다음을 통해 공유


암호화 범위 만들기 및 관리

암호화 범위를 사용하면 개별 Blob 또는 컨테이너 수준에서 암호화를 관리할 수 있습니다. 암호화 범위를 사용하여 같은 스토리지 계정에 있지만 다른 고객에 속한 데이터 간에 보안 경계를 만들 수 있습니다. 암호화 범위에 대한 자세한 내용은 BLOB 스토리지의 암호화 범위를 참조하십시오.

이 문서에서는 암호화 범위를 만드는 방법을 설명합니다. 또한 BLOB 또는 컨테이너를 만들 때 암호화 범위를 지정하는 방법을 기술합니다.

암호화 범위 만들기

Azure Key Vault 또는 Azure Key Vault 관리형 HSM(Hardware Security Model)에 저장된 Microsoft 관리형 키 또는 고객 관리형 키로 보호되는 암호화 범위를 만들 수 있습니다. 고객 관리형 키를 사용하여 암호화 범위를 만들려면 먼저 키 자격 증명 모음 또는 관리되는 HSM을 만들고 범위에 사용하려는 키를 추가해야 합니다. 키 자격 증명 모음 또는 관리되는 HSM은 제거 보호를 사용하도록 설정해야 합니다.

스토리지 계정과 키 자격 증명 모음은 동일한 테넌트 또는 다른 테넌트에 있을 수 있습니다. 스토리지 계정 및 키 자격 증명 모음은 다른 지역에 있을 수 있습니다.

암호화 범위는 만들 때 자동으로 사용하도록 설정됩니다. 암호화 범위를 만든 후에는 BLOB를 만들 때 암호화 범위를 지정할 수 있습니다. 컨테이너를 만들 때 기본 암호화 범위를 지정할 수도 있습니다. 이 범위는 컨테이너의 모든 BLOB에 자동으로 적용됩니다.

암호화 범위를 구성하면 최소 1개월(30일) 동안 요금이 청구됩니다. 첫 달이 지나면 암호화 범위에 대한 요금이 시간 단위로 비례 배분됩니다. 자세한 내용은 암호화 범위에 대한 청구를 참조하세요.

Azure Portal에서 암호화 범위를 만드는 방법은 다음과 같습니다.

  1. Azure Portal의 스토리지 계정으로 이동합니다.

  2. 보안 + 네트워킹에서 암호화를 선택합니다.

  3. 암호화 범위 탭을 선택합니다.

  4. 추가 단추를 클릭하여 새 암호화 범위를 추가합니다.

  5. 암호화 범위 만들기 창에서 새 범위의 이름을 입력합니다.

  6. Microsoft 관리형 키 또는 고객 관리형 키 중에서 원하는 유형의 암호화 키 지원을 선택합니다.

    • Microsoft 관리형 키를 선택한 경우 만들기를 클릭하여 암호화 범위를 만듭니다.
    • 고객 관리형 키를 선택한 경우 구독을 선택하고 키 자격 증명 모음과 이 암호화 범위에 사용할 키를 지정합니다. 원하는 키 자격 증명 모음이 다른 지역에 있는 경우 키 URI 입력을 선택하고 키 URI를 지정합니다.
  7. 스토리지 계정에 대해 인프라 암호화를 사용하도록 설정한 경우 새 암호화 범위에 대해 자동으로 사용하도록 설정됩니다. 그렇지 않으면 암호화 범위에 대해 인프라 암호화를 사용하도록 설정할지 여부를 선택할 수 있습니다.

    Screenshot showing how to create encryption scope in Azure portal

스토리지 계정의 암호화 범위 나열

Azure Portal에서 스토리지 계정의 암호화 범위를 보려면 해당 스토리지 계정의 암호화 범위 설정으로 이동합니다. 이 창에서 암호화 범위를 사용 또는 사용하지 않도록 설정하거나 암호화 범위에 대한 키를 변경할 수 있습니다.

Screenshot showing list of encryption scopes in Azure portal

키 URI 및 버전과 키 버전의 자동 업데이트 여부 등 고객 관리형 키에 대한 세부 정보를 보려면 열의 링크를 누르십시오.

Screenshot showing details for a key used with an encryption scope

기본 암호화 범위를 사용하여 컨테이너 만들기

컨테이너를 만들 때 기본 암호화 범위를 지정할 수 있습니다. 해당 컨테이너의 BLOB는 기본적으로 해당 범위를 사용하게 됩니다.

컨테이너가 모든 BLOB에서 기본 범위를 사용하도록 구성된 경우를 제외하고는 개별 BLOB는 자체 암호화 범위를 사용하여 만들 수 있습니다. 자세한 내용은 컨테이너 및 BLOB의 암호화 범위를 참조하십시오.

