이번 주는 데이터 보호의 첫 번째 축인 암호화와 키 관리를 다뤘다. KMS key의 종류와 이중 권한 모델(Day 1), 봉투 암호화와 데이터 키·암호화 컨텍스트(Day 2), 키 정책·grant·교차계정·ViaService(Day 3), 전송/저장 암호화와 키 회전(Day 4). 오늘은 이들을 하나의 결정 체계로 묶는다. 시험은 단편 지식보다 *"이 데이터 보호 요구에 어떤 키, 어떤 권한, 어떤 암호화 위치를 고르는가"*를 묻는다. 핵심 축은 **키 통제 수준 × 권한 메커니즘 × 암호화 위치(전송/저장/계층)**의 3차원이다.
| 요구/상황 | 핵심 선택 | 이유 |
|---|---|---|
| 키 정책 편집·회전 통제·교차계정 공유 | customer managed key | AWS managed key는 정책 고정 |
| KMS 호출 권한 없는 외부가 암호화 | 비대칭 키(퍼블릭 배포) | 프라이빗 키 KMS 내부 유지 |
| 디지털 서명/검증 | 비대칭 키(SIGN_VERIFY) | 프라이빗 서명, 퍼블릭 검증 |
| 대용량 데이터 암호화 | 봉투 암호화(GenerateDataKey) | KMS는 4KB 한계 |
| 키 생성/암호화 주체 분리 | GenerateDataKeyWithoutPlaintext | 평문 키 노출 최소화 |
| 암호문을 특정 맥락에 바인딩 | 암호화 컨텍스트(AAD) | 무결성+권한 조건 |
| 임시·세밀·취소 가능 권한 |