이 페이지는 Cloud Translation API를 통해 번역되었습니다.

보안 비밀 버전의 지연된 폐기

이 페이지에서는 보안 비밀 버전의 지연된 폐기에 대해 설명하고, 지연된 폐기 기간을 업데이트 또는 삭제하며, 폐기 예약된 보안 비밀 버전을 복원하는 방법을 설명합니다.

보안 비밀 버전을 폐기하면 보안 비밀 자료가 즉시 영구적으로 폐기됩니다. Secret Manager 관리자는 삭제 요청이 있을 때 보안 비밀 버전이 즉시 폐기되지 않고 일정 기간 동안 복구 가능한 상태로 유지되는 방식으로 보안 비밀 버전의 폐기 지연을 설정할 수 있습니다.

보안 비밀에 대해 지연된 폐기가 사용 설정된 상태에서 보안 비밀 버전을 폐기하면 다음 결과가 발생합니다.

버전이 사용 중지되어 사용할 수 없게 됩니다.
시스템에서 지연 기간 말미에 버전의 영구 폐기가 예약됩니다.
지연 기간이 만료되면 보안 비밀 버전이 영구적으로 되돌릴 수 없는 상태로 폐기됩니다.

혜택

이 기능은 다음과 같은 이점이 있습니다.

중요한 보안 비밀 자료의 우발적 또는 악의적 폐기를 방지하는 추가 보호 레이어로 작용합니다. Secret Manager 보안 비밀 버전 관리자 역할이 있는 사용자가 보안 비밀 버전을 폐기할 수 있습니다. 이 작업은 되돌릴 수 없습니다. 지연된 폐기를 설정하면 보안 비밀 버전이 즉시 폐기되지 않도록 방지할 수 있습니다. 보안 비밀 버전의 수명 주기를 관리하는 데 필요한 최소한의 액세스 권한을 사용자에게 부여할 수 있습니다. 이렇게 하면 민감한 정보가 실수로 폐기되지 않도록 모니터링하고 방지할 수 있습니다.
보인 비밀 버전을 폐기하면 보안 비밀에 구성된 Pub/Sub 주제에 SECRET_VERSION_DESTROY_SCHEDULED 알림이 트리거됩니다. Secret Manager 관리자는 보안 비밀 버전을 사용 설정하거나 사용 중지함으로써 예약된 폐기를 취소하고 보안 비밀 버전을 복원할 수 있습니다.

시작하기 전에

Enable the Secret Manager API.
Enable the API
인증을 설정합니다.

Select the tab for how you plan to use the samples on this page:
Console

When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.
gcloud

In the Google Cloud console, activate Cloud Shell.

Activate Cloud Shell

At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
REST

로컬 개발 환경에서 이 페이지의 REST API 샘플을 사용하려면 gcloud CLI에 제공하는 사용자 인증 정보를 사용합니다.
자세한 내용은 Google Cloud 인증 문서의 REST 사용 인증을 참조하세요.

필요한 역할

보안 비밀 버전의 지연된 폐기를 설정하는 데 필요한 권한을 얻으려면 관리자에게 Secret Manager 관리자(roles/secretmanager.admin) 보안 비밀에 대한 IAM 역할을 부여해 달라고 요청하세요. 역할 부여에 대한 자세한 내용은 액세스 관리를 참조하세요.

커스텀 역할이나 다른 사전 정의된 역할을 통해 필요한 권한을 얻을 수도 있습니다.

지연된 폐기 설정

보안 비밀을 만들 때 또는 보안 비밀을 업데이트할 때 보안 비밀 버전의 지연된 폐기를 사용 설정할 수 있습니다.

콘솔

Google Cloud 콘솔에서 Secret Manager 페이지로 이동합니다.

Secret Manager로 이동
보안 비밀 만들기에 필요한 단계를 수행합니다.
보안 비밀 버전 폐기 지연 섹션으로 이동합니다.
지연된 폐기 기간 설정 체크박스를 선택합니다.
폐기 지연 기간 필드에 기간(일)을 입력합니다. 입력할 수 있는 최솟값은 1일이고 최댓값은 1,000일입니다.
보안 비밀 만들기를 클릭합니다.

기존 보안 비밀에 이 기능을 사용 설정하려면 보안 비밀 수정 페이지로 이동한 후 폐기 지연 기간을 구성합니다.

gcloud

보안 비밀에 대해 폐기 지연 기간을 구성하려면 gcloud beta secrets create 명령어를 사용합니다.

아래의 명령어 데이터를 사용하기 전에 다음을 바꿉니다.

