Wie sich unbrauchbare KMS Schlüssel auf Datenschlüssel auswirken

Wenn ein KMS Schlüssel unbrauchbar wird, ist die Wirkung fast sofort spürbar (abhängig von der eventuellen Konsistenz). Der Schlüsselstatus des KMS Schlüssels ändert sich entsprechend seinem neuen Zustand, und alle Anfragen, den KMS Schlüssel für kryptografische Operationen zu verwenden, schlagen fehl.

Die Auswirkungen auf die mit dem Schlüssel verschlüsselten Datenschlüssel und auf die mit dem KMS Datenschlüssel verschlüsselten Daten werden jedoch verzögert, bis der KMS Schlüssel erneut verwendet wird, z. B. zum Entschlüsseln des Datenschlüssels.

KMSSchlüssel können aus einer Vielzahl von Gründen unbrauchbar werden, einschließlich der folgenden Aktionen, die Sie möglicherweise ausführen.

• Deaktivierung des Schlüssels KMS

• Planung der Löschung des KMS Schlüssels

• Löschen des Schlüsselmaterials aus einem KMS Schlüssel mit importiertem Schlüsselmaterial oder Ablaufen des importierten Schlüsselmaterials

• Trennen des AWS CloudHSM Schlüsselspeichers, der den KMS Schlüssel hostet, oder Löschen des Schlüssels aus dem AWS CloudHSM Cluster, der als Schlüsselmaterial für den KMS Schlüssel dient.

• Trennen der Verbindung zum externen Schlüsselspeicher, der den KMS Schlüssel hostet, oder jede andere Aktion, die die Verschlüsselungs- und Entschlüsselungsanforderungen an den externen Schlüsselspeicher-Proxy beeinträchtigt, einschließlich des Löschens des externen Schlüssels aus seinem externen Schlüsselmanager.

Dieser Effekt ist besonders wichtig für viele Benutzer, die Datenschlüssel verwenden AWS-Services , um die Ressourcen zu schützen, die der Dienst verwaltet. Das folgende Beispiel verwendet Amazon Elastic Block Store (AmazonEBS) und Amazon Elastic Compute Cloud (AmazonEC2). Verschiedene AWS-Services verwenden Datenschlüssel auf unterschiedliche Weise. Einzelheiten finden Sie im Abschnitt „Datenschutz“ des Kapitels „Sicherheit“ für den AWS-Service.

Betrachten Sie beispielsweise folgendes Szenario:

1. Sie erstellen ein verschlüsseltes EBS Volume und geben einen KMS Schlüssel an, um es zu schützen. Amazon EBS bittet Sie, Ihren KMS Schlüssel AWS KMS zu verwenden, um einen verschlüsselten Datenschlüssel für das Volume zu generieren. Amazon EBS speichert den verschlüsselten Datenschlüssel mit den Metadaten des Volumes.

2. Wenn Sie das EBS Volume an eine EC2 Instance anhängen, EC2 verwendet Amazon Ihren KMS Schlüssel, um den verschlüsselten Datenschlüssel des EBS Volumes zu entschlüsseln. Amazon EC2 verwendet den Datenschlüssel in der Nitro-Hardware, die für die Verschlüsselung aller Festplatten-I/O auf dem EBS Volume verantwortlich ist. Der Datenschlüssel verbleibt in der Nitro-Hardware, solange das EBS Volume an die Instance angehängt ist. EC2

3. Sie führen eine Aktion aus, die den KMS Schlüssel unbrauchbar macht. Dies hat keine unmittelbaren Auswirkungen auf die EC2 Instanz oder das EBS Volume. Amazon EC2 verwendet den Datenschlüssel — nicht den KMS Schlüssel —, um alle Festplatten-I/O zu verschlüsseln, während das Volume mit der Instance verbunden ist.

4. Wenn das verschlüsselte EBS Volume jedoch von der EC2 Instance getrennt wird, EBS entfernt Amazon den Datenschlüssel von der Nitro-Hardware. Wenn das verschlüsselte EBS Volume das nächste Mal an eine EC2 Instance angehängt wird, schlägt der Anhang fehl, da Amazon den KMS Schlüssel EBS nicht verwenden kann, um den verschlüsselten Datenschlüssel des Volumes zu entschlüsseln. Um das EBS Volume erneut verwenden zu können, müssen Sie den KMS Schlüssel wieder nutzbar machen.