보안 비밀 버전의 지연된 폐기

이 페이지에서는 보안 비밀 버전의 지연된 폐기에 대해 설명하고, 지연된 폐기 기간을 업데이트 또는 삭제하며, 폐기 예약된 보안 비밀 버전을 복원하는 방법을 설명합니다.

보안 비밀 버전을 폐기하면 보안 비밀 자료가 즉시 영구적으로 폐기됩니다. Secret Manager 관리자는 보안 비밀 버전이 요청 시 즉시 폐기되지 않고 구성 가능한 기간 동안 복구 가능한 상태로 유지되도록 보안 비밀 버전의 지연된 폐기를 설정할 수 있습니다.

지연된 폐기가 보안 비밀에 사용 설정되고 보안 비밀 버전을 폐기하면 다음 결과가 발생합니다.

버전이 사용 중지되어 사용할 수 없습니다.
지연 기간이 끝나면 시스템에서 영구 폐기를 예약합니다.
지연 기간이 만료되면 보안 비밀 버전이 영구적이고 영구적으로 폐기됩니다.

혜택

이 기능은 다음과 같은 이점을 제공합니다.

중요한 보안 비밀 자료의 우발적 또는 악의적 폐기를 방지하는 추가 보호 레이어로 작용합니다. Secret Manager 보안 비밀 버전 관리자 역할이 있는 모든 사용자는 보안 비밀 버전을 폐기할 수 있습니다. 이 작업은 취소할 수 없습니다. 지연된 폐기를 설정하면 보안 비밀 버전이 즉시 폐기되지 않도록 방지할 수 있습니다. 민감한 정보가 실수로 폐기되는 것을 모니터링하고 방지할 수 있으므로 보안 비밀 버전의 수명 주기를 관리하는 데 필요한 최소한의 액세스 권한을 사용자에게 부여할 수 있습니다.
보안 비밀 버전을 폐기하면 보안 비밀에 구성된 Pub/Sub 주제에 SECRET_VERSION_DESTROY_SCHEDULED 알림이 트리거됩니다. Secret Manager 관리자는 보안 비밀 버전을 사용 설정하거나 사용 중지함으로써 예약된 폐기를 취소하고 보안 비밀 버전을 복원할 수 있습니다.

시작하기 전에

Secret Manager API 사용 설정
API 사용 설정
인증을 설정합니다.

이 페이지의 샘플 사용 방법에 대한 탭을 선택하세요.
콘솔

Google Cloud 콘솔을 사용하여 Google Cloud 서비스 및 API에 액세스할 때는 인증을 설정할 필요가 없습니다.
gcloud

다음 개발 환경 중 하나에서 이 페이지의 gcloud CLI 샘플을 사용할 수 있습니다.
- Cloud Shell: gcloud CLI가 이미 설정된 온라인 터미널을 사용하려면 Cloud Shell을 활성화하세요.
  
  이 페이지 하단에서 Cloud Shell 세션이 시작되고 명령줄 프롬프트가 표시됩니다. 세션이 초기화되는 데 몇 초 정도 걸릴 수 있습니다.
- 로컬 셸: 로컬 개발 환경에서 gcloud CLI를 사용하려면 gcloud CLI를 설치하고 초기화합니다.
REST

로컬 개발 환경에서 이 페이지의 REST API 샘플을 사용하려면 gcloud CLI에 제공한 사용자 인증 정보를 사용합니다.

필요한 역할

보안 비밀 버전의 지연된 폐기를 설정하는 데 필요한 권한을 얻으려면 관리자에게 Secret Manager 관리자(roles/secretmanager.admin) 보안 비밀에 대한 IAM 역할을 부여해 달라고 요청하세요. 역할 부여에 대한 자세한 내용은 액세스 관리를 참조하세요.

커스텀 역할이나 다른 사전 정의된 역할을 통해 필요한 권한을 얻을 수도 있습니다.

지연된 폐기 설정

보안 비밀을 만들 때 또는 보안 비밀을 업데이트할 때 보안 비밀 버전의 지연된 폐기를 사용 설정할 수 있습니다.

콘솔

Google Cloud 콘솔에서 Secret Manager 페이지로 이동합니다.

Secret Manager로 이동
보안 비밀 만들기에 필요한 단계를 따릅니다.
보안 비밀 버전 폐기 지연 섹션으로 이동합니다.
지연된 폐기 설정 체크박스를 선택합니다.
폐기 지연 기간 필드에 일 단위로 기간을 입력합니다. 입력할 수 있는 최솟값은 1일이고 최댓값은 1,000일입니다.
보안 비밀 만들기를 클릭합니다.

기존 보안 비밀에서 이 기능을 사용 설정하려면 보안 비밀 수정 페이지로 이동한 후 폐기 지연 기간을 구성합니다.

gcloud

보안 비밀의 폐기 지연 기간을 구성하려면 gcloud beta secret create 명령어를 사용합니다.

