액세스 근거 사용 설정

조직에서 키 액세스 근거를 사용 설정하려면 액세스 요청 양식을 제출하세요.

외부 관리 키에 대한 액세스 관리

키 액세스 근거는 외부 관리 키에 액세스할 때마다 이유를 제공합니다. 이유는 키가 외부 관리형인 경우에만 표시됩니다. Cloud KMS 또는 Cloud HSM에 저장된 키는 서비스에서 액세스할 때 볼 수 있는 이유를 표시하지 않습니다. 키가 외부 키 관리자에 저장되면 직접 API 액세스뿐만 아니라 두 가지 서비스 기반 액세스(지원되는 서비스의 경우)에 대한 근거를 받게 됩니다.

키 액세스 근거로 온보딩되고 외부 관리 키를 사용하면 모든 키 액세스에 대해 즉시 근거를 받게 됩니다.

내 키에 액세스하는 이유

Google Cloud의 저장 데이터 암호화는 데이터가 저장된 서비스 외부에 있는 암호화 키로 Google Cloud에 저장된 데이터를 암호화하는 방식으로 작동합니다. 예를 들어 Cloud Storage에서 데이터를 암호화하면 서비스는 저장된 암호화 정보만 저장하는 반면 키는 Cloud KMS(고객 관리 암호화 키(CMEK)를 사용하는 경우) 또는 외부 키 관리자(Cloud 외부 키 관리자를 사용하는 경우)에 저장된 데이터를 암호화하는 데 사용됩니다.

Google Cloud 서비스를 사용하는 경우 설명된 대로 애플리케이션이 계속 작동해야 하며 이렇게 하려면 데이터를 복호화해야 합니다. 예를 들어 BigQuery를 사용하여 쿼리를 실행하는 경우 BigQuery 서비스가 데이터를 분석하려면 데이터를 복호화해야 합니다. 이렇게 하려면 BigQuery가 데이터를 복호화하기 위해 키 관리자를 호출해야 합니다.

근거 목록은 키 액세스 근거 원인을 참조하세요.

근거 보기 및 조치

정보가 암호화되거나 복호화될 때마다 키 액세스 근거에서 액세스 이유를 설명하는 근거를 보냅니다. Google Cloud EKM 파트너의 소프트웨어를 사용 설정하면 근거 콘텐츠를 기반으로 액세스를 자동으로 승인하거나 거부하는 정책을 설정할 수 있습니다. 정책 설정 방법에 대한 자세한 내용은 선택한 키 관리자의 관련 문서를 참조하세요. 다음 파트너는 키 액세스 근거를 지원합니다.

  • Ionic
  • Fortanix
  • Thales

아래 나열된 정당성 이유 코드에는 액세스 투명성 코드와 다른 시나리오가 포함되므로 두 코드가 일치하지 않습니다.

정당성 이유 코드

이유 설명
CUSTOMER_INITIATED_ACCESS 고객은 자신의 계정을 사용하여 IAM 정책이 승인한 자체 데이터에 대한 모든 액세스를 수행합니다.
MODIFIED_CUSTOMER_INITIATED_ACCESS 고객은 자신의 계정을 사용하여 IAM 정책이 승인한 자체 데이터에 대한 모든 액세스를 수행합니다. 동시에 Google 관리자가 사용자의 조직과 연결된 루트 액세스 계정을 재설정했거나 Google에서 시작한 breakglass 작업이 액세스된 리소스에 영향을 미쳤습니다.
GOOGLE_INITIATED_SYSTEM_OPERATION Google 직원은 고객 데이터에 액세스하여 고객이 나중에 사용하도록 데이터 또는 품질 구조를 최적화하는 데 도움을 줍니다. 이러한 액세스는 고객 데이터의 색인 생성, 구조화, 미리 계산, 해싱, 샤딩, 캐싱에 사용될 수 있습니다. 또한 재해 복구 또는 데이터 무결성 이유로 데이터를 백업하고 백업 데이터로 해결할 수 있는 오류를 감지하는 것도 포함됩니다.

