Wird aktualisiertAWS KMSSchlüsselringe

DieAWS KMSSchlüsselringe in derAWS-Verschlüsselungs-SDK for C, dasAWS Encryption SDKfür .NET, und derAWS-Verschlüsselungs-SDK for JavaScriptUnterstützungBewährte Methodenindem Sie beim Ver- und Entschlüsseln Wrapping-Schlüssel angeben können. Wenn Sie eine erstellenAWS KMSDiscovery Schlüsselringtun Sie dies ausdrücklich.

Anmerkung

Die früheste Version desAWS Encryption SDKfür .NET ist Version 3.0.x. Alle Versionen desAWS Encryption SDKfür .NET unterstützen Sie die in 2.0 eingeführten Best Practices für Sicherheit.xderAWS Encryption SDK. Sie können sicher auf die neueste Version aktualisieren, ohne Code- oder Datenänderungen vorzunehmen.

Wenn Sie auf die neueste Version aktualisieren 1.xVersion desAWS Encryption SDKkönnen Sie verwenden eineDiscovery-Filterum die Wraping-Schlüssel zu begrenzen, dieAWS KMSDiscovery SchlüsselringoderAWS KMSRegional Discovery Schlüsselringwird insbesondere beim Entschlüsseln in diese verwendetAWS-Konten. Das Filtern eines Discovery-Schlüsselrings ist einAWS Encryption SDK Bewährte Methode.

Die Beispiele in diesem Abschnitt zeigen Ihnen, wie Sie den Discovery-Filter zu einemAWS KMSSchlüsselanhänger für regionale Entdeckungen.

Weitere Informationen über Migration

Für alleAWS Encryption SDKBenutzer, erfahren Sie mehr über das Festlegen Ihrer VerpflichtungsrichtlinieFestlegung Ihrer Verpflichtungspolitik.

FürAWS-Verschlüsselungs-SDK for Java,AWS-Verschlüsselungs-SDK for Python, undAWSBenutzer von Encryption CLI erfahren mehr über ein erforderliches Update für Master Key-Anbieter unterAktualisierung der AWS KMS Hauptschlüsselanbieter.

 

Möglicherweise haben Sie Code wie den folgenden in Ihrer Anwendung. Dieses Beispiel erstellt einenAWS KMSregionaler Discovery-Schlüsselring, der nur in der Region US West (Oregon) (us-west-2) -Schlüsselbund verwenden kann. Dieses Beispiel steht für Code inAWS Encryption SDK-Versionen vor 1.7.x. Es ist jedoch weiterhin in den Versionen 1.7 gültig.xund später.

C

struct aws_cryptosdk_keyring *kms_regional_keyring = Aws::Cryptosdk::KmsKeyring::Builder()
       .WithKmsClient(create_kms_client(Aws::Region::US_WEST_2)).BuildDiscovery());

JavaScript Browser

const clientProvider = getClient(KMS, { credentials })

const discovery = true
const clientProvider = limitRegions(['us-west-2'], getKmsClient)
const keyring = new KmsKeyringBrowser({ clientProvider, discovery })

JavaScript Node.js

const discovery = true
const clientProvider = limitRegions(['us-west-2'], getKmsClient)
const keyring = new KmsKeyringNode({ clientProvider, discovery })

Beginnend mit Version 1.7.xkönnen Sie einen Discovery-Filter zu jedem hinzufügenAWS KMSDiscovery Schlüsselring. Dieser Discovery-Filter begrenzt dieAWS KMS keysdass derAWS Encryption SDKkann für die Entschlüsselung von Personen in der angegebenen Partition und Konten verwendet werden. Bevor Sie diesen Code verwenden, ändern Sie gegebenenfalls die Partition und ersetzen Sie die Beispielkonto-IDs durch gültige.

C

Ein vollständiges Beispiel finden Sie inkms_discovery.cpp.

std::shared_ptr<KmsKeyring::DiscoveryFilter> discovery_filter(
    KmsKeyring::DiscoveryFilter::Builder("aws")
        .AddAccount("111122223333")
        .AddAccount("444455556666")
        .Build());

struct aws_cryptosdk_keyring *kms_regional_keyring = Aws::Cryptosdk::KmsKeyring::Builder()
       .WithKmsClient(create_kms_client(Aws::Region::US_WEST_2)).BuildDiscovery(discovery_filter));

JavaScript Browser

const clientProvider = getClient(KMS, { credentials })

const discovery = true
const clientProvider = limitRegions(['us-west-2'], getKmsClient)
const keyring = new KmsKeyringBrowser(clientProvider, {
    discovery,
    discoveryFilter: { accountIDs: ['111122223333', '444455556666'], partition: 'aws' }
})

JavaScript Node.js

Ein vollständiges Beispiel finden Sie inkms_filtered_discovery.ts.

const discovery = true
const clientProvider = limitRegions(['us-west-2'], getKmsClient)
const keyring = new KmsKeyringNode({
    clientProvider,
    discovery,
    discoveryFilter: { accountIDs: ['111122223333', '444455556666'], partition: 'aws' }
})