Datastream은 Secret Manager와 통합되어 소스 데이터베이스 비밀번호와 같은 인증 리소스를 안전하게 저장할 수 있습니다. 연결 프로필을 만들 때 일반 텍스트 비밀번호를 사용하는 대신 보안 비밀을 만들어 사용하세요.
보안 비밀이란 무엇인가요?
보안 비밀은 라벨, 주석, 권한과 같은 메타데이터가 포함된 전역 리소스입니다.
보안 비밀에는 보안 비밀 버전도 있습니다. 보안 비밀 버전은 API 키, 비밀번호, 인증서와 같은 보안 비밀 리소스의 실제 데이터를 저장합니다. 각 버전에는 고유한 식별자 또는 타임스탬프가 있습니다.
보안 비밀과 암호화 키의 차이점
보안 비밀 관리는 암호화 키 관리만큼 중요하지만 데이터 보안의 다른 영역에 중점을 둡니다. 사용 사례와 저장하는 민감한 정보의 유형에 따라 둘 중 하나를 사용할 수 있습니다.
일반적으로 보안 비밀을 선택하여 민감한 데이터를 바이너리 blob 또는 텍스트 문자열로 안전하게 저장하고 관리합니다. 보안 비밀은 실제 데이터를 저장하지만, 데이터에 액세스하려면 보안 비밀 메타데이터에 정의된 특정 권한이 필요합니다.
반면 데이터를 암호화하거나 복호화해야 하는 경우에는 암호화 키를 사용하는 것이 더 좋습니다. 암호화에 사용되는 실제 암호화 데이터를 보거나 추출할 수 없습니다. Cloud Key Management Service와 같은 키 관리 시스템은 일반적으로 데이터베이스의 행 또는 이미지 및 파일을 암호화하는 등 더 까다로운 시나리오를 관리하는 데 사용됩니다.
데이터에 추가 보호 레이어가 필요한 경우 고객 관리 암호화 키 (CMEK)를 사용 설정하고 Cloud Key Management Service에 저장된 자체 암호화 키를 사용하여 Secret Manager의 보안 비밀을 보호할 수 있습니다. Datastream에서 CMEK를 사용하는 방법에 대한 자세한 내용은 고객 관리 암호화 키 (CMEK) 사용을 참고하세요.
Datastream에서 Secret Manager 사용
Datastream에서 사용할 민감한 정보를 저장하려면 Secret Manager를 사용하여 보안 비밀을 만들어야 합니다. 자세한 내용은 보안 비밀 만들기를 참고하세요.
연결 프로필의 연결 세부정보를 정의할 때 보안 비밀을 만들 수도 있습니다. 자세한 내용은 연결 프로필 만들기를 참고하세요.
필요한 역할
Datastream에서 Secret Manager를 사용하는 데 필요한 권한을 얻으려면 관리자에게 Datastream 서비스 계정에 대한 Secret Manager 보안 비밀 접근자 (roles/secretmanager.secretAccessor) IAM 역할을 부여해 달라고 요청하세요.
역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-04(UTC)"],[[["\u003cp\u003eDatastream integrates with Secret Manager to securely store authentication resources like database passwords, utilizing secrets instead of plain text.\u003c/p\u003e\n"],["\u003cp\u003eSecrets in Secret Manager are global resources containing metadata and secret versions, which hold the actual data like API keys or passwords.\u003c/p\u003e\n"],["\u003cp\u003eSecrets are ideal for securely storing and managing sensitive data as binary blobs or text strings, while encryption keys are better suited for encrypting and decrypting data.\u003c/p\u003e\n"],["\u003cp\u003eTo use Secret Manager with Datastream, users must create a secret and can do so either through Secret Manager or while defining connection details, needing the \u003ccode\u003eSecret Manager Secret Accessor\u003c/code\u003e role.\u003c/p\u003e\n"],["\u003cp\u003eYou can enable customer-managed encryption keys (CMEK) to add an extra layer of security for your secrets.\u003c/p\u003e\n"]]],[],null,["# Use Secret Manager to store sensitive data\n\nDatastream integrates with [Secret Manager](/security/products/secret-manager)\nto let you securely store authentication resources, such as source database\npasswords. Rather than use a plain text password when creating a connection\nprofile, create and use a secret.\n\nWhat are secrets\n----------------\n\n**Secrets** are global resources that contain metadata, such as labels,\nannotations, and permissions.\n\nSecrets also have **secret versions**. Secret versions store the actual data for\nthe secret resource, such as API keys, passwords, or certificates. Each version\nhas a unique identifier or a timestamp.\n\nHow are secrets different from encryption keys\n----------------------------------------------\n\nManaging secrets is equally important as managing encryption keys, however it\nfocuses on a different area of data security. You might use one or the other,\ndepending on your use cases and types of sensitive information that you store.\n\nYou would typically select secrets to securely store and manage your sensitive\ndata as binary blobs or text strings. Secrets store the actual data, but to\naccess it, you need specific permissions which are defined in the secrets\nmetadata.\n\nOn the other hand, encryption keys are a better choice if you need to encrypt or\ndecrypt data. You can't view or extract the actual cryptographic data that is\nused for encryption. Key management systems such as Cloud Key Management Service are typically\nused to manage more demending scenarios, for example encrypting rows in a\ndatabase, or images and files.\n\nIf you need an additional layer of protection for your data, you can enable\ncustomer-managed encryption keys (CMEK), and use your own encryption keys\nstored in Cloud Key Management Service to secure secrets in Secret Manager. For more\ninformation about how to use CMEK with Datastream, see\n[Use customer-managed encryption keys (CMEK)](/datastream/docs/use-cmek).\n\nUse Secret Manager with Datastream\n----------------------------------\n\nTo store your sensitive data for use with Datastream, you need to create\na secret using Secret Manager. For more information, see\n[Create a secret](/secret-manager/docs/creating-and-accessing-secrets).\n\nYou can also create a secret when you define connection details for your\nconnection profile. For detailed information, see\n[Create connection profiles](/datastream/docs/create-connection-profiles).\n| **Note:** You can store your newly created secret in any Google Cloud project, it doesn't have to be the project where you created your stream.\n\n### Required roles\n\n\nTo get the permissions that\nyou need to use Secret Manager with Datastream,\n\nask your administrator to grant you the\n\n\n[Secret Manager Secret Accessor](/iam/docs/roles-permissions/secretmanager#secretmanager.secretAccessor) (`roles/secretmanager.secretAccessor`)\nIAM role on the Datastream service account.\n\n\nFor more information about granting roles, see [Manage access to projects, folders, and organizations](/iam/docs/granting-changing-revoking-access).\n\n\nYou might also be able to get\nthe required permissions through [custom\nroles](/iam/docs/creating-custom-roles) or other [predefined\nroles](/iam/docs/roles-overview#predefined)."]]
