데이터 저장 위치 또는 데이터 암호화 구성 수정

이 문서에서는 조직에 Security Command Center를 활성화한 후 표준 및 프리미엄 등급에서 데이터 상주 및 데이터 암호화 구성을 수정하는 방법을 설명합니다. 이 문서에서는 다음 작업을 수행하는 방법을 설명합니다.

  • 데이터 저장 위치를 사용 설정 또는 중지하고 데이터 위치를 변경합니다.
  • Google 관리 암호화 키 또는 Cloud Key Management Service 키를 사용하도록 데이터 암호화 구성을 변경합니다.
  • Cloud KMS 키를 변경합니다.

제한사항

이 기능에는 다음 제한사항이 적용됩니다.

  • 데이터 이전은 일주일에 한 번만 실행할 수 있습니다. 데이터 위치 또는 데이터 암호화를 여러 번 변경할 계획이라면 최소 1주일 간격을 두고 변경하세요.

  • Security Command Center가 프로젝트 수준에서만 활성화된 경우 이 기능은 지원되지 않습니다.

  • 데이터 마이그레이션 중에 v1 구조가 있는 notificationConfigs 리소스가 v2 구조로 업데이트됩니다.

    source_properties 필드는 v2 API에서 지원되지 않습니다. 필요한 경우 Pub/Sub 및 BigQuery의 내보내기 구성을 업데이트합니다.

    자세한 내용은 Security Command Center API v2로 이전을 참고하세요.

시작하기 전에

구성을 변경하기 전에 다음을 완료하세요.

  1. 변경 계획을 세우세요.
  2. 필수 역할이 있는지 확인합니다.
  3. 데이터 위치 또는 키를 변경하는 경우 Cloud Key Management Service 키를 만들거나 찾습니다.
  4. 데이터 위치를 변경하는 경우 숨기기 규칙 및 내보내기 구성을 준비합니다.

변경 계획

기본 global 데이터 위치에서 이전하는 경우 데이터 상주 계획을 읽고 Security Command Center에서 데이터 상주를 지원하는 방법을 알아보세요.

데이터 암호화를 Google 관리 암호화 키에서 Cloud KMS 키로 변경하려면 Security Command Center에 CMEK 사용 설정을 읽고 Security Command Center에서 고객 관리 암호화 키 (CMEK)를 사용하는 방법을 알아보세요.

일괄 내보내기를 실행하지 않는 시간에 구성 변경을 계획하세요. 일괄 내보내기를 시작한 경우 해당 프로세스가 완료될 때까지 기다립니다.

구성을 변경한 후에는 발견 항목의 수에 따라 데이터 이전 프로세스에 4시간에서 24시간이 걸릴 수 있습니다. 이 기간 동안 Security Command Center 및 사용 설정된 기본 제공 감지 서비스가 일시적으로 일시중지됩니다.

  • Security Command Center에서 발견 항목을 생성하거나 업데이트하지 않습니다. 통합 서비스 또는 서드 파티 서비스에서 Security Command Center로 전송된 발견 항목이 수신되지 않습니다.
  • Security Command Center에서 다른 리소스로의 데이터 내보내기가 일시중지됩니다.
  • 콘솔의 Security Command Center 페이지에 액세스할 수 없습니다.

  • 다음 Security Command Center API는 사용할 수 없습니다.

    • securitycenter.googleapis.com
    • securitycentermanagement.googleapis.com

    마이그레이션 중에 API 메서드를 호출하면 API access is temporarily unavailable due to an ongoing data migration 메시지와 함께 FAILED_PRECONDITION 오류가 반환됩니다.

마이그레이션이 완료되면 Security Command Center 및 기본 제공 서비스가 자동으로 다시 시작됩니다.

Security Command Center가 다른 제품과 통합된 경우 이전 중에 이러한 연결이 중단될 수 있습니다.

데이터 상주 구성이 변경되면 특정 필드가 새 위치 식별자 (예: global에서 us)로 업데이트됩니다. 이는 다음 리소스에 영향을 미칩니다.

  • 결과: name 및 canonicalNames 값
  • 숨기기 규칙: MuteConfig의 name 값

이러한 필드 값에 종속된 발견 항목 검색 쿼리, 외부 시스템, 스크립트를 업데이트할 계획을 세우세요.

필요한 역할

Security Command Center 데이터 위치 또는 데이터 암호화를 이전하는 데 필요한 권한을 얻으려면 관리자에게 조직에 대한 Security Center 관리자 (roles/securitycenter.admin) IAM 역할을 부여해 달라고 요청하세요. 역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

커스텀 역할이나 다른 사전 정의된 역할을 통해 필요한 권한을 얻을 수도 있습니다.

Cloud Key Management Service 키 만들기 또는 찾기

다음 중 하나에 해당하는 경우 키 프로젝트와 Cloud Key Management Service 키를 만듭니다.