아래의 명령어 데이터를 사용하기 전에 다음을 바꿉니다.

SECRET_ID: 보안 비밀의 ID 또는 보안 비밀의 정규화된 식별자
TTL_DURATION: 보안 비밀 버전의 폐기 지연 기간 기간은 일, 시간, 초 등의 원하는 형식으로 입력할 수 있습니다. 필요한 최소 기간은 1일이고 최대 기간은 1,000일로 설정할 수 있습니다.

다음 명령어를 실행합니다.

Linux, macOS 또는 Cloud Shell

gcloud beta secrets create SECRET_ID --version-destroy-ttl=TTL_DURATION

Windows(PowerShell)

gcloud beta secrets create SECRET_ID --version-destroy-ttl=TTL_DURATION

Windows(cmd.exe)

gcloud beta secrets create SECRET_ID --version-destroy-ttl=TTL_DURATION

응답에 새로 생성된 보안 비밀이 포함됩니다.

REST

요청 데이터를 사용하기 전에 다음을 바꿉니다.

PROJECT_ID: 보안 비밀을 만들려는 Google Cloud 프로젝트 ID
SECRET_ID: 보안 비밀의 ID 또는 보안 비밀의 정규화된 식별자
TTL_DURATION: 보안 비밀 버전의 폐기 지연 기간 기간을 초 단위로 입력하세요. 참고로, 필요한 최소 기간은 1일이고 최대 기간은 1,000일로 설정할 수 있습니다.

HTTP 메서드 및 URL:

POST https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID

JSON 요청 본문:

{"replication": {"automatic": {}}, "version_destroy_ttl":"TTL_DURATION"}

요청을 보내려면 다음 옵션 중 하나를 선택합니다.

curl

참고: 다음 명령어는 gcloud init 또는 gcloud auth login을 실행하거나 gcloud CLI에 자동으로 로그인하는 Cloud Shell을 사용하여 사용자 계정으로 gcloud CLI에 로그인했다고 가정합니다. gcloud auth list를 실행하면 현재 활성 계정을 확인할 수 있습니다.

요청 본문을 request.json 파일에 저장하고 다음 명령어를 실행합니다.

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID"

PowerShell

참고: 다음 명령어는 gcloud init 또는 gcloud auth login을 실행하여 사용자 계정으로 gcloud CLI에 로그인했다고 가정합니다. gcloud auth list를 실행하면 현재 활성 계정을 확인할 수 있습니다.

요청 본문을 request.json 파일에 저장하고 다음 명령어를 실행합니다.

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID" | Select-Object -Expand Content

다음과 비슷한 JSON 응답이 표시됩니다.

{
  "name":"projects/PROJECT_ID/secrets/SECRET_ID",
  "replication":{
     "automatic":{

     }
  },
  "createTime":"2023-10-16T17:10:16.345401Z",
  "etag":"\"1607d90ee3d84c\"",
  "versionDestroyTtl":"TTL_DURATION"
}

다음 시나리오에서는 지연된 폐기가 적용되지 않습니다.

보안 비밀을 삭제하면 모든 보안 비밀 자료와 관련 보안 비밀 버전이 즉시 삭제됩니다.
보안 비밀에 만료일이 설정되고 보안 비밀이 만료되면 보안 비밀에 지연된 폐기가 사용 설정된 경우에도 모든 보안 비밀 버전이 즉시 폐기됩니다.

폐기 지연 기간 업데이트

콘솔

Google Cloud 콘솔에서 Secret Manager 페이지로 이동합니다.

Secret Manager로 이동
다음 옵션 중 하나를 사용하여 보안 비밀을 수정합니다.
- 수정하려는 보안 비밀과 연결된 작업 더보기를 클릭하고 메뉴에서 수정을 선택합니다.
- 보안 비밀 이름을 클릭하여 보안 비밀 세부정보 페이지로 이동합니다. 보안 비밀 세부정보 페이지에서 보안 비밀 수정을 클릭합니다.
보안 비밀 버전 폐기 지연 섹션으로 이동합니다.
폐기 지연 기간 필드에 업데이트된 기간을 입력합니다.
보안 비밀 업데이트를 클릭합니다.

gcloud

폐기 지연 기간을 업데이트하려면 gcloud beta secret update 명령어를 사용합니다.

아래의 명령어 데이터를 사용하기 전에 다음을 바꿉니다.

SECRET_ID: 보안 비밀의 ID 또는 보안 비밀의 정규화된 식별자
TTL_DURATION: 보안 비밀 버전의 폐기 지연 기간

다음 명령어를 실행합니다.

