KMS 자동 키 교체 켜고 주기 바꾸기

고객 관리형 KMS 키는 자동 키 교체가 기본적으로 꺼져 있습니다. 켜 두면 AWS KMS가 키 자료를 주기적으로 새로 만들어 주고, 키 ID/ARN/정책/별칭은 그대로라 애플리케이션은 건드릴 게 없습니다. 콘솔에서는 대칭 암호화 키의 "키 교체" 탭에서 켜면 되고, CLI로는 다음과 같이 합니다.

aws kms enable-key-rotation \
    --key-id 1234abcd-12ab-34cd-56ef-1234567890ab \
    --rotation-period-in-days 180

aws kms get-key-rotation-status \
    --key-id 1234abcd-12ab-34cd-56ef-1234567890ab

--rotation-period-in-days를 생략하면 기본값은 365일이고, 지정할 때 유효 범위는 90에서 2560일입니다. 이미 켜 둔 키에 같은 명령으로 값을 다시 주면 주기만 바꿀 수도 있습니다. 주의할 점은 자동 교체가 대칭 암호화 키에서만 된다는 것입니다. 비대칭 키, HMAC 키, 가져온 키 자료, 사용자 지정 키 스토어의 키는 자동 교체가 안 되고 수동으로만 돌립니다. AWS 관리형 키는 켜고 끌 수 없고 매년 자동으로 교체됩니다. 비활성이거나 삭제 대기 상태인 키는 교체도 설정 변경도 안 되니 먼저 활성 상태로 돌려놓아야 합니다.

🔗 https://docs.aws.amazon.com/kms/latest/developerguide/rotating-keys-enable.html

🔗 https://docs.aws.amazon.com/kms/latest/APIReference/API_EnableKeyRotation.html