Erkennen asymmetrischer KMS-Schlüssel

Um festzustellen, ob ein bestimmter KMS-Schlüssel ein asymmetrischer KMS-Schlüssel ist, ermitteln Sie den Schlüsseltyp oder die Schlüsselspezifikation. Sie können die AWS KMS-Konsole oder die AWS KMS-API verwenden.

Einige dieser Methoden melden auch andere Aspekte der kryptografischen Konfiguration eines KMS-Schlüssels, einschließlich Schlüsselnutzung und Verschlüsselungs- oder Signaturalgorithmen, die vom KMS-Schlüssel unterstützt werden. Sie können die kryptografische Konfiguration eines KMS-Schlüssel anzeigen, jedoch nicht ändern.

Allgemeine Informationen zum Anzeigen von KMS-Schlüsseln (Sortieren, Filtern und Auswählen von Spalten für die Konsolenanzeige usw.) finden Sie unter KMS-Schlüssel in der Konsole anzeigen.

Finden des Schlüsseltyps in der KMS-Schlüsseltabelle

In der AWS KMS-Konsole wird in der Spalte Key type (Schlüsseltyp) angegeben, ob ein KMS-Schlüssel symmetrisch oder asymmetrisch ist. Sie können eine Schlüsseltyp-Spalte zur KMS-Schlüsseltabelle auf der Seite Customer managed keys (Vom Kunden verwaltete Schlüssel) oder Von AWS verwaltete Schlüssel in der Konsole hinzufügen.

Gehen Sie folgendermaßen vor, um symmetrische und asymmetrische KMS-Schlüssel in der KMS-Schlüsseltabelle zu ermitteln.

1. Öffnen Sie die AWS KMS-Konsole unter https://console.aws.amazon.com/kms.

2. Um die AWS-Region zu ändern, verwenden Sie die Regionenauswahl in der oberen rechten Ecke der Seite.

3. Zum Anzeigen der Schlüssel in Ihrem Konto, die Sie erstellen und verwalten, wählen Sie im Navigationsbereich Customer managed keys (Vom Kunden verwaltete Schlüssel) aus. Um die Schlüssel in Ihrem Konto anzuzeigen, die AWS für Sie erstellt und verwaltet, wählen Sie im Navigationsbereich AWS managed keys (AWS-verwaltete Schlüssel) aus.

4. In den Key type (Schlüsseltyp)-Spalte wird angegeben, ob ein KMS-Schlüssel symmetrisch oder asymmetrisch ist. Sie können auch nach dem Schlüsseltyp-Wert sortieren und filtern.

   Wenn die Spalte Key type (Schlüsseltyp) nicht in der KMS-Schlüsseltabelle angezeigt wird, wählen Sie das Zahnradsymbol oben rechts auf der Seite, dann Key type (Schlüsseltyp) und schließlich Confirm (Bestätigen) aus. Sie können auch die Spalten Key spec (Schlüsselspezifikation) und Key usage (Schlüsselnutzung) hinzufügen.

   

Finden des Schlüsseltyps auf der Seite „Details“

In der AWS KMS-Konsole enthält die Detailseite für jeden KMS-Schlüssel einen Bereich namens Cryptographic Configuration (kryptografische Konfiguration), der den Schlüsseltyp (symmetrisch oder asymmetrisch) und andere kryptografische Details zum KMS-Schlüssel anzeigt.

Gehen Sie folgendermaßen vor, um auf der Detailseite eines KMS-Schlüssels symmetrische und asymmetrische KMS-Schlüssel zu identifizieren.

1. Öffnen Sie die AWS KMS-Konsole unter https://console.aws.amazon.com/kms.

2. Um die AWS-Region zu ändern, verwenden Sie die Regionenauswahl in der oberen rechten Ecke der Seite.

3. Zum Anzeigen der Schlüssel in Ihrem Konto, die Sie erstellen und verwalten, wählen Sie im Navigationsbereich Customer managed keys (Vom Kunden verwaltete Schlüssel) aus. Um die Schlüssel in Ihrem Konto anzuzeigen, die AWS für Sie erstellt und verwaltet, wählen Sie im Navigationsbereich AWS managed keys (AWS-verwaltete Schlüssel) aus.

4. Wählen Sie den Alias oder die Schlüssel-ID eines KMS-Schlüssels.

5. Wählen Sie die Registerkarte Cryptographic configuration (kryptografische Konfiguration) aus. Die Registerkarte wird unter dem Abschnitt General Configuration (allgemeine Konfiguration) angezeigt.