Azure Portal에서 기본 암호화 범위를 사용하여 컨테이너를 만들려면 먼저 암호화 범위 만들기에 설명된 대로 암호화 범위를 만듭니다. 그런 다음, 다음 단계에 따라 컨테이너를 만듭니다.

  1. 스토리지 계정의 컨테이너 목록으로 이동하고 추가 단추를 선택하여 컨테이너를 만듭니다.

  2. 새 컨테이너 창에서 고급 설정을 확장합니다.

  3. 암호화 범위 드롭다운에서 컨테이너의 기본 암호화 범위를 선택합니다.

  4. 컨테이너의 모든 BLOB가 기본 암호화 범위를 사용하도록 요구하려면 확인란을 선택하여 컨테이너의 모든 BLOB에 대해 이 암호화 범위를 사용합니다. 이 확인란을 선택하면 컨테이너의 개별 BLOB가 기본 암호화 범위를 재정의할 수 없습니다.

    Screenshot showing container with default encryption scope

클라이언트가 기본 암호화 범위의 컨테이너에 BLOB를 업로드할 때 범위를 지정하려고 하고 컨테이너는 BLOB가 기본 범위를 재정의하지 않도록 구성된 경우 해당 작업은 컨테이너 암호화 정책에 의해 해당 요청이 금지됨을 나타내는 메시지와 함께 실패합니다.

암호화 범위를 사용하여 BLOB 업로드

BLOB를 업로드하는 경우 해당 BLOB의 암호화 범위를 지정하거나 컨테이너의 기본 암호화 범위(지정된 경우)를 사용할 수 있습니다.

참고 항목

암호화 범위를 사용하여 새 Blob을 업로드하는 경우 해당 Blob의 기본 액세스 계층을 변경할 수 없습니다. 또한 암호화 범위를 사용하는 기존 Blob의 액세스 계층은 변경할 수 없습니다. 액세스 계층에 대한 자세한 내용은 Blob 데이터에 대한 핫, 쿨 및 보관 액세스 계층을 참조하세요.

Azure Portal을 통해 암호화 범위를 사용하여 BLOB를 업로드하려면 먼저 암호화 범위 만들기에 설명된 대로 암호화 범위를 만듭니다. 그런 다음, 다음 단계에 따라 BLOB를 만듭니다.

  1. BLOB를 업로드하고자 하는 컨테이너로 이동합니다.

  2. 업로드 단추를 선택하고 업로드할 BLOB를 찾습니다.

  3. BLOB 업로드 창에서 고급 설정을 확장합니다.

  4. 암호화 범위 드롭다운 섹션을 찾습니다. 기본적으로 컨테이너의 기본 암호화 범위(지정된 경우)를 사용하여 BLOB가 만들어집니다. 컨테이너가 BLOB의 기본 암호화 범위 사용을 요구하는 경우 이 섹션을 사용할 수 없습니다.

  5. 업로드하는 BLOB에 대해 다른 범위를 지정하려면 기존 범위 선택을 선택한 다음 드롭다운에서 원하는 범위를 선택합니다.

    Screenshot showing how to upload a blob with an encryption scope

범위에 따른 암호화 키 변경

암호화 범위를 보호하는 키를 Microsoft 관리형 키에서 고객 관리형 키로 변경하려면 먼저 스토리지 계정에 대하여 Azure Key Vault 또는 Key Vault HSM를 사용하는 고객 관리형 키를 사용하도록 설정했는지 확인합니다. 자세한 내용은 Azure Key Vault에 저장된 고객 관리형 키로 암호화 구성 또는 Azure Key Vault에 저장된 고객 관리형 키로 암호화 구성을 참조하십시오.

Azure Portal에서 범위를 보호하는 키를 변경하는 방법은 다음과 같습니다.

  1. 암호화 범위 탭으로 이동하여 스토리지 계정에 대한 암호화 범위 목록을 봅니다.
  2. 수정하려는 범위 옆에 있는 자세히 단추를 선택합니다.
  3. 암호화 범위 편집 창에서 암호화 형식을 Microsoft 관리형 키에서 고객 관리형 키로 변경하거나 그 반대로 변경할 수 있습니다.
  4. 새 고객 관리형 키를 선택하려면 새 키 사용을 선택하고 키 자격 증명 모음, 키, 키 버전을 지정합니다.

암호화 범위를 사용하지 않도록 설정

불필요한 요금을 방지할 수 있도록 필요하지 않은 모든 암호화 범위를 사용하지 않도록 설정합니다. 자세한 내용은 암호화 범위에 대한 청구를 참조하세요.

Azure Portal에서 암호화 범위를 사용하지 않도록 설정하려면 스토리지 계정의 암호화 범위 설정으로 이동하여 원하는 암호화 범위를 선택하고 사용 안 함을 선택합니다.

다음 단계