SECRET_ID: 보안 비밀의 ID 또는 보안 비밀의 정규화된 식별자
TTL_DURATION: 보안 비밀 버전의 폐기 지연 기간 기간은 일, 시간, 초 단위로 입력할 수 있습니다. 필요한 최소 기간은 1일이고 최대 기간은 1,000일까지 설정할 수 있습니다.

다음 명령어를 실행합니다.

Linux, macOS 또는 Cloud Shell

gcloud beta secrets create SECRET_ID --version-destroy-ttl=TTL_DURATION

Windows(PowerShell)

gcloud beta secrets create SECRET_ID --version-destroy-ttl=TTL_DURATION

Windows(cmd.exe)

gcloud beta secrets create SECRET_ID --version-destroy-ttl=TTL_DURATION

응답에 새로 생성된 보안 비밀이 포함됩니다.

REST

요청 데이터를 사용하기 전에 다음을 바꿉니다.

PROJECT_ID: 보안 비밀을 만들려는 Google Cloud 프로젝트 ID
SECRET_ID: 보안 비밀의 ID 또는 보안 비밀의 정규화된 식별자
TTL_DURATION: 보안 비밀 버전의 폐기 지연 기간 기간을 초 단위로 입력하세요. 참고로, 필요한 최소 기간은 1일이고 최대 기간은 1,000일로 설정할 수 있습니다.

HTTP 메서드 및 URL:

POST https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID

JSON 요청 본문:

{"replication": {"automatic": {}}, "version_destroy_ttl":"TTL_DURATION"}

요청을 보내려면 다음 옵션 중 하나를 선택합니다.

curl

참고: 다음 명령어는 gcloud init 또는 gcloud auth login을 실행하거나 gcloud CLI에 자동으로 로그인하는 Cloud Shell을 사용하여 사용자 계정으로 gcloud CLI에 로그인했다고 가정합니다. gcloud auth list를 실행하면 현재 활성 계정을 확인할 수 있습니다.

요청 본문을 request.json 파일에 저장하고 다음 명령어를 실행합니다.

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID"

PowerShell

참고: 다음 명령어는 gcloud init 또는 gcloud auth login을 실행하여 사용자 계정으로 gcloud CLI에 로그인했다고 가정합니다. gcloud auth list를 실행하면 현재 활성 계정을 확인할 수 있습니다.

요청 본문을 request.json 파일에 저장하고 다음 명령어를 실행합니다.

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID" | Select-Object -Expand Content

다음과 비슷한 JSON 응답이 표시됩니다.

{
  "name":"projects/PROJECT_ID/secrets/SECRET_ID",
  "replication":{
     "automatic":{

     }
  },
  "createTime":"2023-10-16T17:10:16.345401Z",
  "etag":"\"1607d90ee3d84c\"",
  "versionDestroyTtl":"TTL_DURATION"
}

지연된 삭제는 다음과 같은 경우에 적용되지 않습니다.

보안 비밀이 삭제되었으면 모든 보안 비밀 자료 및 관련 보안 비밀 버전이 즉시 삭제됩니다.
만료 날짜가 보안 비밀에 설정되었고 보안 비밀이 만료되면 지연된 폐기가 보안 비밀에 사용 설정되어 있더라도 모든 보안 비밀 버전이 즉시 폐기됩니다.

폐기 지연 기간 업데이트

콘솔

Google Cloud 콘솔에서 Secret Manager 페이지로 이동합니다.

Secret Manager로 이동
다음 옵션 중 하나를 사용하여 보안 비밀을 수정합니다.
- 수정하려는 보안 비밀과 연결된 작업 더보기를 클릭하고 메뉴에서 수정을 선택합니다.
- 보안 비밀 이름을 클릭하여 보안 비밀 세부정보 페이지로 이동합니다. 보안 비밀 세부정보 페이지에서 보안 비밀 수정을 클릭합니다.
보안 비밀 버전 폐기 지연 섹션으로 이동합니다.
폐기 지연 기간 필드에 업데이트된 기간을 입력합니다.
보안 비밀 업데이트를 클릭합니다.

gcloud

폐기 지연 기간을 업데이트하려면 gcloud beta secrets update 명령어를 사용합니다.

아래의 명령어 데이터를 사용하기 전에 다음을 바꿉니다.

SECRET_ID: 보안 비밀의 ID 또는 보안 비밀의 정규화된 식별자
TTL_DURATION: 보안 비밀 버전의 폐기 지연 기간

다음 명령어를 실행합니다.

