Ruota AWS KMS le chiavi utilizzate per la crittografia Amazon EBS

Le best practice di crittografia scoraggiano il riutilizzo esteso delle chiavi di crittografia.

Per creare nuovo materiale crittografico da utilizzare con la EBS crittografia Amazon, puoi creare una nuova chiave gestita dal cliente e quindi modificare le tue applicazioni per utilizzare quella nuova KMS chiave. In alternativa, puoi abilitare la rotazione automatica delle chiavi per una chiave esistente gestita dal cliente.

Quando abiliti la rotazione automatica delle chiavi per una chiave gestita dal cliente, AWS KMS genera nuovo materiale crittografico per la KMS chiave ogni anno. AWS KMS salva tutte le versioni precedenti del materiale crittografico in modo da poter continuare a decrittografare e utilizzare volumi e istantanee precedentemente crittografati con quel materiale chiave. KMS AWS KMS non elimina alcun materiale chiave ruotato finché non si elimina la chiave. KMS

Quando si utilizza una chiave ruotata gestita dal cliente per crittografare un nuovo volume o un'istantanea, AWS KMS utilizza il (nuovo) materiale chiave corrente. Quando si utilizza una chiave ruotata gestita dal cliente per decrittografare un volume o un'istantanea, AWS KMS utilizza la versione del materiale crittografico utilizzata per crittografarlo. Se un volume o un'istantanea è crittografato con una versione precedente del materiale crittografico, AWS KMS continua a utilizzare quella versione precedente per decrittografarlo. AWS KMS non cripta nuovamente volumi o istantanee precedentemente crittografati per utilizzare il nuovo materiale crittografico dopo una rotazione della chiave. Rimangono crittografati con il materiale crittografico con cui erano originariamente crittografati. È possibile utilizzare in sicurezza una chiave ruotata gestita dal cliente in applicazioni e AWS servizi senza modifiche al codice.

Nota

• La rotazione automatica delle chiavi è supportata solo per le chiavi simmetriche gestite dal cliente con materiale chiave che crea. AWS KMS

• AWS KMS ruota automaticamente ogni anno. Chiavi gestite da AWS Non puoi abilitare o disabilitare la rotazione delle chiavi per le Chiavi gestite da AWS.

Per ulteriori informazioni, consulta Rotating KMS key nella AWS Key Management Service Developer Guide.