암호화
저장·전송 중 암호화 요구. 대부분 KMS 연동으로 해결
이게 뭔가요? / What is this?
이것은 하나의 서비스가 아니라, "저장된 데이터"와 "오가는 데이터"를 각각 읽을 수 없게 암호로 잠가야 한다는 요구(추상적 주제)입니다. 서류를 금고에 넣어 두는 것(저장 중 암호화)과 서류를 봉투에 넣어 배달하는 것(전송 중 암호화)은 서로 다른 문제이며, 실제 잠금장치 역할은 KMS 같은 서비스가 맡습니다.
개요 / Overview
54문제가 암호화를 요구합니다. 저장 중(at rest)인지 전송 중(in transit)인지 구분하고, 키를 누가 통제해야 하는지 읽어내면 답이 정해집니다.
동작 원리 / How it works
암호화 문제는 먼저 "저장 중(at rest)인가 전송 중(in transit)인가"를 가릅니다. 저장 중은 대부분 KMS 통합으로 해결됩니다 — S3는 SSE-S3/SSE-KMS/SSE-C, EBS·RDS·EFS·DynamoDB는 생성 시 KMS 키 지정입니다. 전송 중은 TLS이며 ACM 인증서를 통합 지점(ALB, CloudFront, API Gateway)에 붙입니다.
두 번째 갈림길은 "키를 누가 통제하는가"입니다. AWS 관리형 키는 설정이 없고 감사도 제한적입니다. 고객 관리형 키는 키 정책을 직접 쓰고, 교체 주기를 정하고, CloudTrail로 사용 내역을 감사하고, 필요하면 비활성화해 데이터를 즉시 접근 불가로 만들 수 있습니다. FIPS 140-2 레벨 3 전용 하드웨어나 "AWS조차 접근 불가"가 요구되면 CloudHSM입니다.
시험은 무엇을 보는가 / What the exam is testing
54문제가 암호화를 요구합니다. 함정은 대개 두 곳입니다 — 기존 리소스를 나중에 암호화하려는 시나리오(RDS·EBS는 제자리 암호화 불가, 스냅샷 경로 필요)와 키 정책을 잊는 경우(IAM만 넓혀도 실패)입니다.
시험 포인트 / Exam points
S3는 SSE-S3(AWS 관리)·SSE-KMS(고객 키·감사 가능)·SSE-C(고객 제공 키), EBS·RDS·EFS는 KMS 키로 생성 시 활성화합니다. 이미 만든 RDS를 암호화하려면 스냅샷을 암호화 복사해 복원합니다.
ACM 인증서로 HTTPS/TLS를 종료하고, 내부 통신도 TLS를 요구하면 대상 그룹까지 HTTPS로 구성합니다.
"키를 직접 관리·감사·교체해야 한다"면 고객 관리형 KMS 키, "AWS도 접근하면 안 된다"·"FIPS 140-2 레벨 3"이면 CloudHSM입니다.
자주 틀리는 함정 / Common traps
이미 만든 RDS 인스턴스를 설정 변경으로 암호화하려는 선택지 — 암호화된 스냅샷에서 새 인스턴스를 복원해야 합니다.
전송 중 암호화 요구를 저장 암호화로 답하는 것 — 두 요구는 별개이며 각각 조치가 필요합니다.
Encryption
Encryption at rest and in transit, usually solved through KMS
이게 뭔가요? / What is this?
This is not a single service — it is an abstract requirement: data "at rest" and data "in transit" each need to be locked so nobody unauthorized can read them. Putting a document in a safe (encryption at rest) and sealing it in an envelope for delivery (encryption in transit) are two different problems, and the actual locking mechanism is provided by a service such as KMS.
개요 / Overview
54 questions require encryption. Separate at-rest from in-transit and read who must control the keys, and the answer is determined.
동작 원리 / How it works
Encryption questions first split at-rest from in-transit. At rest is mostly KMS integration: S3 offers SSE-S3, SSE-KMS, and SSE-C, while EBS, RDS, EFS, and DynamoDB take a KMS key at creation. In transit is TLS, with ACM certificates attached to integration points (ALB, CloudFront, API Gateway).
The second fork is who controls the key. AWS-managed keys need no setup and offer limited auditability. Customer-managed keys let you author the key policy, set rotation, audit usage in CloudTrail, and disable the key to make data instantly inaccessible. FIPS 140-2 Level 3 dedicated hardware, or "not even AWS may access it", means CloudHSM.
시험은 무엇을 보는가 / What the exam is testing
54 questions require encryption, and the traps sit in two places: encrypting existing resources after the fact (RDS and EBS cannot be encrypted in place; the snapshot path is required) and forgetting the key policy (widening IAM alone still fails).
시험 포인트 / Exam points
S3 offers SSE-S3, SSE-KMS (customer key, auditable), and SSE-C. EBS, RDS, and EFS enable KMS encryption at creation. Encrypting an existing RDS means copying its snapshot with encryption and restoring.
Terminate HTTPS/TLS with ACM certificates, and configure HTTPS to the target group when internal traffic must also be encrypted.
"We must manage, audit, and rotate the keys" → customer-managed KMS key. "Not even AWS may access it" or "FIPS 140-2 Level 3" → CloudHSM.
자주 틀리는 함정 / Common traps
Encrypting an existing RDS instance by changing a setting — you must restore a new instance from an encrypted snapshot.
Answering an in-transit requirement with at-rest encryption — they are separate requirements needing separate measures.
AWS SAA Hub Pro는 독립 학습 자료이며 Amazon Web Services, Inc.의 공식 서비스가 아닙니다. 시험 정책과 서비스 사양은 AWS 공식 문서를 기준으로 확인하세요.