HashiCorp Vault 암호화 아키텍처 완전 분석 : 엔터프라이즈 시크릿 관리 - Seal/Barrier/Transit/Raft

Vault의 핵심 보안 아키텍처

• Seal/Unseal 메커니즘: Root Key를 보호하며, Unseal Key 조각으로 복호화되어 Sealed/Unsealed 상태를 전환하여 Vault 접근을 통제합니다.
• Barrier 암호화 레이어: 물리적 저장소와 Vault 사이에 위치하며, 모든 저장 데이터를 AES-256-GCM으로 암호화하여 저장소 데이터를 보호합니다.
• 계층적 키 구조: Unseal Key → Root Key → Encryption Key로 이어지는 다층 키 보호 구조로, 각 계층이 독립적으로 암호화되어 데이터 안전성을 강화합니다.

Vault의 암호화 서비스 및 내부 메커니즘

• Transit Secrets Engine: Envelope Encryption 패턴을 통해 Datakey를 생성, 애플리케이션이 로컬에서 대용량 데이터를 효율적으로 암호화/복호화하는 서비스를 제공합니다.
• Raft Integrated Storage: Raft 합의 알고리즘 기반으로 자체 저장소 및 클러스터링을 제공하여 고가용성과 데이터 무결성을 보장합니다.
• BLAKE2 해싱: 내부 데이터의 무결성 검증에 사용되는 빠르고 암호학적으로 안전한 해시 알고리즘입니다.

접근 제어 및 감사 로깅

• 정책 기반 접근 제어: 세밀한 권한 관리를 통해 Barrier를 통과한 데이터라도 정책에 부합하지 않으면 접근을 거부합니다.
• 감사 로깅: 모든 요청과 응답을 상세히 기록하여 보안 감사, 이상 탐지, 법규 준수에 활용하며 추적성을 확보합니다.