Zilliz Cloud에서 고객 관리 암호화 키(CMEK) 소개
기업들이 더 많은 AI 워크로드를 프로덕션으로 이전함에 따라, 벡터 데이터베이스는 RAG, 시맨틱 검색, AI 에이전트와 같은 미션 크리티컬 애플리케이션의 배후에 점점 더 많이 자리 잡고 있습니다. 이러한 워크로드는 민감한 비즈니스 컨텍스트에 의존하는 경우가 많기 때문에, 보안 팀은 데이터가 어떻게 암호화되는지, 키가 어떻게 관리되는지, 액세스를 어떻게 감사하거나 취소할 수 있는지에 대한 명확한 제어가 필요합니다.
Zilliz Cloud는 이미 기본적으로 AES-256을 사용하여 저장 데이터를 암호화합니다. 오늘, Zilliz Cloud에서 Customer-Managed Encryption Keys (CMEK)의 정식 출시를 통해 고객 제어의 또 다른 계층을 추가합니다.
CMEK를 사용하면 고객은 AWS Key Management Service (KMS)에서 자체 키를 가져와 관리할 수 있습니다. 이를 통해 보안 및 컴플라이언스 팀은 Zilliz Cloud를 완전 관리형 벡터 데이터베이스로 계속 사용하면서 키 수명 주기 관리, 액세스 정책, 감사 추적, 취소 제어에 대한 직접적인 소유권을 가질 수 있습니다.
엔터프라이즈 팀이 직접 키 제어를 원하는 이유
기본 플랫폼 관리형 암호화는 모든 관리형 클라우드 서비스에 중요한 기준선입니다. 많은 워크로드의 경우, 이는 고객에게 운영 복잡성을 추가하지 않으면서 강력한 보호를 제공합니다.
그러나 일부 엔터프라이즈 및 규제 대상 환경에서는 더 높은 수준의 고객 제어가 필요합니다. 보안 팀은 자체 클라우드 계정에서 키를 관리하고, 키 소유권을 데이터 처리와 분리하며, 기존 감사 시스템에서 키 사용을 모니터링하거나, 지원 티켓을 열거나 벤더 측 워크플로에 의존하지 않고 액세스를 취소해야 할 수 있습니다.
CMEK는 이러한 팀을 위해 설계되었습니다. 고객이 데이터를 보호하는 데 사용되는 루트 키를 직접 제어할 수 있도록 하면서 Zilliz Cloud의 관리형 데이터베이스 경험을 유지합니다.
Zilliz Cloud의 CMEK 소개
Zilliz Cloud는 이미 기본적으로 AES-256을 사용하여 모든 저장 데이터를 암호화합니다. 엄격한 보안, 컴플라이언스 또는 데이터 거버넌스 요구 사항이 있는 조직의 경우, CMEK는 고객 제어의 추가 계층을 제공합니다. 플랫폼 관리형 키에만 의존하는 대신, 자체 클라우드 제공업체의 KMS에서 루트 키를 관리합니다.
CMEK를 사용하면 데이터를 보호하는 데 사용되는 루트 키를 제어할 수 있습니다. 아키텍처는 다음과 같습니다:
고객은 KMS에서 Customer Master Key (CMK)를 생성하고 저장합니다. 이 키는 KMS 경계를 벗어나지 않습니다. Zilliz Cloud는 마스터 키를 절대 보유하지 않으며, 필요할 때 이를 사용하기 위한 임시적이고 범위가 제한된 액세스만 부여받습니다.
CMK는 데이터베이스마다 고유한 중간 Encryption Zone Key (EZK)를 암호화합니다. Zilliz Cloud가 데이터를 처리해야 할 때, KMS에 EZK 복호화를 요청합니다. 복호화된 EZK는 필요한 기간 동안에만 메모리에만 존재합니다. 이 설계는 보안 경계를 약화시키지 않으면서 작업별 KMS 호출을 제거합니다.
EZK는 파일별 Data Encryption Keys (DEKs)를 암호화합니다. DEK는 실제 벡터 블록, 인덱스, 로그를 보호합니다. 이 3계층 아키텍처는 영향 범위를 제한합니다. 단일 DEK가 노출되더라도 피해는 단일 파일로 제한됩니다.
그 결과, 모든 벡터 검색마다 KMS를 호출하는 밀리초 단위의 페널티 없이 고객이 제어하는 암호화를 구현할 수 있습니다. 마스터 키는 신뢰의 루트로 유지되며, Zilliz Cloud는 계속해서 저지연 벡터 검색을 제공할 수 있습니다.
암호화되는 항목
Zilliz Cloud의 CMEK는 스토리지 계층뿐만 아니라 전체 수명 주기 전반의 데이터를 보호하도록 설계되었습니다:
- Object storage — S3의 binlog, 인덱스 파일, 스냅샷
- Local SSD caches — 저지연 검색을 위해 컴퓨트 노드에 캐시된 데이터
- Message queues — 내부 구성 요소 간 전송 중인 삽입 및 삭제 작업
데이터가 장기 스토리지에 저장되어 있든, 성능을 위해 캐시되어 있든, 내부 처리 파이프라인을 통해 흐르고 있든, AES-256을 사용하여 고객의 키 아래에서 암호화된 상태로 유지됩니다.
