Affichage des clés multi-régions

Vous pouvez afficher les clés à région unique et multi-région dans la console AWS KMS et avec les opérations d'API AWS KMS.

Affichage des clés multi-région dans la console

Dans la console AWS KMS, vous pouvez afficher les clés KMS dans la région sélectionnée. Toutefois, si vous avez une clé multi-région, vous pouvez voir ses clés multi-région associées dans d'autres Régions AWS.

Le tableau Clés gérées par le client dans la console AWS KMS affiche uniquement les clés KMS de la région sélectionnée. Vous pouvez afficher les clés principales et de réplica multi-région dans la région sélectionnée. Pour changer de Région AWS, utilisez le sélecteur de Région dans l’angle supérieur droit de la page.

Le tableau Clés gérées par AWS n'a pas les fonctions de régionalité, car les Clés gérées par AWS sont toujours des clés à région unique.

• Pour faciliter l'identification de vos clés multi-région, ajoutez la colonne Regionality (Régionalité) à votre table de clés. Pour obtenir de l'aide, veuillez consulter Personnalisation de vos tables de clés KMS.

  

• Pour afficher uniquement les clés à région unique ou les clés multi-région dans votre tableau de clés, filtrez vos clés à l'aide de la propriété Regionality (Régionalité) de chaque clé. Pour obtenir de l'aide, veuillez consulter Tri et filtrage de vos clés KMS.

  

• Vous pouvez également trier et filtrer votre table Clés gérées par le client pour le préfixe d'ID de clé distinctif mrk-.

  

• Pour plus de détails sur une clé principale ou une clé de réplica multi-région, consultez la page détaillée de la clé, puis choisissez l'onglet Regionality (Régionalité).

  L'onglet Regionality (Régionalité) d'une clé principale inclut les boutons Change primary Region (Modifier la région principale) et Create new replica keys (Créer de nouvelles clés de réplica). (L'onglet Regionality (Régionalité) d'une clé de réplica n'a aucun bouton.) La section Related multi-Region keys (Clés multi-région associées) répertorie toutes les clés multi-région associées à la clé actuelle. Si la clé actuelle est une clé de réplica, cette liste inclut la clé principale.

  Si vous choisissez une clé multi-région associée dans le tableau Related multi-Region keys (Clés multi-région associées), la console AWS KMS passe à la région de la clé sélectionnée et ouvre la page détaillée de la clé. Par exemple, si vous choisissez la clé de réplica dans la région sa-east-1 dans la section d'exemple Related multi-Region keys (Clés multi-région associées) ci-dessous, la console AWS KMS passe à la région sa-east-1 pour afficher la page détaillée de cette clé de réplica. Vous pouvez le faire pour afficher l'alias ou la politique de clé de la clé de réplica. Pour changer de région à nouveau, utilisez le Sélecteur de région dans l'angle supérieur droit de la page.

  

Affichage des clés multi-région dans l'API

Pour afficher les clés multirégionales dans l'AWS KMSAPI, utilisez l'DescribeKeyopération. Elle affiche la clé spécifiée et toutes ses clés multi-région associées.

Comme la console AWS KMS, les opérations d'API AWS KMS sont régionales. Par exemple, lorsque vous appelez les ListAliasesopérations ListKeysor, elles renvoient uniquement les ressources de la région actuelle ou spécifiée. Mais lorsque vous appelez l'opération DescribeKey sur une clé multi-région, la réponse inclut toutes les clés multi-région associées dans d'autres Régions AWS.

Par exemple, la demande DescribeKey suivante obtient des détails sur une clé de réplica multi-région d'exemple dans la région Asie-Pacifique (Tokyo) (ap-northeast-1).

$ aws kms describe-key \
        --key-id arn:aws:kms:ap-northeast-1:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab \
        --region ap-northeast-1

La plupart des KeyMetadata dans la réponse décrivent la clé de réplica dans la région Asie-Pacifique (Tokyo), il s'agit du sujet de la demande. Cependant, l'élément MultiRegionConfiguration décrit la clé principale dans la région USA Ouest (Oregon) (us-west-2) et ses clés de réplica dans d'autres Régions AWS, y compris le réplica de la région Asie-Pacifique (Tokyo). DescribeKey renvoie la même valeur MultiRegionConfiguration pour toutes les clés multi-régions associées.

{
    "KeyMetadata": {
        "MultiRegion": true,        
        "AWSAccountId": "111122223333",
        "Arn": "arn:aws:kms:ap-northeast-1:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab",
        "CreationDate": 1586329200.918,
        "Description": "",
        "Enabled": true,
        "KeyId": "mrk-1234abcd12ab34cd56ef1234567890ab",
        "KeyManager": "CUSTOMER",
        "KeyState": "Enabled",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "Origin": "AWS_KMS",
        "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
        "EncryptionAlgorithms": [
            "SYMMETRIC_DEFAULT"
        ],
        "MultiRegionConfiguration": {
            "MultiRegionKeyType": "PRIMARY",
            "PrimaryKey": {
                "Arn": "arn:aws:kms:us-west-2:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab",
                "Region": "us-west-2"
            },
            "ReplicaKeys": [
                {
                    "Arn": "arn:aws:kms:eu-west-1:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab",
                    "Region": "eu-west-1"
                },
                {
                    "Arn": "arn:aws:kms:ap-northeast-1:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab",
                    "Region": "ap-northeast-1"
                },
                {
                    "Arn": "arn:aws:kms:sa-east-1:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab",
                    "Region": "sa-east-1"
                }
            ]
        }
    }
}