두 층의 키

칼럼 값을 직접 잠그는 키는 데이터 키(DEK)입니다. DEK는 키 암호화 키(KEK)로 감싸서 저장합니다. 평문 DEK를 데이터베이스에 두지 않습니다.

KEK를 교체하면 칼럼 데이터를 다시 쓰지 않고 DEK만 다시 감쌉니다. DEK 자체를 교체할 때는 칼럼 값을 새 키로 다시 암호화하며, 그 동안 칼럼 조회는 유지됩니다.

정책

정책에는 키, 테이블, 칼럼, 주체(역할 또는 서비스 계정), 허용 연산, 회전 주기가 들어갑니다. 주기는 30일, 60일, 90일, 180일, 365일 중에서 고르거나 수동으로 돌립니다. CLI, 대시보드, REST API로 다룹니다.

키를 만들거나 회전·폐기할 때, 정책을 바꿀 때, 암호화하거나 복호화할 때 감사 로그가 남습니다. 키 바이트는 내보내지 않습니다. 이름, 알고리즘, 상태, 회전 일정 같은 메타데이터만 조회합니다.

외부에서 만든 KEK를 가져올 수 있습니다. 데이터를 네트워크 밖으로 보내지 않는 환경에는 자체 호스팅 키 저장소를 매뉴얼에서 안내합니다.