보안 팀이 가장 중요하게 생각하는 세 가지 결과
1. 직무 분리 — 명확하고 감사 가능하게
Zilliz Cloud는 귀하의 데이터를 처리하고 저장합니다. 귀하는 자체 KMS에서 키를 보유합니다. 이들은 서로 다른 역할을 가진 별개의 엔터티입니다. 귀사의 컴플라이언스 팀은 감사에서 이 경계를 명확히 정의할 수 있으며, 이를 통해 많은 팀이 GDPR, HIPAA, PCI-DSS, SOC 2와 같은 프레임워크에 매핑하는 직무 분리 및 키 관리 통제를 지원할 수 있습니다.
2. 즉각적인 취소 가능성 — 고객의 직접 제어
침해를 감지했거나, 벤더 관계를 종료해야 하거나, 법적 보존 명령에 대응해야 하는 경우, KMS에서 CMK를 직접 비활성화할 수 있습니다. 효과는 즉시 적용됩니다. 영향을 받는 Zilliz 클러스터의 데이터는 키 액세스가 복원될 때까지 서비스에서 읽거나 처리할 수 없습니다. 이는 데이터를 삭제하거나 이동하지 않으며, 벤더 측 워크플로에 의존하지 않습니다.
이를 통해 팀은 데이터 주권, 사고 대응, 벤더 액세스 관리를 위한 강력한 제어 지점을 확보할 수 있습니다.
3. 통합 감사 추적 — 기존 인프라 내부에서
Zilliz Cloud의 모든 키 액세스 요청은 AWS CloudTrail에 기록됩니다. 보안 팀은 별도의 벤더별 워크플로에 의존하는 대신, 이미 사용 중인 동일한 AWS 감사 인프라 내에서 키가 언제, 어떻게 액세스되는지 확인할 수 있습니다. 귀하의 Zilliz 암호화 키는 다른 AWS KMS 키와 함께 존재하며, 동일한 정책의 적용을 받고 동일한 팀에서 모니터링합니다.
CMEK 시작하기
저희는 CMEK 도입을 최대한 원활하게 만들기 위해 노력했습니다.
- 1단계 — IAM 정책 생성. Zilliz Console에서 귀하의 AWS 계정에 필요한 정확한 IAM 정책 스니펫을 자동 생성하며, 클러스터에 맞는 올바른 principal ID가 사전 구성됩니다. 수동 JSON 편집은 필요하지 않습니다.
- 2단계 — 키 생성 및 액세스 권한 부여. AWS KMS에서 키를 생성하고, 정책을 적용한 뒤, Zilliz에 엄격히 범위가 제한된 권한 — Decrypt 및 GenerateDataKey만 — 을 부여합니다. 필요한 범위를 넘어서는 권한은 없습니다.
- 3단계 — 클러스터에서 CMEK 활성화. 새 Dedicated 클러스터를 생성할 때 Key ARN을 Zilliz Console에 붙여넣고 Customer-Managed Key를 ON으로 전환합니다.
전체 설정은 며칠이 아니라 몇 분이면 완료됩니다. 키 순환은 다운타임 없이 지원됩니다. AWS KMS가 순환을 처리하고, Zilliz Cloud는 Key ARN을 원활하게 따릅니다.
가용성
CMEK는 현재 AWS의 business-critical 플랜에서 Dedicated 클러스터에 사용할 수 있습니다. 시작하기 전에 알아야 할 몇 가지 사항은 다음과 같습니다.
- 암호화 키는 프로젝트 수준에서 관리됩니다.
- 프로젝트당 최대 20개의 고유 키를 사용할 수 있습니다(중복 키를 추가하면 실패가 발생합니다).
- 클러스터가 암호화되면 데이터베이스 간 컬렉션 마이그레이션은 지원되지 않습니다.
- KMS 키의 클라우드 제공업체와 리전은 Zilliz Cloud 클러스터의 것과 일치해야 합니다.
- Milvus v2.5.x에서 실행 중인 기존 클러스터에 CMEK를 활성화하려면, 데이터를 백업한 뒤 Milvus v2.6.x의 새 클러스터로 복원하세요 — 기존 클러스터를 업그레이드해도 이전 데이터가 소급하여 암호화되지는 않습니다.
- AWS 외 리전의 경우, 가용성을 논의하려면 문의해 주세요.
Zilliz Cloud의 CMEK 또는 엔터프라이즈 보안에 대해 궁금한 점이 있으신가요? 자세한 내용은 이 CMEK 문서 를 확인하시거나 저희 솔루션 팀 에 문의해 주세요.
계속 읽기
Introducing Functions and Model Inference on Zilliz Cloud: Automatic Embedding and Reranking with Hosted Models
Zilliz Cloud Functions auto-generate embeddings via OpenAI, Voyage AI, Cohere, or Zilliz Hosted Models. Built-in reranking — just insert text and search.
Zilliz Cloud Audit Logs Goes GA: Security, Compliance, and Transparency at Scale
Zilliz Cloud Audit Logs are now GA, giving enterprises real-time visibility, compliance-ready trails, and stronger security across AWS, GCP, and Azure.
Announcing VDBBench 1.0: Open-Source VectorDB Benchmarking with Your Real-World Production Workloads
Discover VDBBench 1.0, an open-source tool for benchmarking vector databases with real-world production data, streaming ingestion, and concurrent workloads.