  • Cloud Key Management Service 키를 변경할 계획입니다.

  • Cloud Key Management Service 키를 사용하는 동안 데이터 상주 위치 구성을 변경하려고 합니다. 이 경우 Cloud Key Management Service 키를 다시 선택해야 합니다.

자세한 내용은 Security Command Center의 CMEK 사용 설정을 참고하세요.

숨기기 규칙 준비 및 구성 내보내기

데이터 위치를 변경하려면 필드 값에 따라 달라지는 다음 구성을 위치 식별자로 업데이트하세요.

  • 숨기기 규칙 찾기
  • Pub/Sub 연속 내보내기

새 위치 식별자를 사용하도록 필드 값을 변경합니다 (예: global에서 us로).

구성을 변경하고 마이그레이션 시작

글로벌 및 관할권 Google Cloud 콘솔을 사용하여 데이터 상주 또는 데이터 암호화 구성을 변경할 수 있습니다. 콘솔을 선택할 때는 다음 사항에 유의하세요.

  • CMEK 키 선택: Cloud KMS 키 메뉴에는 콘솔과 동일한 관할 구역에 있는 키만 표시됩니다. global 콘솔을 사용하는 경우 메뉴에 모든 키가 표시됩니다.
  • 알림 받기: Google Cloud 콘솔 알림 알림은 데이터 상주 위치 이전을 시작한 사용자에게만 표시되며 설정 (전역 또는 관할권)을 구성하는 데 사용된 동일한 콘솔에만 표시됩니다.

데이터 저장 위치 구성, 데이터 암호화 구성 또는 둘 다 변경할 수 있습니다.

  1. Google Cloud 콘솔에서 설정 > 설정 세부정보로 이동합니다.

    설정 세부정보로 이동

  2. Security Command Center가 활성화된 조직을 선택합니다.

  3. 데이터 저장 위치 및 암호화 관리를 클릭합니다.

  4. 데이터 상주 관리에서 데이터 상주를 사용 설정하거나 사용 중지합니다. 데이터 상주를 사용 설정하는 경우 데이터 위치를 선택합니다. 기존 선택사항을 변경하지 않으면 데이터 이전 프로세스에서 발견 및 리소스 필드 값의 위치 식별자를 변경하지 않습니다.

  5. 계속을 클릭합니다.

  6. 데이터 암호화 관리에서 암호화 구성을 선택합니다.

    • Google 관리 암호화 키 또는 Cloud KMS 키를 선택합니다.

    • Cloud KMS 키를 선택한 경우 다음 단계를 따르세요.

      • 찾아보기를 클릭하여 키가 저장된 프로젝트를 선택합니다.
      • 고객 관리 키를 선택합니다.

    조직에서 Cloud KMS 키를 사용하고 데이터 상주 위치 구성을 변경한 경우 키 프로젝트와 Cloud Key Management Service 키를 다시 선택해야 합니다.

  7. 변경사항을 검토한 다음 이전 시작을 클릭합니다. 취소를 클릭하여 돌아가서 선택사항을 변경합니다.

  8. 데이터 이전 시작 대화상자에서 조직 ID를 입력하여 확인한 다음 데이터 이전 확인을 클릭합니다.

  9. 데이터 마이그레이션 상태 페이지가 표시되며 마이그레이션이 진행 중임을 나타냅니다.

    데이터 마이그레이션이 진행되는 동안에는 Security Command Center 페이지에 액세스할 수 없습니다. 마이그레이션 중에 Security Command Center에 액세스하려고 하면 마이그레이션 상태 페이지가 표시됩니다.

  10. 이전이 완료되면 상태 페이지에 새로 구성된 위치에서 콘솔을 여는 링크가 표시됩니다.

데이터 마이그레이션 후 기능 확인

마이그레이션이 완료되면 Security Command Center, 관련 서비스, 통합이 예상대로 작동하는지 확인합니다.

  • Security Command Center를 사용할 수 있고 이전에 사용 설정한 서비스가 사용 설정되어 있는지 확인합니다.

  • 데이터 내보내기 구성에 올바른 리소스가 지정되어 있는지 검토하고 확인합니다.

  • 데이터 저장 위치 구성을 변경한 경우 다음을 업데이트합니다.

    • 숨기기 규칙: 발견 항목 name 또는 canonicalName에 따라 규칙을 업데이트합니다.

    • 새 위치를 지정하려면 발견 name 또는 canonicalName에 따라 달라지는 필터와 발견 쿼리를 업데이트하세요.

    • 찾기 쿼리가 예상대로 작동하는지 확인합니다.

  • Cloud Hub, Application Design Center, GKE 보안 상태 대시보드, Google SecOps 데이터 수집과 같은 다른 Google Cloud 서비스와의 통합이 예상대로 작동하는지 확인합니다.

다음 단계