Anzeigen von KMS-Schlüsseln in einem AWS CloudHSM-Schlüsselspeicher

Um einen AWS KMS keys in einem AWS CloudHSM-Schlüsselspeicher anzuzeigen, verwenden Sie denselben Vorgang, wie für alle anderen kundenverwalteten AWS KMS-Schlüssel. Informationen zu den Grundlagen finden Sie unter Anzeigen von Schlüsseln. Informationen zur Identifizierung der Schlüssel in Ihrem AWS CloudHSM-Cluster, die als Schlüsselmaterial für Ihren KMS-Schlüssel dienen, finden Sie unter Ermitteln von KMS-Schlüssel und Schlüsselmaterial. Weitere Informationen zur Anzeige von AWS CloudTrail-Protokollen, die alle API-Operationen einem benutzerdefiniertem Schlüsselspeicher aufzeichnen, finden Sie unter AWS KMS API-Aufrufe protokollieren mit AWS CloudTrail.

Die KMS-Schlüssel in Ihrem benutzerdefinierten Schlüsselspeicher werden in der AWS KMS-Konsole zusammen mit allen anderen kundenverwalteten Schlüsseln in Ihrem AWS-Konto und Ihrer Region angezeigt.

Die folgenden Werte sind jedoch für KMS-Schlüssel in einem AWS CloudHSM-Schlüsselspeicher spezifisch.

• Der Name und die ID des AWS CloudHSM-Schlüsselspeichers, in dem der KMS-Schlüssel gespeichert ist.

• Die Cluster-ID des zugehörigen AWS CloudHSM-Clusters, das das Schlüsselmaterial enthält.

• Der Wert Origin AWS CloudHSM in der AWS KMS-Konsole oder AWS_CLOUDHSM in API-Antworten.

• Der Wert für den Schlüsselstatus kann Unavailable sein. Informationen dazu, wie Sie den Status auflösen, finden Sie unter So reparieren Sie nicht-verfügbare KMS-Schlüssel.

Anzeigen der KMS-Schlüssel in einem AWS CloudHSM-Schlüsselspeicher (Konsole)

1. Öffnen Sie die AWS KMS-Konsole unter https://console.aws.amazon.com/kms.

2. Um die AWS-Region zu ändern, verwenden Sie die Regionenauswahl in der oberen rechten Ecke der Seite.

3. Klicken Sie im Navigationsbereich auf Kundenverwaltete Schlüssel.

4. Wählen Sie oben rechts das Zahnradsymbol und dann Custom key store ID (ID des benutzerdefinierten Schlüsselspeichers) und Origin (Ursprung) aus. Wählen Sie anschließend Confirm (Bestätigen) aus.

5. Um KMS-Schlüssel in allen AWS CloudHSM-Schlüsselspeichern zu identifizieren, suchen Sie nach KMS-Schlüsseln mit dem Wert AWS CloudHSM für Origin (Ursprung). Um KMS-Schlüssel in einem bestimmten AWS CloudHSM-Schlüsselspeicher zu identifizieren, zeigen Sie die Werte in der Spalte Custom key store ID (ID des benutzerdefinierten Schlüsselspeichers) an.

6. Wählen Sie den Alias oder die Schlüssel-ID eines KMS-Schlüssels in einem AWS CloudHSM-Schlüsselspeicher aus.

   Auf dieser Seite werden detaillierte Informationen zum KMS-Schlüssel angezeigt, einschließlich dessen Amazon-Ressourcenname (ARN), Schlüsselrichtlinie und Tags.

7. Wählen Sie die Registerkarte Cryptographic configuration (kryptografische Konfiguration) aus. Die Registerkarte wird unter dem Abschnitt General Configuration (allgemeine Konfiguration) angezeigt.

   Dieser Bereich enthält Informationen zum AWS CloudHSM-Schlüsselspeicher und AWS CloudHSM-Cluster des KMS-Schlüssels.

Anzeigen der KMS-Schlüssel in einem benutzerdefinierten Schlüsselspeicher (API)

Sie verwenden dieselben AWS KMS API-Operationen, um die KMS-Schlüssel in einem ListKeys-AWS CloudHSMSchlüsselspeicher anzuzeigen, die Sie für jeden KMS-Schlüssel verwenden würden, einschließlich DescribeKey, und GetKeyPolicy. Beispielsweise zeigt der folgende describe-key-Vorgang in der AWS CLI die speziellen Felder für einen KMS-Schlüssel in einem AWS CloudHSM-Schlüsselspeicher an. Vor der Ausführung eines Befehls wie diesem müssen Sie die ID des Beispiel-KMS-Schlüssels durch einen gültigen Wert ersetzen.

$ aws kms describe-key --key-id 1234abcd-12ab-34cd-56ef-1234567890ab

{
   "KeyMetadata": { 
      "Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
      "AWSAccountId": "111122223333",      
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "CreationDate": 1537582718.431,
      "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
      "CustomKeyStoreId": "cks-1234567890abcdef0", 
      "Description": "Key in custom key store",
      "Enabled": true,
      "EncryptionAlgorithms": [
         "SYMMETRIC_DEFAULT"
      ],
      "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",      
      "KeyManager": "CUSTOMER",
      "KeySpec": "SYMMETRIC_DEFAULT",
      "KeyState": "Enabled",
      "KeyUsage": "ENCRYPT_DECRYPT",
      "MultiRegion": false,
      "Origin": "AWS_CLOUDHSM"
   }
}

Weitere Informationen dazu, wie Sie die KMS-Schlüssel in einem AWS CloudHSM-Schlüsselspeicher finden oder die Schlüssel in Ihrem AWS CloudHSM-Cluster identifizieren, die als Schlüsselmaterial für Ihren KMS-Schlüssel dienen, finden Sie unter Ermitteln von KMS-Schlüssel und Schlüsselmaterial.