# KMS (Key Management Service)

KMS(Key Management Service)는 암호화 키의 생성, 보관, 배포, 회전 및 삭제 등 키의 전체 생명주기를 중앙에서 안전하게 관리하는 서비스입니다. 데이터 보안을 위해 암호화가 필수적인 현대의 클라우드 환경에서, 암호화 키를 안전하게 보호하고 접근 권한을 제어함으로써 데이터 유출 리스크를 최소화하는 역할을 합니다.

## 주요 기능

*   **키 생성 및 보관**: 강력한 난수 생성기를 통해 암호화 키를 생성하며, 하드웨어 보안 모듈(HSM)을 통해 키가 외부로 노출되지 않도록 안전하게 보관합니다.
*   **키 회전(Rotation)**: 보안 강화를 위해 주기적으로 암호화 키를 교체하는 기능입니다. 키 회전을 통해 특정 키가 노출되었을 때의 피해 범위를 제한할 수 있습니다.
*   **권한 제어(IAM)**: 누가, 어떤 키를, 어떤 용도로 사용할 수 있는지 세밀하게 제어합니다. IAM(Identity and Access Management) 정책과 연동하여 최소 권한 원칙을 적용합니다.
*   **감사 로그**: 키의 생성, 사용, 수정, 삭제 등 모든 API 호출 내역을 기록하여 보안 감사 및 추적성을 확보합니다.

## 작동 원리

### 대칭키와 비대칭키
*   **대칭키(Symmetric Key)**: 암호화와 복호화에 동일한 키를 사용합니다. 속도가 빠르며 대량의 데이터를 암호화하는 데 적합합니다.
*   **비대칭키(Asymmetric Key)**: 공개키(Public Key)로 암호화하고 개인키(Private Key)로 복호화합니다. 키 교환이 안전하며 디지털 서명 등에 사용됩니다.

### 봉투 암호화 (Envelope Encryption)
봉투 암호화는 데이터 암호화 키(DEK)를 다시 마스터 키(KMS의 Root Key)로 암호화하는 방식입니다.
1.  **데이터 암호화**: 데이터를 암호화하기 위한 일회성 데이터 키(DEK)를 생성하여 데이터를 암호화합니다.
2.  **키 암호화**: 생성된 DEK를 KMS의 마스터 키로 암호화하여 데이터와 함께 저장합니다.
3.  **복호화 과정**: 암호화된 DEK를 KMS로 보내 마스터 키로 복호화한 뒤, 얻어낸 평문 DEK로 데이터를 복호화합니다. 이 방식은 대량의 데이터를 처리할 때 네트워크 부하를 줄이고 보안성을 높입니다.

## 사용 사례

*   **데이터베이스 암호화**: DB 내의 민감한 개인정보(주민등록번호, 계좌번호 등)를 컬럼 단위로 암호화하여 저장합니다.
*   **클라우드 스토리지 암호화**: S3, EBS와 같은 클라우드 저장소에 저장되는 객체나 볼륨 전체를 암호화하여 물리적 저장 매체 유출 시 데이터를 보호합니다.
*   **애플리케이션 설정값 보호**: API 키, DB 접속 비밀번호 등 설정 파일에 포함된 민감 정보를 암호화하여 관리합니다.

## 주요 서비스 예시

| 구분 | AWS KMS | Azure Key Vault | Google Cloud KMS |
| :--- | :--- | :--- | :--- |
| **주요 특징** | AWS 서비스와 강력한 통합, HSM 기반 보안 | 비밀(Secret), 인증서, 키 통합 관리 | 클라우드 기반 및 외부 키 관리(EKM) 지원 |
| **키 관리 방식** | AWS 관리형 / 고객 관리형 키 | 소프트웨어 보호 / HSM 보호 | 소프트웨어 / HSM |
| **통합 서비스** | S3, EBS, RDS, Lambda 등 | Azure Storage, SQL Database 등 | GCS, Compute Engine, BigQuery 등 |

### 설정 예시 (AWS CLI 기준)
```bash
# 새로운 대칭키 생성 예시
aws kms create-key --description "My Application Key"

# 데이터를 암호화하기 위한 데이터 키 생성 요청
aws kms generate-data-key --key-id <key-id> --key-spec AES_256
```