Linux, macOS 또는 Cloud Shell

gcloud beta secrets update SECRET_ID --version-destroy-ttl=TTL_DURATION

Windows(PowerShell)

gcloud beta secrets update SECRET_ID --version-destroy-ttl=TTL_DURATION

Windows(cmd.exe)

gcloud beta secrets update SECRET_ID --version-destroy-ttl=TTL_DURATION

응답에 업데이트된 보안 비밀이 포함됩니다.

REST

요청 데이터를 사용하기 전에 다음을 바꿉니다.

PROJECT_ID: Google Cloud 프로젝트 ID
SECRET_ID: 보안 비밀의 ID 또는 보안 비밀의 정규화된 식별자
TTL_DURATION: 보안 비밀 버전의 폐기 지연 기간

HTTP 메서드 및 URL:

PATCH https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=version_destroy_ttl

JSON 요청 본문:

{
  "version_destroy_ttl":"TTL_DURATION"
}

요청을 보내려면 다음 옵션 중 하나를 선택합니다.

curl

요청 본문을 request.json 파일에 저장하고 다음 명령어를 실행합니다.

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=version_destroy_ttl"

PowerShell

요청 본문을 request.json 파일에 저장하고 다음 명령어를 실행합니다.

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=version_destroy_ttl" | Select-Object -Expand Content

다음과 비슷한 JSON 응답이 표시됩니다.

{
  "name":"projects/PROJECT_ID/secrets/SECRET_ID",
  "replication":{
     "automatic":{

     }
  },
  "createTime":"2023-10-16T17:10:16.345401Z",
  "etag":"\"1607d90ee3d84c\"",
  "versionDestroyTtl":"TTL_DURATION"
}

폐기 지연 기간의 영향을 받는 보안 비밀 버전은 다음에 따라 달라집니다.

보안 비밀에 지연된 폐기를 처음 설정하면 폐기 지연 기간은 보안 비밀의 모든 활성(사용 설정 및 중지된) 버전에 영향을 미칩니다.
폐기 지연 기간이 업데이트되거나 삭제되면 폐기 작업이 시도된 새 보안 비밀 버전에만 변경사항이 반영됩니다. 이미 폐기 예약된 보안 비밀 버전은 예약된 삭제 시간에 계속 폐기됩니다.

지연된 폐기 사용 중지

콘솔

Google Cloud 콘솔에서 Secret Manager 페이지로 이동합니다.

Secret Manager로 이동
다음 옵션 중 하나를 사용하여 보안 비밀을 수정합니다.
- 수정하려는 보안 비밀과 연결된 작업 더보기를 클릭하고 메뉴에서 수정을 선택합니다.
- 보안 비밀 이름을 클릭하여 보안 비밀 세부정보 페이지로 이동합니다. 보안 비밀 세부정보 페이지에서 보안 비밀 수정을 클릭합니다.
보안 비밀 버전 폐기 지연 섹션으로 이동합니다.
지연된 폐기 설정 체크박스를 선택 취소합니다.
보안 비밀 업데이트를 클릭합니다.

gcloud

폐기 지연 기간을 삭제하려면 gcloud beta secret update 명령어를 사용합니다.

아래의 명령어 데이터를 사용하기 전에 다음을 바꿉니다.

SECRET_ID: 보안 비밀의 ID 또는 보안 비밀의 정규화된 식별자

다음 명령어를 실행합니다.

Linux, macOS 또는 Cloud Shell

gcloud beta secrets update SECRET_ID --remove-version-destroy-ttl

Windows(PowerShell)

gcloud beta secrets update SECRET_ID --remove-version-destroy-ttl

Windows(cmd.exe)

gcloud beta secrets update SECRET_ID --remove-version-destroy-ttl

응답에 업데이트된 보안 비밀이 포함됩니다.

REST

요청 데이터를 사용하기 전에 다음을 바꿉니다.

PROJECT_ID: Google Cloud 프로젝트 ID
SECRET_ID: 보안 비밀의 ID 또는 보안 비밀의 정규화된 식별자

HTTP 메서드 및 URL:

PATCH https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=version_destroy_ttl

JSON 요청 본문:

{}

요청을 보내려면 다음 옵션 중 하나를 선택합니다.

curl

요청 본문을 request.json 파일에 저장하고 다음 명령어를 실행합니다.

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=version_destroy_ttl"

PowerShell

요청 본문을 request.json 파일에 저장하고 다음 명령어를 실행합니다.

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=version_destroy_ttl" | Select-Object -Expand Content

다음과 비슷한 JSON 응답이 표시됩니다.

{
  "name":"projects/PROJECT_ID/secrets/SECRET_ID",
  "replication":{
     "automatic":{

     }
  },
  "createTime":"2023-10-16T17:10:16.345401Z",
  "etag":"\"1607d90ee3d84c\""
}