고객이 Google에 관리형 제어 영역 작업을 위임하는 경우(예: 관리형 인스턴스 그룹 생성) 모든 관리형 작업이 시스템 작업으로 표시됩니다. 다운스트림 복호화 작업을 트리거하는 관리형 인스턴스 그룹 관리자와 같은 서비스에는 일반 텍스트 고객 데이터에 액세스할 수 없습니다.
MODIFIED_GOOGLE_INITIATED_SYSTEM_OPERATION Google은 고객 데이터에 액세스하여 고객이 나중에 사용하도록 데이터 또는 품질 구조를 최적화하는 데 도움을 줍니다. 이러한 액세스는 고객 데이터의 색인 생성, 구조화, 미리 계산, 해싱, 샤딩, 캐싱에 사용될 수 있습니다. 또한 재해 복구 또는 데이터 무결성 이유로 데이터를 백업하고 백업 데이터로 해결할 수 있는 오류를 감지하는 것도 포함됩니다. 동시에 Google에서 시작한 breakglass 작업이 액세스된 리소스에 영향을 미쳤습니다.
REASON_NOT_EXPECTED

다음과 같은 이유로 이 키 요청이 예상되는 사유는 없습니다.

  • 해당 서비스가 키 액세스 근거와 통합되지 않았습니다.
  • 서비스는 아직 미리보기 상태이므로 외부 키 관리자를 호출하지만 여전히 근거를 제공하지 않는 잔여 메서드가 있을 수 있습니다.
CUSTOMER_INITIATED_SUPPORT 고객이 시작한 지원(예: 'Case Number: ####')
GOOGLE_INITIATED_SERVICE

시스템 관리 및 문제해결을 위해 Google에서 시작한 액세스를 참조합니다. Google 직원은 다음과 같은 이유로 이러한 유형의 액세스를 허용할 수 있습니다.

  • 복잡한 지원 요청 또는 조사에 필요한 기술적인 디버깅을 수행하기 위해
  • 스토리지 오류 또는 데이터 손상과 같은 기술 문제를 해결하기 위해
THIRD_PARTY_DATA_REQUEST Google에서 고객의 데이터에 액세스하도록 요구하는 고객의 법적 절차에 대한 응답을 포함한 법적 요청 또는 법적 절차에 대한 응답으로 Google에서 시작한 액세스입니다.
GOOGLE_INITIATED_REVIEW 보안, 사기, 악용, 규정 준수 목적으로 Google이 시작한 액세스로, 다음이 포함됩니다.
  • 고객 계정 및 데이터의 안전과 보안 보장
  • 계정 보안에 영향을 미칠 수 있는 이벤트로 인해 데이터가 영향을 받았는지 여부 확인(예: 멀웨어 감염)
  • 고객이 Google 서비스 약관을 준수하면서 Google 서비스를 사용하고 있는지 확인
  • 다른 사용자와 고객의 불만사항이나 기타 악성 활동 조짐이 있는지 조사
  • Google 서비스가 관련 규정 체제에 맞게 사용되고 있는지 확인(예: 자금세탁방지 규정)
GOOGLE_RESPONSE_TO_PRODUCTION_ALERT

시스템 안정성을 유지하기 위해 Google에서 시작한 액세스 권한을 참조합니다. Google 직원은 다음과 같은 이유로 이러한 유형의 액세스를 허용할 수 있습니다.

  • 의심되는 서비스 중단이 고객에게 영향을 미치지 않는지 조사하고 확인합니다.
  • 서비스 중단 및 시스템 장애 시 백업 및 복구를 보장합니다.
REASON_UNSPECIFIED 키 액세스 근거가 사용 설정되어 있지만 이 요청에 사용할 수 있는 근거가 없습니다. 그 이유는 일시적인 오류, 버그 또는 기타 상황일 수 있습니다.
근거 필드가 없습니다. 키 액세스 근거가 사용 설정되어 있지 않습니다.

키 액세스 근거 제외

키 액세스 근거는 다음에만 적용됩니다.

  • 암호화된 데이터에 대한 작업입니다. 외부 관리 키로 암호화된 특정 서비스 내 필드의 경우 사용 중인 지정된 서비스의 문서를 참조하세요.
  • 저장 데이터에서 사용 중 데이터로 전환 Google은 사용 중 데이터에 보호 조치를 계속 적용하지만, 키 액세스 근거는 저장 데이터에서 사용 중 데이터로의 전환만 관리합니다.
  • CMEK 제외.
    • BigQuery:
      • BigQuery ML 및 BigQuery BI Engine은 제외됩니다.
    • Compute Engine/Persistent Disk
      • 로컬 SSD 및 자동 다시 시작은 제외됩니다.
      • 머신 이미지 연산은 제외됩니다.

지원되는 서비스

서비스 상태
BigQuery GA
Cloud Spanner GA
Cloud Storage GA
Cloud SQL GA
Compute Engine GA
Google Kubernetes Engine GA
Persistent Disk GA
Pub/Sub GA

다음 단계