   Die Registerkarte Cryptographic configuration (kryptografische Konfiguration) enthält den Schlüsseltyp, der angibt, ob der KMS-Schlüssel symmetrisch oder asymmetrisch ist. Außerdem werden weitere Details zum KMS-Schlüssel angezeigt, einschließlich der Schlüsselnutzung, die angibt, ob ein KMS-Schlüssel zum Verschlüsseln und Entschlüsseln oder zum Signieren und Verifizieren verwendet werden kann. Bei asymmetrischen KMS-Schlüsseln werden die vom KMS-Schlüssel unterstützten Verschlüsselungsalgorithmen oder Signaturalgorithmen angezeigt.

   Das folgende ist ein Beispiel für die Registerkarte Cryptographic configuration (kryptografische Konfiguration) eines KMS-Schlüssels mit symmetrischer Verschlüsselung.

   

   Im Folgenden finden Sie ein Beispiel für den Bereich Cryptographic configuration (kryptografische Konfiguration) für einen asymmetrischen RSA-KMS-Schlüssel, der zum Signieren und Verifizieren verwendet wird.

   

Finden der Schlüsselspezifikation mit der AWS KMS-API

Um festzustellen, ob ein KMS-Schlüssel symmetrisch oder asymmetrisch ist, verwenden Sie die -DescribeKeyOperation. Das KeySpec-Feld in der Antwort enthält die Schlüsselspezifikation des KMS-Schlüssels. Bei einem KMS-Schlüssel mit symmetrischer Verschlüsselung hat KeySpec den Wert SYMMETRIC_DEFAULT. Andere Werte weisen auf einen asymmetrischen KMS-Schlüssel oder einen HMAC-KMS-Schlüssel hin.

Anmerkung

Das CustomerMasterKeySpec-Element ist veraltet. Nutzen Sie stattdessen KeySpec. Um Breaking Changes zu vermeiden, enthält die DescribeKey-Antwort KeySpec- und CustomerMasterKeySpec-Elemente mit den gleichen Werten.

DescribeKey gibt für einen KMS-Schlüssel mit symmetrischer Verschlüsselung beispielsweise die folgende Antwort zurück. Der Wert von KeySpec ist SYMMETRIC_DEFAULT.

{
  "KeyMetadata": {
    "AWSAccountId": "111122223333",
    "KeyId": "0987dcba-09fe-87dc-65ba-ab0987654321",
    "Arn": "arn:aws:kms:us-west-2:111122223333:key/0987dcba-09fe-87dc-65ba-ab0987654321",
    "CreationDate": 1496966810.831,
    "Enabled": true,
    "Description": "",
    "KeyState": "Enabled",
    "Origin": "AWS_KMS",
    "KeyManager": "CUSTOMER",
    "MultiRegion": false,
    "KeySpec": "SYMMETRIC_DEFAULT",
    "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
    "KeyUsage": "ENCRYPT_DECRYPT",
    "EncryptionAlgorithms": [
        "SYMMETRIC_DEFAULT"
    ]
  }
}

Die DescribeKey-Antwort für einen asymmetrischen RSA-KMS-Schlüssel, der zum Signieren und Verifizieren verwendet wird, entspricht diesem Beispiel. Der KeySpec-Wert ist RSA_2048 und die KeyUsage ist SIGN_VERIFY. Das SigningAlgorithms-Element listet die gültigen Signaturalgorithmen für den KMS-Schlüssel auf.

{
  "KeyMetadata": {
    "AWSAccountId": "111122223333",
    "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
    "Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "CreationDate": 1571767572.317,
    "CustomerMasterKeySpec": "RSA_2048",
    "Enabled": false,
    "Description": "",
    "KeyState": "Disabled",
    "Origin": "AWS_KMS",
    "MultiRegion": false,
    "KeyManager": "CUSTOMER",
    "KeySpec": "RSA_2048",
    "KeyUsage": "SIGN_VERIFY",
    "SigningAlgorithms": [
        "RSASSA_PKCS1_V1_5_SHA_256",
        "RSASSA_PKCS1_V1_5_SHA_384",
        "RSASSA_PKCS1_V1_5_SHA_512",
        "RSASSA_PSS_SHA_256",
        "RSASSA_PSS_SHA_384",
        "RSASSA_PSS_SHA_512"
    ]
  }
}