클라이언트 측 암호화를 위한 커스텀 키 관리 서비스 빌드

Google Workspace에서 제공하는 암호화를 사용하는 대신 자체 암호화 키를 사용하여 조직의 데이터를 암호화할 수 있습니다. Google Workspace 클라이언트 측 암호화 (CSE)를 사용하면 파일이 Google Drive의 클라우드 기반 저장소에 저장되기 전에 클라이언트의 브라우저에서 파일 암호화가 처리됩니다. 이렇게 하면 Google 서버에서 암호화 키에 액세스할 수 없으므로 데이터를 복호화할 수 없습니다. 자세한 내용은 클라이언트 측 암호화에 관한 정보를 참고하세요.

이 API를 사용하면 맞춤 외부 키 서비스로 데이터를 보호하는 최상위 암호화 키를 제어할 수 있습니다. 이 API로 외부 키 관리 서비스를 만든 후 Google Workspace 관리자가 연결하여 사용자의 CSE를 사용 설정할 수 있습니다.

중요한 용어

다음은 Google Workspace Client-side Encryption API에서 사용되는 일반적인 용어 목록입니다.

클라이언트 측 암호화 (CSE)
클라우드 기반 저장소에 저장되기 전에 클라이언트의 브라우저에서 처리되는 암호화입니다. 이렇게 하면 스토리지 제공업체가 파일을 읽지 못하도록 보호할 수 있습니다. 자세히 알아보기
키 액세스 제어 목록 서비스 (KACLS)
이 API를 사용하여 외부 시스템에 저장된 암호화 키에 대한 액세스를 제어하는 외부 키 서비스
ID 공급업체 (IdP)
사용자가 파일을 암호화하거나 암호화된 파일에 액세스하기 전에 사용자를 인증하는 서비스입니다.

암호화 및 복호화

데이터 암호화 키 (DEK)
브라우저 클라이언트에서 Google Workspace가 데이터 자체를 암호화하는 데 사용하는 키입니다.
키 암호화 키 (KEK)
데이터 암호화 키 (DEK)를 암호화하는 데 사용되는 서비스의 키입니다.

액세스 제어

액세스 제어 목록 (ACL)
파일을 열거나 읽을 수 있는 사용자 또는 그룹 목록입니다.
인증 JSON 웹 토큰 (JWT)
ID 공급업체 (IdP)에서 사용자의 ID를 증명하기 위해 발급한 Bearer 토큰 (JWT: RFC 7519)
승인 JSON 웹 토큰 (JWT)
호출자가 리소스를 암호화하거나 복호화할 권한이 있는지 확인하기 위해 Google에서 발급한 운반자 토큰 (JWT: RFC 7519)
JSON 웹 키 세트 (JWKS)
JSON 웹 토큰 (JWT)을 확인하는 데 사용되는 공개 키 목록을 가리키는 읽기 전용 엔드포인트 URL입니다.
경계
액세스 제어를 위해 KACLS 내에서 인증 및 승인 토큰에 실행되는 추가 검사

클라이언트 측 암호화 프로세스

관리자가 조직에 CSE를 사용 설정하면 CSE가 사용 설정된 사용자는 Docs, Sheets와 같은 Google Workspace 공동 콘텐츠 제작 도구를 사용하여 암호화된 문서를 만들거나 PDF와 같이 Drive에 업로드하는 파일을 암호화할 수 있습니다.

사용자가 문서 또는 파일을 암호화한 후에는 다음 작업을 할 수 있습니다.

  1. Google Workspace는 클라이언트 브라우저에서 DEK를 생성하여 콘텐츠를 암호화합니다.

  2. Google Workspace는 Google Workspace 조직의 관리자에게 제공한 URL을 사용하여 암호화를 위해 DEK 및 인증 토큰을 서드 파티 KACLS로 전송합니다.

  3. KACLS는 이 API를 사용하여 DEK를 암호화한 다음 난독화된 암호화된 DEK를 Google Workspace로 다시 전송합니다.

  4. Google Workspace는 난독화되고 암호화된 데이터를 클라우드에 저장합니다. KACLS에 액세스할 수 있는 사용자만 데이터에 액세스할 수 있습니다.

자세한 내용은 파일 암호화 및 복호화를 참고하세요.

다음 단계