Amazon Web Services에서 자동 Queryable Encryption 사용

AWS 관리 콘솔 에 로그인합니다. .

AWS KMS 콘솔 로 이동합니다. .

고객 마스터 키 생성

대칭 KMS 키 생성 에 대한 AWS 공식 설명서에 따라 새 대칭 키를 생성합니다. . 생성한 키는 고객 마스터 키입니다. 식별에 도움이 되는 이름과 설명을 선택합니다. 이러한 필드는 CMK 의 기능이나 구성에 영향을 주지 않습니다.

키 생성 프로세스의 Usage Permissions 단계에서 ID 및 액세스 관리(IAM) 정책을 허용하여 고객 마스터 키에 대한 액세스 권한을 부여하는 다음 기본 키 정책을 적용합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Enable IAM User Permissions",
      "Effect": "Allow",
      "Principal": {
        "AWS": "<ARN of your AWS account principal>"
      },
      "Action": "kms:*",
      "Resource": "*"
    }
  ]
}

AWS IAM 콘솔 로 이동합니다. .

IAM 사용자 생성

사용자 추가 에 대한 공식 AWS 설명서에 따라 AWS 관리 콘솔에서 새 프로그래밍 IAM사용자를 생성합니다. . 이 IAM 사용자를 Queryable Encryption 지원 애플리케이션의 서비스 계정으로 사용하게 됩니다. 애플리케이션은 고객 마스터 키(CMK)로 데이터 암호화 키(DEK)를 암호화 및 복호화하기 위해 IAM 사용자를 사용하여 AWS KMS로 인증합니다.

권한 부여

IAM 사용자에게 원격 마스터 키에 대한 kms:Encrypt 및 kms:Decrypt 권한을 부여합니다.

다음 인라인 정책은 IAM 사용자가 가능한 최소 권한으로 고객 마스터 키를 사용하여 암호화하고 해독할 수 있도록 허용합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["kms:Decrypt", "kms:Encrypt"],
      "Resource": "<the Amazon Resource Name (ARN) of your remote master key>"
    }
  ]
}

앞의 정책을 IAM 사용자에게 적용하려면 IAM ID 권한 추가 하기 가이드를 참조하세요.

AWS KMS 자격 증명 추가

다음 구조의 AWS KMS 자격 증명이 포함된 변수를 생성합니다. 이 튜토리얼 의 IAM 사용자 생성 단계에서 생성한 액세스 키 ID 및 비밀 액세스 키를 사용합니다.

고객 마스터 키 자격 증명 추가

다음 구조로 고객 마스터 키 자격 증명이 포함된 변수를 생성합니다. 이 튜토리얼 의 고객 마스터 키 생성 단계에서 기록한 ARN및 리전을 사용합니다.

자동 암호화 옵션 설정

클라이언트를 생성하여 암호화된 컬렉션 설정하기

컬렉션의 데이터를 암호화하고 해독하는 데 사용되는 클라이언트를 만들려면 연결 URI와 자동 암호화 옵션을 사용하여 새 MongoClient 를 인스턴스화합니다.

암호화할 필드 지정

필드를 암호화하려면 암호화 스키마에 추가합니다. 필드에서 쿼리를 활성화하려면 "queries" 속성을 추가합니다. 다음과 같이 암호화 스키마를 생성합니다.

컬렉션 만들기

ClientEncryption 을(를) 인스턴스화하여 암호화 헬퍼 메서드에 대한 API에 액세스합니다.