추출 암호화 키에 외부 KMS 사용

적용 대상: Tableau Cloud

추출을 암호화하고 해독하는 데 사용하는 마스터 키를 외부 KMS(키 관리 시스템)에 저장할 수 있습니다.외부 KMS를 사용하면 암호화 키를 직접 제어할 수 있으므로 조직의 보안 태세를 강화하고 규제 요구 사항을 충족하며 데이터 주권을 유지하는 데 도움이 될 수 있습니다.

키 관리에 외부 KMS를 사용하는 이점에 대한 일반적인 정보는 키 관리에 외부 KMS 사용을 참조하십시오.

참고: Tableau+, Tableau Enterprise 또는 Advanced Management를 사용하는 경우 추출 암호화용 외부 KMS 기능을 Tableau Cloud 2026년 2월 릴리스부터 사용할 수 있습니다.나중에 Tableau+, Tableau Enterprise 또는 Advanced Management를 더 이상 사용하지 않게 되더라도 암호화된 개체는 계속 작동하지만, 키를 관리할 수는 없습니다.

설정 개요

Tableau에서 AWS KMS를 사용하기 위한 단계를 간략히 설명하면 다음과 같습니다.

AWS KMS: CMK(고객 마스터 키)를 만듭니다.
Tableau Cloud: 추출 암호화를 사용하도록 설정합니다(또는 Salesforce KMS를 사용하는 고객 관리형 암호화 키에서 마이그레이션).
Tableau Cloud: AWS KMS에서 고객 마스터 키의 ARN을 사용하여 Tableau에서 키를 생성합니다.
AWS KMS: AWS 고객 마스터 키의 정책에 Tableau 키 정책 JSON을 추가합니다.
Tableau Cloud: 키를 활성화합니다.

키 상태

외부 KMS를 사용할 때 Tableau Cloud에서 추출 암호화에 사용되는 키의 상태 및 기능은 다음과 같습니다.

보류 중 - 키를 생성했지만 아직 사용하고 있지 않습니다.활성화하기 전까지는 추출을 쓰거나 읽는 데 사용할 수 없습니다.
활성 - 키가 추출을 쓰고 해당 키로 쓴 추출을 읽는 데 사용됩니다.
보관됨 — 키가 이전에는 활성 상태였지만 후속 키로 대체되었습니다.추출을 쓰는 데 사용되는 것이 아니라 작성한 추출을 읽는 데 사용됩니다.
비활성화됨 - 키가 이전에는 활성 상태였고 이후 보관되었다가 현재는 비활성화되었습니다.추출을 읽거나 쓰는 데 사용되지 않습니다.

상태에 대한 빠른 참조

키 상태	추출 쓰기/암호화 가능	추출 읽기/암호 해독 가능
보류 중
활성	✓	✓
보관됨		✓
비활성화됨

설정 세부 정보

구성은 다음 단계로 시작합니다.

Tableau Cloud 사이트에 로그인합니다.
왼쪽 탐색 패널에서 설정을 선택합니다.
보안 탭을 선택합니다.

1.AWS KMS에서 마스터 키 만들기

Tableau가 암호화에 사용하는 키는 AWS KMS(링크가 새 창에서 열림)에 있는 CMK(고객 마스터 키)를 기반으로 합니다.따라서 AWS KMS에 CMK가 있어야 Tableau에서 키를 생성할 수 있습니다.

Tableau 키 생성 대화 상자에는 CMK를 만들거나 기존 CMK에 대한 정보를 확인할 수 있도록 AWS KMS(링크가 새 창에서 열림)로 연결되는 링크가 포함되어 있습니다.AWS KMS의 키와 관련해 도움이 필요한 경우 현지 키 전문가에게 문의하십시오.

AWS 키는 ARN(Amazon 리소스 이름)으로 고유하게 식별됩니다.Tableau 키 생성 프로세스 중에 CMK ARN을 제공하라는 메시지가 표시됩니다.키 ARN의 형식은 다음과 같습니다.

arn:aws:kms:us-east-2:123456789012:key/12345678-90ab-cdef-1234-567890abcdef

AWS에서 고객 마스터 키를 만든 후 Tableau Cloud에서 추출 암호화를 사용하도록 설정할 수 있습니다.

2.외부 KMS로 추출 암호화 사용

참고: 암호화를 사용하도록 설정하고 나면 사용하지 않도록 설정할 수 없습니다.마찬가지로, 고객 관리형 암호화 키(Salesforce KMS 사용)에서 외부 KMS로 전환하는 것은 영구적이며 실행 취소할 수 없습니다.

외부 KMS를 사용하도록 설정하려면:

추출 암호화 섹션에서 추출 암호화를 선택합니다.
외부 KMS 사용을 선택합니다.
- Salesforce KMS 사용을 이미 선택한 경우 현재 Salesforce KMS를 통해 고객 관리형 암호화 키를 사용하고 있습니다.(자세한 내용은 고객 관리형 암호화 키(링크가 새 창에서 열림)를 참조하십시오.)설정을 외부 KMS 사용으로 변경하면 Salesforce KMS에서 외부 KMS로 영구적으로 변경됩니다.KMS를 변경하기 전에 고객 관리형 암호화 키에서 외부 KMS로 마이그레이션을 참조하십시오.
키 생성을 선택합니다.
- Salesforce KMS에서 외부 KMS로 마이그레이션하는 경우 경고를 읽은 다음 외부 KMS로 전환을 선택합니다.

