Consultar las claves de KMS en un almacén de claves de AWS CloudHSM

Para ver las AWS KMS keys en un almacén de claves de AWS CloudHSM, use las mismas técnicas que usaría para ver cualquier clave administrada por el cliente de AWS KMS. Para conocer la información básica, consulte Consultar claves. Para identificar las claves de su clúster de AWS CloudHSM que actúa como material de claves para su clave KMS, consulte Buscar las claves KMS y material de claves. Para obtener información acerca de cómo ver los registros AWS CloudTrail que registran todas las operaciones de la API en un almacén de claves personalizado, consulte Registrar llamadas a la AWS KMS API con AWS CloudTrail.

En la consola de AWS KMS, las claves de KMS del almacén de claves personalizado se muestran en la página de las claves administradas por el cliente, junto con las otras claves administradas por el cliente de su región y Cuenta de AWS.

Sin embargo, los siguientes valores son específicos de las claves de KMS de un almacén de claves de AWS CloudHSM.

• El nombre y el ID del almacén de claves de AWS CloudHSM que almacena la clave de KMS.

• El ID clúster de AWS CloudHSM asociado que contiene su material de claves.

• Un valor Origin de AWS CloudHSM en la consola de AWS KMS o AWS_CLOUDHSM en las respuestas de la API.

• El valor del estado de clave puede ser Unavailable. Para ayudar a resolver el estado, consulte ¿Cómo arreglar las claves KMS no disponibles?.

Para ver las claves de KMS de un almacén de claves de AWS CloudHSM (consola)

1. Abra la consola de AWS KMS en https://console.aws.amazon.com/kms.

2. Para cambiar la Región de AWS, utilice el Selector de regiones ubicado en la esquina superior derecha de la página.

3. En el panel de navegación, elija Claves administradas por el cliente.

4. En la esquina superior derecha, seleccione el icono de engranaje, elija Custom key store ID (ID del almacén de claves personalizado) y Origin (Origen), y, por último, Confirm (Confirmar).

5. Para identificar las claves de KMS en cualquier almacén de claves de AWS CloudHSM, busque las claves de KMS con el valor de Origin (Origen) establecido en AWS CloudHSM. Para identificar las claves de KMS en un almacén de claves de AWS CloudHSM determinado, consulte los valores de la columna Custom key store ID (ID del almacén de claves personalizado).

6. Elija el alias o el ID de clave de una clave de KMS en un almacén de claves de AWS CloudHSM.

   Esta página muestra información detallada sobre la clave KMS, incluido su Nombre de recurso de Amazon (ARN), su política claves y sus etiquetas.

7. Elija la pestaña Cryptographic configuration (Configuración criptográfica). Las pestañas están debajo de la sección General configuration (Configuración general).

   Esta sección incluye información acerca del almacén de claves de AWS CloudHSM y del clúster de AWS CloudHSM asociado a la clave de KMS.

Para ver las claves de KMS en un almacén de claves personalizado (API)

Utiliza las mismas operaciones de AWS KMS API para ver las claves de KMS en un almacén de AWS CloudHSM claves que usaría para cualquier clave de KMS ListKeys, incluidas DescribeKey, y GetKeyPolicy. Por ejemplo, la siguiente operación describe-key en la AWS CLI muestra los campos especiales de una clave de KMS en un almacén de claves de AWS CloudHSM. Antes de ejecutar un comando de este tipo, reemplace el ID de la clave KMS de ejemplo por un valor válido.

$ aws kms describe-key --key-id 1234abcd-12ab-34cd-56ef-1234567890ab

{
   "KeyMetadata": { 
      "Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
      "AWSAccountId": "111122223333",      
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "CreationDate": 1537582718.431,
      "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
      "CustomKeyStoreId": "cks-1234567890abcdef0", 
      "Description": "Key in custom key store",
      "Enabled": true,
      "EncryptionAlgorithms": [
         "SYMMETRIC_DEFAULT"
      ],
      "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",      
      "KeyManager": "CUSTOMER",
      "KeySpec": "SYMMETRIC_DEFAULT",
      "KeyState": "Enabled",
      "KeyUsage": "ENCRYPT_DECRYPT",
      "MultiRegion": false,
      "Origin": "AWS_CLOUDHSM"
   }
}

Para obtener información sobre cómo buscar las claves de KMS en un almacén de claves de AWS CloudHSM o cómo identificar las claves en el clúster de AWS CloudHSM que actúa como material de claves para la clave de KMS, consulte Buscar las claves KMS y material de claves.