Importiertes Schlüsselmaterial löschen

Sie können das importierte Schlüsselmaterial jederzeit aus einem KMS Schlüssel löschen. Außerdem wird das Schlüsselmaterial AWS KMS gelöscht, wenn importiertes Schlüsselmaterial mit einem Ablaufdatum abläuft. In beiden Fällen ändert sich der Schlüsselstatus des Schlüssels, wenn das KMS Schlüsselmaterial gelöscht wird, und der KMS Schlüssel kann erst dann für kryptografische Operationen verwendet werden, wenn Sie dasselbe Schlüsselmaterial erneut importieren. (Sie können kein anderes Schlüsselmaterial in den KMS Schlüssel importieren.)

Neben dem Deaktivieren des KMS Schlüssels und dem Entziehen von Berechtigungen kann das Löschen von Schlüsselmaterial auch als Strategie verwendet werden, um die Verwendung des Schlüssels schnell, aber vorübergehend einzustellen. KMS Im Gegensatz dazu wird bei der Planung des Löschens eines KMS Schlüssels mit importiertem Schlüsselmaterial auch schnell die Verwendung des KMS Schlüssels gestoppt. Wenn das Löschen jedoch während der Wartezeit nicht abgebrochen wird, werden der KMS Schlüssel, das Schlüsselmaterial und alle wichtigen Metadaten dauerhaft gelöscht. Details hierzu finden Sie unter Deleting KMS keys with imported key material.

Um Schlüsselmaterial zu löschen, können Sie die AWS KMS Konsole oder die DeleteImportedKeyMaterialAPIOperation verwenden. AWS KMS zeichnet einen Eintrag in Ihrem AWS CloudTrail Protokoll auf, wenn Sie importiertes Schlüsselmaterial löschen und wenn abgelaufenes Schlüsselmaterial AWS KMS gelöscht wird.

Wie sich das Löschen von Schlüsselmaterial auf Dienste auswirkt AWS

Wenn Sie Schlüsselmaterial löschen, wird der KMS Schlüssel ohne Schlüsselmaterial sofort unbrauchbar (vorbehaltlich der späteren Konsistenz). Ressourcen, die mit durch den KMSSchlüssel geschützten Datenschlüsseln verschlüsselt wurden, sind jedoch erst betroffen, wenn der KMS Schlüssel erneut verwendet wird, z. B. zum Entschlüsseln des Datenschlüssels. Dieses Problem betrifft AWS-Services, von denen viele Datenschlüssel verwenden, um Ihre Ressourcen zu schützen. Details hierzu finden Sie unter Wie sich unbrauchbare KMS Schlüssel auf Datenschlüssel auswirken.

Verwenden der Konsole AWS KMS

Sie können die AWS KMS Konsole verwenden, um Schlüsselmaterial zu löschen.

1. Melden Sie sich bei der AWS Key Management Service (AWS KMS) -Konsole an AWS Management Console und öffnen Sie sie unter https://console.aws.amazon.com/kms.

2. Um das zu ändern AWS-Region, verwenden Sie die Regionsauswahl in der oberen rechten Ecke der Seite.

3. Klicken Sie im Navigationsbereich auf Kundenverwaltete Schlüssel.

4. Führen Sie eine der folgenden Aktionen aus:

   • Aktivieren Sie das Kontrollkästchen für einen KMS Schlüssel mit importiertem Schlüsselmaterial. Wählen Sie unter Key actions die Option Delete key material.

   • Wählen Sie den Alias oder die Schlüssel-ID eines KMS Schlüssels mit importiertem Schlüsselmaterial. Wählen Sie die Registerkarte Key material (Schlüsselmaterial) und dann Delete key material (Schlüsselmaterial löschen).

5. Bestätigen Sie, dass Sie das Schlüsselmaterial löschen möchten, und klicken Sie dann auf Delete key material. Der Status des KMS Schlüssels, der seinem Schlüsselstatus entspricht, ändert sich in Ausstehender Import.

Unter Verwendung des AWS KMS API

Um das AWS KMS APIzum Löschen von Schlüsselmaterial zu verwenden, senden Sie eine DeleteImportedKeyMaterialAnfrage. Das folgende Beispiel zeigt, wie Sie dies mit dem AWS CLI tun können.

1234abcd-12ab-34cd-56ef-1234567890abErsetzen Sie es durch die Schlüssel-ID des KMS Schlüssels, dessen Schlüsselmaterial Sie löschen möchten. Sie können die KMS Schlüssel-ID des Schlüssels oderARN, aber Sie können keinen Alias für diesen Vorgang verwenden.

$ aws kms delete-imported-key-material --key-id 1234abcd-12ab-34cd-56ef-1234567890ab