Löschen eines externen Schlüsselspeichers

Wenn Sie einen externen Schlüsselspeicher löschen, löscht AWS KMS alle Metadaten über den externen Schlüsselspeicher aus AWS KMS, einschließlich der Informationen über seinen externen Schlüsselspeicher-Proxy. Dieser Vorgang wirkt sich nicht auf den Proxy des externen Schlüsselspeichers, den externen Schlüsselmanager, externe Schlüssel oder AWS-Ressourcen aus, die Sie zur Unterstützung des externen Schlüsselspeichers erstellt haben, wie z. B. eine Amazon VPC oder einen VPC-Endpunkt-Service.

Bevor Sie einen externen Schlüsselspeicher löschen, müssen Sie alle KMS-Schlüssel aus dem Schlüsselspeicher löschen und die Verbindung des Schlüsselspeichers mit seinem externen Schlüsselspeicher-Proxy trennen. Andernfalls schlagen Versuche, den Schlüsselspeicher zu löschen, fehl.

Das Löschen eines externen Schlüsselspeichers ist nicht rückgängig zu machen, aber Sie können einen neuen externen Schlüsselspeicher erstellen und ihn mit demselben externen Schlüsselspeicher-Proxy und externen Schlüsselmanager verknüpfen. Allerdings können Sie die KMS-Schlüssel mit symmetrischer Verschlüsselung im externen Schlüsselspeicher nicht erneut erstellen, selbst wenn Sie Zugriff auf dasselbe externe Schlüsselmaterial haben. AWS KMS enthält Metadaten im symmetrischen Geheimtext, die für jeden KMS-Schlüssel eindeutig sind. Diese Sicherheitsfunktion sorgt dafür, dass nur der KMS-Schlüssel, der die Daten verschlüsselt hat, sie entschlüsseln kann.

Anstatt den externen Schlüsselspeicher zu löschen, sollten Sie dessen Verbindung trennen. Während ein externer Schlüsselspeicher getrennt ist, können Sie den externen Schlüsselspeicher und seine AWS KMS keys-Schlüssel verwalten, aber Sie können keine KMS-Schlüssel im externen Schlüsselspeicher erstellen oder verwenden. Sie können den externen Schlüsselspeicher jederzeit wieder verbinden und seine KMS-Schlüssel zum Ver- und Entschlüsseln von Daten verwenden. Für einen nicht verbundenen externen Schlüsselspeicher-Proxy oder seine nicht verfügbaren KMS-Schlüssel fallen keine Kosten an.

Löschen eines externen Schlüsselsspeichers (Konsole)

Sie können die AWS KMS-Konsole verwenden, um einen externen Schlüsselspeicher zu löschen.

1. Melden Sie sich bei der AWS Management Console an und öffnen Sie die AWS Key Management Service (AWS KMS)-Konsole unter https://console.aws.amazon.com/kms.

2. Wenn Sie die AWS-Region ändern möchten, verwenden Sie die Regionsauswahl in der oberen rechten Ecke der Seite.

3. Wählen Sie im Navigationsbereich Custom key stores (Benutzerdefinierte Schlüsselspeicher), External key stores (Externe Schlüsselspeicher) aus.

4. Suchen Sie die Zeile, die den externen Schlüsselspeicher darstellt, den Sie löschen möchten. Wenn der Verbindungsstatus des externen Schlüsselspeichers nicht DISCONNECTED (VERBINDUNG GETRENNT) ist, müssen Sie die Verbindung des externen Schlüsselspeichers trennen, bevor Sie ihn löschen.

5. Wählen Sie im Menü Key store actions (Schlüsselspeicheraktionen) die Option Delete (Löschen) aus.

Nach Abschluss des Vorgangs wird eine Erfolgsmeldung angezeigt und der externe Schlüsselspeicher wird nicht mehr in der Schlüsselspeicherliste angezeigt. Wenn die Produktion nicht erfolgreich ist, wird eine Fehlermeldung mit einer Beschreibung des Problems und Hilfestellung zur Fehlerbehebung angezeigt. Wenn Sie weitere Hilfe benötigen, beachten Sie den Abschnitt Fehlerbehebung bei externen Schlüsselspeichern.

Löschen eines externen Schlüsselsspeichers (API)

Um einen externen Schlüsselspeicher zu löschen, verwenden Sie die -DeleteCustomKeyStoreOperation. Wenn die Produktion erfolgreich ausgeführt wurde, gibt AWS KMS eine HTTP-200-Antwort und ein JSON-Objekt ohne Eigenschaften zurück.

Trennen Sie zunächst die Verbindung des externen Schlüsselspeichers. Vor der Ausführung dieses Befehls müssen Sie die Beispiel-ID des benutzerdefinierten Schlüsselspeichers durch eine gültige ID ersetzen.

$ aws kms disconnect-custom-key-store --custom-key-store-id cks-1234567890abcdef0

Nachdem der externe Schlüsselspeicher getrennt wurde, können Sie den DeleteCustomKeyStore Vorgang verwenden, um ihn zu löschen.

$ aws kms delete-custom-key-store --custom-key-store-id cks-1234567890abcdef0

Um zu bestätigen, dass der externe Schlüsselspeicher gelöscht wurde, verwenden Sie die -DescribeCustomKeyStoresOperation.

$ aws kms describe-custom-key-stores
            
{
    "CustomKeyStores": []
}

Wenn Sie den Namen oder die ID eines benutzerdefinierten Schlüsselspeichers angeben, der nicht mehr vorhanden ist, gibt AWS KMS die CustomKeyStoreNotFoundException-Ausnahme zurück.

$ aws kms describe-custom-key-stores --custom-key-store-id cks-1234567890abcdef0

An error occurred (CustomKeyStoreNotFoundException) when calling the DescribeCustomKeyStore operation: