Identification des clés KMS asymétriques

Pour déterminer si une clé KMS particulière est une clé KMS asymétrique, recherchez son type de clé ou sa spécification de clé. Vous pouvez utiliser la console AWS KMS ou l'API AWS KMS.

Certaines de ces méthodes vous montreront d'autres aspects de la configuration de chiffrement d'une clé KMS, y compris son utilisation des clés et les algorithmes de chiffrement ou de signature pris en charge par la clé KMS. Vous pouvez afficher la configuration de chiffrement d'une clé KMS existante, mais vous ne pouvez pas la modifier.

Pour obtenir des informations générales sur l'affichage des clés KMS, notamment le tri, le filtrage et le choix des colonnes pour l'affichage de la console, reportez-vous à la section Affichage de clés KMS dans la console.

Recherche du type de clé dans la table de clés KMS

Dans la console AWS KMS, la colonne Type de clé indique si chaque clé KMS est symétrique ou asymétrique. Vous pouvez ajouter une colonne Type de clé à la table de clés KMS sur les pages Clés gérées par le client ou Clés gérées par AWS dans la console.

Pour identifier les clés KMS symétriques et asymétriques dans votre table de clés KMS, procédez comme suit.

1. Ouvrez la console AWS KMS à l’adresse https://console.aws.amazon.com/kms.

2. Pour changer de Région AWS, utilisez le sélecteur de Région dans l’angle supérieur droit de la page.

3. Pour afficher les clés de votre compte que vous créez et gérez vous-même, dans le volet de navigation, choisissez Clés gérées par le client. Pour afficher les clés de votre compte qu'AWS crée et gère pour vous, dans le panneau de navigation, choisissez Clés gérées par AWS.

4. Les colonnes Key type (Type de clé) indiquent si chaque clé KMS est symétrique ou asymétrique. Vous pouvez également trier et filtrer selon la valeur du Key type (Type de clé).

   Si la colonne Key type (Type de clé) n'apparaît pas dans votre table de clés KMS, choisissez l'icône en forme de roue dentée dans le coin supérieur droit de la page, Key type (Type de clé), puis Confirm (Confirmer). Vous pouvez également ajouter les colonnes Key spec (Spécification de clé) et Key usage (Utilisation de clé).

   

Recherche du type de clé sur la page Détails

Dans la console AWS KMS, la page de détails de chaque clé KMS comprend un onglet Cryptographic Configuration (Configuration de chiffrement) qui affiche le type de clé (symétrique ou asymétrique) et d'autres détails de chiffrement sur la clé KMS.

Pour identifier les clés KMS symétriques et asymétriques sur la page de détails d'une clé KMS, procédez comme suit.

1. Ouvrez la console AWS KMS à l’adresse https://console.aws.amazon.com/kms.

2. Pour changer de Région AWS, utilisez le sélecteur de Région dans l’angle supérieur droit de la page.

3. Pour afficher les clés de votre compte que vous créez et gérez vous-même, dans le volet de navigation, choisissez Clés gérées par le client. Pour afficher les clés de votre compte qu'AWS crée et gère pour vous, dans le panneau de navigation, choisissez Clés gérées par AWS.

4. Choisissez l'alias ou l'ID d'une clé KMS.

5. Choisissez l'onglet Cryptographic configuration (Configuration de chiffrement). Les onglets se trouvent sous la section General configuration (Configuration générale).

   L'onglet Cryptographic configuration (Configuration de chiffrement) affiche le Key Type (Type de clé), qui indique si elle est symétrique ou asymétrique. Il affiche également d'autres détails sur la clé KMS, y compris Key Usage (Utilisation de la clé), qui indique si une clé KMS peut être utilisée pour le chiffrement et le déchiffrement, ou pour la signature et la vérification. Pour les clés KMS asymétriques, il affiche les algorithmes de chiffrement ou les algorithmes de signature pris en charge par la clé KMS.

   Par exemple, voici un exemple d'onglet Cryptographic configuration (Configuration de chiffrement) pour une clé KMS de chiffrement symétrique.

   

   Voici un exemple d'onglet Cryptographic configuration (Configuration de chiffrement) pour une clé KMS RSA asymétrique utilisée pour la signature et la vérification.

   

Recherche de la spécification clé à l'aide de l'API AWS KMS

Pour déterminer si une clé KMS est symétrique ou asymétrique, utilisez l'DescribeKeyopération. Le champ KeySpec de la réponse contient la spécification de clé de la clé KMS. Pour une clé KMS de chiffrement symétrique, la valeur de KeySpec est SYMMETRIC_DEFAULT. Les autres valeurs indiquent une clé KMS asymétrique ou une clé KMS HMAC asymétrique.

Note

Le membre CustomerMasterKeySpec est obsolète. Utilisez à la place KeySpec. Pour éviter les modifications avec rupture, la réponse DescribeKey inclut les membres KeySpec et CustomerMasterKeySpec avec la même valeur.

Par exemple, DescribeKey renvoie la réponse suivante pour une clé KMS de chiffrement symétrique. La valeur KeySpec est SYMMETRIC_DEFAULT.

{
  "KeyMetadata": {
    "AWSAccountId": "111122223333",
    "KeyId": "0987dcba-09fe-87dc-65ba-ab0987654321",
    "Arn": "arn:aws:kms:us-west-2:111122223333:key/0987dcba-09fe-87dc-65ba-ab0987654321",
    "CreationDate": 1496966810.831,
    "Enabled": true,
    "Description": "",
    "KeyState": "Enabled",
    "Origin": "AWS_KMS",
    "KeyManager": "CUSTOMER",
    "MultiRegion": false,
    "KeySpec": "SYMMETRIC_DEFAULT",
    "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
    "KeyUsage": "ENCRYPT_DECRYPT",
    "EncryptionAlgorithms": [
        "SYMMETRIC_DEFAULT"
    ]
  }
}

La réponse DescribeKey d'une clé KMS RSA asymétrique utilisée dans la signature et la vérification ressemble à cet exemple. La valeur KeySpec est RSA_2048 et la valeur KeyUsage est SIGN_VERIFY. L'élément SigningAlgorithms répertorie les algorithmes de signature valides pour la clé KMS.

{
  "KeyMetadata": {
    "AWSAccountId": "111122223333",
    "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
    "Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "CreationDate": 1571767572.317,
    "CustomerMasterKeySpec": "RSA_2048",
    "Enabled": false,
    "Description": "",
    "KeyState": "Disabled",
    "Origin": "AWS_KMS",
    "MultiRegion": false,
    "KeyManager": "CUSTOMER",
    "KeySpec": "RSA_2048",
    "KeyUsage": "SIGN_VERIFY",
    "SigningAlgorithms": [
        "RSASSA_PKCS1_V1_5_SHA_256",
        "RSASSA_PKCS1_V1_5_SHA_384",
        "RSASSA_PKCS1_V1_5_SHA_512",
        "RSASSA_PSS_SHA_256",
        "RSASSA_PSS_SHA_384",
        "RSASSA_PSS_SHA_512"
    ]
  }
}