3.키 생성

키 생성은 암호화된 추출을 읽고 쓰기 위한 첫 번째 단계입니다.이미 활성 키가 있는 경우 현재 활성 키를 교체하기 위한 첫 번째 단계로 다른 키를 생성합니다.

Tableau에서 키를 생성하려면:

추출 암호화 섹션에서 키 생성을 선택합니다.
사이트의 첫 번째 키를 생성하는 경우 AWS KMS 구성 대화 상자가 표시됩니다.활성 키가 이미 있는 경우 먼저 키 생성 확인 대화 상자를 진행합니다.
AWS KMS 시작을 선택하고 필요한 경우 로그인합니다.
AWS KMS에서 새 키를 생성하거나 기존 키를 찾은 다음, 키 ARN을 복사합니다.AWS KMS의 키와 관련해 도움이 필요한 경우 현지 키 전문가에게 문의하십시오.
Tableau AWS KMS 구성 대화 상자로 돌아와 키 ARN을 AWS의 키 ARN 필드에 붙여 넣습니다.
선택적으로 설명을 입력합니다.
다음(또는 사이트의 첫 번째 키인 경우 암호화 사용)을 선택합니다.
완료를 선택하여 나중에 키 정책 JSON을 AWS KMS에 추가하거나, KMS 키 정책에 키 정책 JSON 추가에 따라 지금 수행합니다.

AWS KMS 정책에 키 정책 JSON을 추가한 다음 활성화할 때까지 키를 사용하여 추출을 읽거나 쓸 수 없습니다.

4.KMS 키 정책에 키 정책 JSON 추가

새로 생성된 키의 상태는 보류 중입니다.키 정책 JSON을 AWS KMS 정책에 추가하고 키를 활성화하기 전까지는 추출을 읽거나 쓰는 데 사용할 수 없습니다.

키 정책 JSON을 보려면 키 생성 프로세스에서 계속 진행합니다.

또는 해당 프로세스를 계속 진행하지 않는 경우:

추출 암호화 섹션에서 해당 보류 중 키 옆의 동작(...)을 선택합니다.
키 정책을 선택합니다.

AWS KMS 정책에 키 정책 JSON을 추가하려면 Tableau에서 관련 Statement 개체를 AWS KMS의 정책 JSON으로 복사합니다.전체 JSON 텍스트의 일부만 필요합니다.텍스트 편집기에 붙여 넣어 편집할 경우 키 정책 복사를 선택하는 것이 더 편리할 수 있습니다.

JSON 텍스트에서 Statement 배열의 개체를 복사합니다.그런 다음 AWS KMS 키의 정책에서 표준 JSON 구문에 따라 Statement 배열에 복사한 텍스트를 추가합니다.(새 JSON을 추가하기 전에 기존 AWS KMS의 Statement 끝에 쉼표를 추가해야 할 수 있습니다.)

예:

하이라이트된 부분은 AWS KMS 정책에 추가할 섹션입니다.

{
    "Version": "2012-10-17",
    "Id": "sfdc-key-access-policy",
    "Statement": [{
            "Sid": "AllowSalesforceShieldKeyBroker1234567890abc",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:sts::123456789abc:assumed-role/EkmAwsKmsAccessRole/1234567890abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ12"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:sf-auth": "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQ"
                }
            }
        }]
}

5.키 활성화

새 추출을 읽고 쓰는 데 사용하려면 키를 활성화해야 합니다.키 활성화 동작은 보류 중인 키에서만 사용할 수 있습니다.

추출 암호화 섹션에서 해당 보류 중 키 옆의 동작(...)을 선택합니다.
키 활성화...를 선택합니다.

이미 활성 키가 있는 경우 새 키를 활성화하면 기존 키 상태가 보관됨으로 변경됩니다.보관된 키는 해당 키가 쓴 추출을 읽는 데에만 사용됩니다.새 키가 활성 상태가 되고 새 추출을 쓰고 해당 키가 쓴 추출을 읽는 데 사용됩니다.

참고: 암호화를 사용하도록 설정하고 사이트에서 첫 번째 키를 활성화하면 Tableau Cloud에서 사이트의 각 추출에 대한 추출 암호화 백그라운드 작업을 만듭니다.이러한 작업은 가장 낮은 우선 순위로 설정되어, 추가 리소스가 있을 때만 실행됩니다.기존 추출 새로 고침 작업은 추출이 암호화되기 전에 실행됩니다.

기타 동작

키 보관

보관된 키는 해당 키가 쓴 추출을 읽을 수 있지만 새 추출을 쓰는 데 사용되지 않습니다.키를 보관하는 유일한 방법은 새 키를 활성화하는 것입니다.키 활성화를 참조하십시오.