Linux, macOS 또는 Cloud Shell

gcloud beta secrets update SECRET_ID --version-destroy-ttl=TTL_DURATION

Windows(PowerShell)

gcloud beta secrets update SECRET_ID --version-destroy-ttl=TTL_DURATION

Windows(cmd.exe)

gcloud beta secrets update SECRET_ID --version-destroy-ttl=TTL_DURATION

응답에는 업데이트된 보안 비밀이 포함됩니다.

REST

요청 데이터를 사용하기 전에 다음을 바꿉니다.

PROJECT_ID: Google Cloud 프로젝트 ID
SECRET_ID: 보안 비밀의 ID 또는 보안 비밀의 정규화된 식별자
TTL_DURATION: 보안 비밀 버전의 폐기 지연 기간

HTTP 메서드 및 URL:

PATCH https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=version_destroy_ttl

JSON 요청 본문:

{
  "version_destroy_ttl":"TTL_DURATION"
}

요청을 보내려면 다음 옵션 중 하나를 선택합니다.

curl

요청 본문을 request.json 파일에 저장하고 다음 명령어를 실행합니다.

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=version_destroy_ttl"

PowerShell

요청 본문을 request.json 파일에 저장하고 다음 명령어를 실행합니다.

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=version_destroy_ttl" | Select-Object -Expand Content

다음과 비슷한 JSON 응답이 표시됩니다.

{
  "name":"projects/PROJECT_ID/secrets/SECRET_ID",
  "replication":{
     "automatic":{

     }
  },
  "createTime":"2023-10-16T17:10:16.345401Z",
  "etag":"\"1607d90ee3d84c\"",
  "versionDestroyTtl":"TTL_DURATION"
}

폐기 지연 기간에 영향을 받는 보안 비밀 버전은 다음에 따라 달라집니다.

보안 비밀에 지연된 폐기를 처음 설정하면 폐기 지연 기간은 보안 비밀의 모든 활성(사용 설정 및 중지된) 버전에 영향을 미칩니다.
폐기 지연 기간이 업데이트되었거나 삭제되었을 때 변경 사항은 폐기 작업이 시도된 새 보안 비밀 버전에만 반영됩니다. 이미 폐기하도록 예약된 보안 비밀 버전은 예정된 폐기 시간에 폐기됩니다.

지연된 폐기 사용 중지

콘솔

Google Cloud 콘솔에서 Secret Manager 페이지로 이동합니다.

Secret Manager로 이동
다음 옵션 중 하나를 사용하여 보안 비밀을 수정합니다.
- 수정하려는 보안 비밀과 연결된 작업 더보기를 클릭하고 메뉴에서 수정을 선택합니다.
- 보안 비밀 이름을 클릭하여 보안 비밀 세부정보 페이지로 이동합니다. 보안 비밀 세부정보 페이지에서 보안 비밀 수정을 클릭합니다.
보안 비밀 버전 폐기 지연 섹션으로 이동합니다.
지연된 폐기 기간 설정 체크박스를 선택 해제합니다.
보안 비밀 업데이트를 클릭합니다.

gcloud

폐기 지연 기간을 삭제하려면 gcloud beta secrets update 명령어를 사용합니다.

아래의 명령어 데이터를 사용하기 전에 다음을 바꿉니다.

SECRET_ID: 보안 비밀의 ID 또는 보안 비밀의 정규화된 식별자

다음 명령어를 실행합니다.

Linux, macOS 또는 Cloud Shell

gcloud beta secrets update SECRET_ID --remove-version-destroy-ttl

Windows(PowerShell)

gcloud beta secrets update SECRET_ID --remove-version-destroy-ttl

Windows(cmd.exe)

gcloud beta secrets update SECRET_ID --remove-version-destroy-ttl

응답에는 업데이트된 보안 비밀이 포함됩니다.

REST

요청 데이터를 사용하기 전에 다음을 바꿉니다.

PROJECT_ID: Google Cloud 프로젝트 ID
SECRET_ID: 보안 비밀의 ID 또는 보안 비밀의 정규화된 식별자

HTTP 메서드 및 URL:

PATCH https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=version_destroy_ttl

JSON 요청 본문:

{}

요청을 보내려면 다음 옵션 중 하나를 선택합니다.

curl

요청 본문을 request.json 파일에 저장하고 다음 명령어를 실행합니다.

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=version_destroy_ttl"

PowerShell

요청 본문을 request.json 파일에 저장하고 다음 명령어를 실행합니다.

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=version_destroy_ttl" | Select-Object -Expand Content

다음과 비슷한 JSON 응답이 표시됩니다.

{
  "name":"projects/PROJECT_ID/secrets/SECRET_ID",
  "replication":{
     "automatic":{

     }
  },
  "createTime":"2023-10-16T17:10:16.345401Z",
  "etag":"\"1607d90ee3d84c\""
}