KMS 고객 관리형 키로 암호화

{
  "Version": "2012-10-17",
  "Id": "lab11-key-policy",
  "Statement": [
    {
      "Sid": "EnableIamPolicies",
      "Effect": "Allow",
      "Principal": { "AWS": "arn:aws:iam::123456789012:root" },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "AllowKeyAdministration",
      "Effect": "Allow",
      "Principal": { "AWS": "arn:aws:iam::123456789012:role/SecurityAdminRole" },
      "Action": [
        "kms:Create*", "kms:Describe*", "kms:Enable*", "kms:List*",
        "kms:Put*", "kms:Update*", "kms:Revoke*", "kms:Disable*",
        "kms:Get*", "kms:Delete*", "kms:ScheduleKeyDeletion", "kms:CancelKeyDeletion"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowKeyUsageByApp",
      "Effect": "Allow",
      "Principal": { "AWS": "arn:aws:iam::123456789012:role/Lab11AppRole" },
      "Action": [
        "kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*",
        "kms:GenerateDataKey*", "kms:DescribeKey"
      ],
      "Resource": "*"
    }
  ]
}

KEY_ID=$(aws kms create-key \
  --description "lab11 document encryption key" \
  --key-usage ENCRYPT_DECRYPT \
  --key-spec SYMMETRIC_DEFAULT \
  --policy file://key-policy.json \
  --query 'KeyMetadata.KeyId' --output text)

aws kms create-alias \
  --alias-name alias/lab11-documents \
  --target-key-id "$KEY_ID"

aws kms describe-key --key-id alias/lab11-documents \
  --query 'KeyMetadata.[KeyId,KeySpec,KeyUsage,KeyManager,Enabled,MultiRegion]' \
  --output table

aws kms enable-key-rotation --key-id "$KEY_ID"

aws kms get-key-rotation-status --key-id "$KEY_ID" \
  --query '[KeyRotationEnabled, RotationPeriodInDays]' --output json

aws s3api put-bucket-encryption \
  --bucket example-lab11-docs \
  --server-side-encryption-configuration '{
      "Rules": [
        {
          "ApplyServerSideEncryptionByDefault": {
            "SSEAlgorithm": "aws:kms",
            "KMSMasterKeyID": "arn:aws:kms:ap-northeast-2:123456789012:key/12345678-1234-1234-1234-123456789012"
          },
          "BucketKeyEnabled": true
        }
      ]
    }'

aws s3api get-bucket-encryption --bucket example-lab11-docs

# 1) 데이터 키를 요청하면 평문과 암호문 두 벌이 돌아옵니다.
aws kms generate-data-key \
  --key-id alias/lab11-documents \
  --key-spec AES_256 \
  --query '[Plaintext, CiphertextBlob]' \
  --output json > datakey.json

# 2) 평문 데이터 키로 파일을 암호화합니다(실제로는 애플리케이션이 수행).
#    평문 키는 사용 후 즉시 폐기하고, 암호문 키만 데이터와 함께 보관합니다.

# 3) 복호화할 때는 암호문 데이터 키를 KMS 에 보내 평문 키를 받습니다.
aws kms decrypt \
  --ciphertext-blob fileb://encrypted-data-key.bin \
  --key-id alias/lab11-documents \
  --query 'Plaintext' --output text

aws s3 cp ./contract.pdf s3://example-lab11-docs/

aws s3api head-object \
  --bucket example-lab11-docs \
  --key contract.pdf \
  --query '[ServerSideEncryption, SSEKMSKeyId, BucketKeyEnabled]' \
  --output json

aws cloudtrail lookup-events \
  --lookup-attributes AttributeKey=ResourceName,AttributeValue="$KEY_ID" \
  --max-results 10 \
  --query 'Events[].[EventTime,EventName,Username]' \
  --output table

aws s3 rm s3://example-lab11-docs --recursive
aws s3api delete-bucket --bucket example-lab11-docs

aws kms delete-alias --alias-name alias/lab11-documents

# 대기 기간을 두고 삭제를 예약합니다. 기간 안에는 취소할 수 있습니다.
aws kms schedule-key-deletion \
  --key-id "$KEY_ID" \
  --pending-window-in-days 7 \
  --query '[KeyState, DeletionDate]' --output json

# 마음이 바뀌면 취소합니다.
# aws kms cancel-key-deletion --key-id "$KEY_ID"