키 비활성화

보관된 키를 비활성화하면 추출을 읽거나 쓰는 데 사용할 수 없게 됩니다.키가 손상된 경우 이 작업을 수행할 수 있습니다.키 비활성화 동작은 보관된 키에서만 사용할 수 있습니다.

키를 비활성화하면 키가 쓴 추출을 읽는 데 사용할 수 없습니다(보관된 키는 쓴 추출을 읽을 수 있음).즉, 일부 추출 기반 콘텐츠는 활성 키로 암호화되지 않은 경우 작동을 멈출 수 있습니다.이전 키를 사용하는 추출 기반 콘텐츠에 대한 액세스 권한을 유지해야 하는 경우 이전 키를 비활성화하기 전에 활성 키로 추출을 새로 고쳤는지 확인하십시오.

참고: 필요한 경우 비활성화된 키를 복원할 수 있습니다.키를 복원하면 키가 비활성화됨에서 보관됨으로 변경됩니다.키 복원을 참조하십시오.

키를 비활성화하려면:

추출 암호화 섹션에서 해당 보관됨 키 옆의 동작(...)을 선택합니다.
키 비활성화...를 선택합니다.
텍스트 필드에 '이 키 비활성화'를 입력하여 동작을 확인합니다.
키 비활성화를 선택합니다.

키 복원

비활성화된 키를 복원하여 해당 키로 쓴 추출을 읽을 수 있도록 합니다.키 복원 동작은 비활성화된 키에서만 사용할 수 있으며 상태가 보관됨으로 변경됩니다.

키를 보관됨 상태로 복원하면 추출을 쓰는 데 사용되지 않습니다.해당 키가 쓴 추출을 읽는 데만 사용됩니다.

Tableau Cloud 사이트에 로그인합니다.
왼쪽 탐색 패널에서 설정을 선택합니다.
보안 탭을 선택합니다.
추출 암호화 섹션에서 해당 비활성화됨 키 옆의 동작(...)을 선택합니다.
키 복원...을 선택합니다.
키 복원을 선택합니다.

키 삭제

추출 암호화 키는 삭제할 수 없습니다.키는 보관(키가 작성한 콘텐츠를 읽을 수 있는 기능 유지) 또는 비활성화(읽거나 쓸 수 없음)만 할 수 있습니다.키 상태를 참조하십시오.

참고: AWS KMS에서 CMK(고객 마스터 키)를 사용하지 않도록 설정하면 해당 키에서 파생된 Tableau 키가 암호화 또는 암호 해독 작업을 중지합니다.마찬가지로, AWS KMS의 CMK 정책에서 Tableau가 생성한 절을 제거하면 해당 절에서 파생된 Tableau 키가 작동을 멈춥니다.

키 정책 보기

키 정책 대화 상자는 AWS KMS 키 정책에 추가하기 위한 키 정책 JSON을 보여줍니다.키 정책 JSON은 키 생성 프로세스 중이나 나중에 추가할 수 있습니다.

자세한 내용은 KMS 키 정책에 키 정책 JSON 추가를 참조하십시오.

키의 정책 JSON을 보려면:

추출 암호화 섹션에서 해당 키 옆의 동작(...)을 선택합니다.
키 정책을 선택합니다.

키 기록 보기

키 기록 테이블의 각 행에는 이벤트, 이벤트 후의 키 상태, 이벤트 날짜 및 시간이 표시됩니다.

키 기록을 보려면:

추출 암호화 섹션에서 해당 키 옆의 동작(...)을 선택합니다.
키 기록을 선택합니다.

구성 테스트

보류 중인 키에 대해 구성 테스트 동작을 사용하여 활성화할 수 있는지 확인합니다.다른 상태의 키에서 구성 테스트 동작을 사용하여 작동 중인지, 작동해야 하는지 또는 작동하지 않는지 확인합니다.

키의 구성을 테스트하려면:

추출 암호화 섹션에서 해당 키 옆의 동작(...)을 선택합니다.
구성 테스트...를 선택합니다.

성공:

이 키는 추출을 암호화하는 데 사용될 수 있습니다.키가 보류 중인 경우 활성화해도 안전합니다.키가 이미 활성 상태이면 작동하고 있는 것입니다.

오류:

POLICY_DENIED - 외부 KMS에 이 키를 허용하는 정책이 없습니다.외부 KMS로 이 키의 정책을 복사했는지 확인합니다.
KEY_NOT_FOUND - 키를 찾을 수 없거나 키가 Tableau에서 비활성화되었습니다.AWS KMS 키 ARN 및 정책을 확인합니다.
UNKNOWN - 알 수 없는 오류가 발생했습니다.AWS KMS에서 키가 비활성화되지 않았는지 확인하고 다시 시도하십시오.

맨 위로 이동

피드백을 제공해 주셔서 감사합니다!

귀하의 피드백이 제출되었습니다. 감사합니다!

Tableau Cloud 도움말