CA-11 관계형데이터베이스암호화설정

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

# AWS CLI 예시
# RDS 인스턴스 암호화 확인
aws rds describe-db-instances \
  --query "DBInstances[].{DBInstanceIdentifier:DBInstanceIdentifier,StorageEncrypted:StorageEncrypted,KmsKeyId:KmsKeyId}"

# Aurora 클러스터 암호화 확인
aws rds describe-db-clusters \
  --query "DBClusters[].{DBClusterIdentifier:DBClusterIdentifier,StorageEncrypted:StorageEncrypted}"

# 암호화되지 않은 인스턴스 필터링
aws rds describe-db-instances \
  --query "DBInstances[?StorageEncrypted==`false`].{DBInstanceIdentifier:DBInstanceIdentifier,Engine:Engine}"

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# Azure CLI 예시
# SQL Database 투명 데이터 암호화 확인
az sql db show \
  --name database-name \
  --server server-name \
  --resource-group group-name \
  --query "transparentDataEncryption"

# 모든 데이터베이스의 TDE 상태 확인
az sql db list --server server-name --resource-group group-name \
  --query "[].{Name:name,TDE:transparentDataEncryption.status}"

1
2
3
4
5
6
7

# GCP CLI 예시
# Cloud SQL 인스턴스 암호화 확인
gcloud sql instances describe instance-name \
  --format="table(name, diskEncryptionStatus)"

# 모든 인스턴스의 암호화 상태 확인
gcloud sql instances list --format="table(name,diskEncryptionStatus)"

1
2
3
4
5
6
7
8
9

# AWS - RDS 스냅샷 암호화 확인
aws rds describe-db-snapshots \
  --snapshot-type automated \
  --query "DBSnapshots[].{DBSnapshotIdentifier:DBSnapshotIdentifier,Encrypted:Encrypted}"

# 암호화되지 않은 스냅샷 찾기
aws rds describe-db-snapshots \
  --snapshot-type automated \
  --query "DBSnapshots[?Encrypted==`false`].DBSnapshotIdentifier"

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

# AWS - 새로운 RDS 인스턴스 생성 시 암호화 활성화
aws rds create-db-instance \
  --db-instance-identifier mydb \
  --db-instance-class db.t3.micro \
  --engine mysql \
  --master-username admin \
  --master-user-password mypassword \
  --allocated-storage 20 \
  --storage-encrypted \
  --kms-key-id alias/my-key

# Aurora 클러스터 생성 시 암호화 활성화
aws rds create-db-cluster \
  --db-cluster-identifier myaurora \
  --engine aurora-mysql \
  --master-username admin \
  --master-user-password mypassword \
  --storage-encrypted \
  --kms-key-id alias/my-key

1
2
3
4
5
6

# Azure - SQL Database 생성 시 TDE 활성화
az sql db create \
  --name database-name \
  --server server-name \
  --resource-group group-name \
  --transparent-data-encryption true

1
2
3
4
5
6

# GCP - Cloud SQL 인스턴스 생성 시 암호화 활성화
gcloud sql instances create instance-name \
  --tier db-n1-standard-1 \
  --database-version MYSQL_5_7 \
  --region us-central1 \
  --disk-encryption-key projects/my-project/locations/us-central1/keyRings/my-key-ring/cryptoKeys/my-key

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23

# 1) 암호화되지 않은 인스턴스의 스냅샷 생성
aws rds create-db-snapshot \
  --db-instance-identifier mydb \
  --db-snapshot-identifier mydb-snapshot

# 2) 스냅샷 복사 시 암호화 적용
aws rds copy-db-snapshot \
  --source-db-snapshot-identifier mydb-snapshot \
  --target-db-snapshot-identifier mydb-snapshot-encrypted \
  --kms-key-id alias/my-key

# 3) 암호화된 스냅샷에서 새 인스턴스 복원
aws rds restore-db-instance-from-db-snapshot \
  --db-instance-identifier mydb-encrypted \
  --db-snapshot-identifier mydb-snapshot-encrypted

# 4) 트래픽을 새 인스턴스로 전환
# (DNS 레코드 변경 또는 애플리케이션 설정 수정)

# 5) 이전 인스턴스 삭제
aws rds delete-db-instance \
  --db-instance-identifier mydb \
  --skip-final-snapshot

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

# AWS - KMS 키 생성
aws kms create-key \
  --description "RDS encryption key" \
  --key-usage ENCRYPT_DECRYPT

# 키에 별칭 부여
aws kms create-alias \
  --alias-name alias/rds-key \
  --target-key-id key-id

# 키 정책 설정
aws kms put-key-policy \
  --key-id key-id \
  --policy-name default \
  --policy file://key-policy.json

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31

// key-policy.json 예시
{
  "Version": "2012-10-17",
  "Id": "rds-key-policy",
  "Statement": [
    {
      "Sid": "Enable IAM User Permissions",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:user/admin"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "Allow RDS to use the key",
      "Effect": "Allow",
      "Principal": {
        "Service": "rds.amazonaws.com"
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    }
  ]
}