관리자 › 모니터링 › KMS 감사
KMS 감사는 관리자 › 설정 › 암호화의 KMS 공급자와 짝을 이룹니다.
암호화 작업이 실제로 발생해야 행이 쌓이므로, KMS 작업 이력이 없는 환경에서는 테이블이 비어 있을 수 있습니다(
전체: 0).기록되는 작업
KMS 공급자가 수행하는 모든 키 작업이 자동으로 기록됩니다.| 작업 | 무슨 작업인가 |
|---|---|
| wrap | 비밀값을 암호화해 잠그는 작업 |
| unwrap | 잠긴 값을 다시 풀어 읽는(복호화) 작업 |
| rotate | 암호화에 쓰는 열쇠(키)를 새 것으로 교체 |
| health_check | KMS가 정상 작동하는지 점검 |
| provider_change | 암호화 방식(KMS 공급자) 전환 (예: 로컬 ↔ 외부) |
| migrate | 예전 방식으로 잠긴 값을 현재 방식으로 다시 잠금 (기존 데이터 마이그레이션) |
| audit_export | KMS 감사 로그 CSV 내보내기 — 내보내기 행위 자체도 기록 |
대상 시크릿은 Config 시크릿 · 데이터베이스 연결 · 도구 연결 키 · 라이선스 토큰 등 시스템의 민감한 설정값입니다.
암호화되는 값 자체는 기록되지 않으며, “어떤 설정 경로의 값에 어떤 작업이 일어났는지”만 남습니다.
로그 항목 구조
각 KMS 감사 행은 다음 정보를 포함합니다.| 필드 | 설명 |
|---|---|
| id | 기록 순번 식별자 |
| 시간 (UTC) | 작업 발생 시각 (UTC 기준) |
| 작업 | 수행된 KMS 작업 (wrap, unwrap, rotate 등) |
| 결과 | 성공 / 실패 |
| 액터 | 작업을 수행한 주체 (사용자 또는 시스템) |
| 설정 경로 | 작업 대상이 된 설정값의 경로 |
| IP | 요청 출처 IP |
| 오류 | 실패 시 오류 메시지 (성공 시 비어 있음) |
무결성 검증
무결성 검증 버튼을 누르면 첫 기록부터 끝까지 사슬이 끊긴 곳은 없는지 전체를 다시 확인합니다.로그 조회
필터 옵션
| 필터 | 설명 |
|---|---|
| 기간 | 상단 공통 기간 바 — 1h / 6h / 1d / 7d / 30d / 전체 / 사용자 정의 |
| 작업 | 특정 KMS 작업만 필터 (wrap, unwrap, rotate, health_check, provider_change, migrate, audit_export) |
| 결과 | 모든 결과 / 성공만 / 실패만 |
전체: N · 페이지 X로 총 건수와 현재 페이지가 표시됩니다.
CSV 내보내기
감사 기록을 외부 보관·분석용으로 내보낼 수 있습니다. 일반 다운로드와 달리 내보내기 사유를 반드시 입력해야 합니다.내보내기 행위는 그 자체가
audit_export 작업으로 사슬에 새 기록으로 추가됩니다.
즉 “누가, 언제, 어떤 사유로 감사 로그를 추출했는지”까지 남으므로, 내보내기 단계에서도 위조 방지가 그대로 유지됩니다.일반 감사 로그와의 차이
KMS 감사는 감사 로그와 별개의 탭입니다. 추적 대상과 보장 방식이 다릅니다.| 구분 | 감사 로그 | KMS 감사 |
|---|---|---|
| 추적 대상 | 사용자·리소스 활동 (CRUD, 로그인, 권한 변경) | 암호화 키 작업 (wrap/unwrap/rotate 등) |
| 주 사용자 | 보안 담당자, 컴플라이언스 | 보안 담당자, 인프라 관리자 |
| 무결성 보장 | 기록 삭제·수정 불가 | 기록끼리 사슬로 묶여 위조 불가 + 무결성 검증 버튼 |
| 내보내기 | 필터 기반 조회 | 사유 입력 후 CSV (내보내기도 사슬에 기록) |
활용 사례
키 회전 이력 추적
키 회전 이력 추적
- 작업 필터에서
rotate를 선택합니다 - 기간을 지정해 키 회전이 정책 주기대로 수행되었는지 확인합니다
- 실패한 회전이 있는지 결과 필터를
실패만으로 좁혀 점검합니다
암호화 작업 실패 진단
암호화 작업 실패 진단
- 결과 필터를
실패만으로 설정합니다 - 실패한 작업의 설정 경로·오류 컬럼으로 어떤 시크릿에서 문제가 났는지 파악합니다
- 암호화 설정에서 공급자 연결 테스트로 KMS 상태를 확인합니다
컴플라이언스 증빙 확보
컴플라이언스 증빙 확보
- 무결성 검증으로 사슬이 온전한지 먼저 확인합니다
- 보고 대상 기간으로 필터링합니다
- 내보내기 사유에 검토 목적을 명시하고 CSV로 내보냅니다
- 내보내기 기록(
audit_export)이 사슬에 남았는지 확인하여 추출 이력까지 증빙합니다
모범 사례
- 정기 무결성 검증: 컴플라이언스 검토 시 가장 먼저 무결성 검증을 실행해 사슬이 온전한지 확인하세요
- 실패 모니터링:
실패만필터로 암호화 작업 오류를 주기적으로 점검하세요 — KMS 연결 문제의 조기 신호입니다 - 사유 명확화: CSV 내보내기 사유는 추후 감사 추적에 활용되므로 구체적으로 작성하세요
- 공급자 전환 검토:
provider_change·migrate기록으로 암호화 공급자 전환과 재암호화가 의도대로 완료되었는지 확인하세요