Cloud Dedicated 자체 키 관리(BYOK)

Mattermost v11.11번역일: 2026-09-02원본 보기

BYOK(Bring Your Own Key)는 Enterprise Cloud 고객이 자신의 암호화 키 수명 주기를 직접 통제할 수 있게 해 줍니다. BYOK는 기업이 직접 제공하고 관리하는 맞춤 KMS 키를 사용한 저장 데이터 암호화(encryption at rest)를 지원합니다.

BYOK를 사용하려면 Mattermost Cloud Enterprise Dedicated 구독이 필요합니다. 이 구독은 기업이 데이터 암호화 절차를 완전히 통제할 수 있게 하여 데이터 보안과 컴플라이언스를 강화합니다.

Mattermost Cloud Enterprise Dedicated에서는 KMS 키를 두 가지 방식으로 사용할 수 있습니다.

  • 모든 서비스에 하나의 KMS 키를 사용하거나,
  • 서비스별 KMS 키(EBS, RDS, S3)를 사용합니다.
    • 키가 서비스마다 고유할 필요는 없습니다.
    • 모든 서비스는 저장 데이터가 암호화되어야 합니다.
    • 이 기능을 선택적으로 활성화하는 것도 지원할 수 있습니다.
    • 글로벌 데이터베이스가 필요한 경우에는 KMS 키 2개(리전당 1개)를 제공하는 것을 권장합니다.

BYOK 구성

  1. Enterprise 고객이 자신의 AWS KMS ARN을 Mattermost 인프라 SRE 팀에 제공합니다.
  2. Enterprise 고객이 제공한 AWS KMS ARN의 KMS 정책에 다음 블록을 추가합니다.
{
    "Sid": "Allow use of the key",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::<MATTERMOST_AWS_ACCOUNT_ID>:user/mattermost-cloud-<environment>-provisioning-<VPC_ID>"
    },
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "<CUSTOM_CUSTOMER_KMS_ID>"
},
{
    "Sid": "Allow use of the key role nodes",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::<MATTERMOST_AWS_ACCOUNT_ID>:role/nodes.<CLUSTER_ID>-kops.k8s.local"
    },
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "<CUSTOM_CUSTOMER_KMS_ID>"
},
  1. 고객 측에서 KMS 정책이 갱신되면 Mattermost 인프라 SRE 팀이 kops 클러스터와 S3, RDS 리소스를 업데이트합니다.

또는 Enterprise 고객이 KMS가 아닌 외부 키를 Mattermost 인프라 SRE 팀에 제공하여 Mattermost가 고객을 대신해 관리하도록 할 수도 있습니다. 이 방식은 고객이 갖는 통제권은 줄어들지만 설정 절차가 단순해집니다.

요구 사항

  • 고객이 자신의 AWS 계정을 소유해야 합니다. (위에서 설명한 대안 방식에서는 이 부분이 Mattermost에 위임됩니다.)
  • 고객이 맞춤 KMS 키의 유지·관리 수명 주기를 책임집니다.
  • 스토리지와 데이터베이스를 암호화할 유효한 AWS KMS ARN을 인프라 SRE 팀에 제공해야 합니다.
  • 인프라 SRE 팀이 제공한 정책 블록을 고객이 자신의 KMS 키 정책에 반영해야 합니다.

고려 사항

  • AWS Aurora의 암호화 제약 때문에 데이터베이스의 AWS KMS 키를 변경하려면 다운타임이 필요합니다.
  • 기대치를 맞추고 변경 일정을 잡으려면 충분한 사전 커뮤니케이션이 필수입니다.

맺음말

컴플라이언스 요구 사항이 있는 대규모 기업이거나 규제가 엄격한 산업에서 일하고 있다면, Mattermost Cloud Dedicated와 BYOK를 함께 사용해 데이터를 완전히 통제할 수 있습니다.

추가 도움이나 문의가 필요하면 Mattermost 전문가와 상담하세요.