Acerca de los alias

Obtenga información sobre cómo funcionan los alias en AWS KMS.

Un alias es un recurso AWS independiente.

Un alias no es propiedad de una clave KMS. Las acciones que realice en el alias no afectan a su clave KMS asociada. Puede crear un alias para una clave KMS y, a continuación, actualizar el alias para que esté asociado a una clave KMS diferente. Incluso puede eliminar el alias sin ningún efecto en la clave KMS asociada. Sin embargo, si elimina una clave KMS, se eliminan todos los alias asociados a esa clave KMS.

Si especifica un alias como recurso en una política de IAM, la política hace referencia al alias, no a la clave KMS asociada.

Cada alias tiene dos formatos

Cuando se crea un alias, hay que especificar el nombre del alias. AWS KMS crea el alias ARN por usted.

• Un ARN de alias es un nombre de recurso de Amazon (ARN) que identifica de forma exclusiva el alias.

  # Alias ARN
  arn:aws:kms:us-west-2:111122223333:alias/<alias-name> 

• El nombre de alias debe ser único en la cuenta y la región. En API de AWS KMS, el nombre del alias siempre tiene el prefijo dealias/. Ese prefijo se omite en la consola AWS KMS.

  # Alias name
  alias/<alias-name>

Los alias no son secretos

Los alias pueden mostrarse en texto plano en CloudTrail los registros y otros resultados. No incluya información confidencial en el nombre del alias.

Cada alias está asociado a una clave KMS a la vez

El alias y la clave KMS deben estar en la misma cuenta y región.

Puede asociar un alias con cualquier clave administrada por el cliente en la misma Cuenta de AWS y región. Sin embargo, no tiene permiso para asociar un alias con una Clave administrada de AWS.

Por ejemplo, este ListAliasesresultado muestra que el test-key alias está asociado exactamente a una clave KMS de destino, que se representa mediante la TargetKeyId propiedad.

{
     "AliasName": "alias/test-key",
     "AliasArn": "arn:aws:kms:us-west-2:111122223333:alias/test-key",
     "TargetKeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
     "CreationDate": 1593622000.191,
     "LastUpdatedDate": 1593622000.191
}

Se pueden asociar varios alias con la misma clave KMS

Por ejemplo, puede asociar los alias test-key y project-key con la misma clave KMS.

{
     "AliasName": "alias/test-key",
     "AliasArn": "arn:aws:kms:us-west-2:111122223333:alias/test-key",
     "TargetKeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
     "CreationDate": 1593622000.191,
     "LastUpdatedDate": 1593622000.191
},
{
     "AliasName": "alias/project-key",
     "AliasArn": "arn:aws:kms:us-west-2:111122223333:alias/project-key",
     "TargetKeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
     "CreationDate": 1516435200.399,
     "LastUpdatedDate": 1516435200.399
}

El alias debe ser único en la cuenta y región.

Por ejemplo, solo puede tener un alias test-key en cada cuenta y región. Los alias distinguen entre mayúsculas y minúsculas, pero los alias que solo difieren en sus mayúsculas son muy propensos a errores. No puede cambiar un nombre de alias. Sin embargo, puede eliminar el alias y crear un nuevo alias con el nombre deseado.

Puede crear alias con el mismo nombre en diferentes regiones

Por ejemplo, puede tener un alias finance-key en EE. UU. Este (Norte de Virginia) y un alias finance-key en Europa (Fráncfort). Cada alias se asociaría a una clave KMS en su región. Si su código se refiere a un nombre de alias como alias/finance-key, puede ejecutarlo en varias regiones. En cada región, utiliza una clave KMS diferente. Para obtener más detalles, consulte Usar alias en las aplicaciones.

Puede cambiar la clave KMS asociada a un alias

Puede utilizar la UpdateAliasoperación para asociar un alias a una clave de KMS diferente. Por ejemplo, si el alias finance-key está asociado con la clave KMS 1234abcd-12ab-34cd-56ef-1234567890ab, puede actualizarla para que esté asociada con la clave KMS 0987dcba-09fe-87dc-65ba-ab0987654321.

Sin embargo, la clave de KMS actual y la nueva deben ser del mismo tipo (ambas simétricas o ambas asimétricas o ambas HMAC) y deben tener el mismo uso de clave (ENCRYPT_DECRYPT o SIGN_VERIFY o GENERATE_VERIFY_MAC). Esta restricción evita errores en el código que utiliza alias. Si debe asociar un alias a otro tipo de clave y ha mitigado los riesgos, puede eliminar el alias y volver a crearlo.

Algunas claves KMS no tienen alias

Cuando crea una clave KMS en la consola AWS KMS, debe darle un alias nuevo. Sin embargo, no se requiere un alias cuando se utiliza la CreateKeyoperación para crear una clave de KMS. Además, puede utilizar la UpdateAliasoperación para cambiar la clave de KMS asociada a un alias y la DeleteAliasoperación para eliminar un alias. Como resultado, algunas claves KMS pueden tener varios alias, y algunas podrían tener ninguno.

AWS crea alias en tu cuenta

AWS crea alias en tu cuenta para Claves administradas por AWS. Estos alias tienen nombres del formulario alias/aws/<service-name>, como, por ejemplo, alias/aws/s3.

Alguno alias de AWS no tienen clave KMS. Estos alias predefinidos generalmente se asocian con una Clave administrada de AWScuando empieza a utilizar el servicio.

Usar alias para identificar claves KMS

Puede usar un nombre de alias o un ARN de alias para identificar una clave de KMS en las operaciones criptográficas, y DescribeKey. GetPublicKey (Si la clave KMS está en una Cuenta de AWS diferente, debe usar su ARN de clave o ARN de alias). Los alias no son identificadores válidos para las claves KMS en otras operaciones de AWS KMS. Para obtener información acerca de identificadores clave válidos para cada operación de la API de AWS KMS, consulte las descripciones de los parámetros KeyId en la Referencia de la API de AWS Key Management Service.

No puede utilizar un nombre de alias ni un ARN de alias para identificar una clave KMS en una política de IAM. Para controlar el acceso a una clave KMS en función de sus alias, utilice las claves condicionales kms: RequestAlias o kms: ResourceAliases. Para obtener más detalles, consulte ABAC para AWS KMS.