キータイプリファレンス

AWS KMS は、さまざまなタイプの KMS キーに対してさまざまな機能をサポートしています。例えば、対称データキーと非対称データキーペアの生成には、対称暗号化 KMS キーのみを使用できます。また、キーマテリアルのインポートと自動キーローテーションは対称暗号化 KMS キーのみでサポートされ、カスタムキーストアでは対称暗号化 KMS キーのみを作成できます。

このリファレンスには 2 つの表が含まれています。

• キータイプ表には、対称暗号化 KMS キー、非対称 KMS キー、および HMAC KMS キーに対して有効な AWS KMS オペレーションが一覧表示されます。

• 特殊な機能の表には、マルチリージョン KMS キー、インポートしたキーマテリアルを含む KMS キー、カスタムキーストアの KMS キーで有効な AWS KMS オペレーションが記載されています。

キータイプの表

この表のすべてのデータを表示するには、水平または垂直にスクロールする必要があります。

AWS KMS API オペレーション	対称暗号化 KMS キー	HMAC KMS キー	非対称 KMS キー (ENCRYPT_DECRYPT)	非対称 KMS キー (SIGN_VERIFY)	非対称 KMS キー (KEY_AGREEMENT)
CancelKeyDeletion
CreateAlias
CreateGrant
CreateKey
Decrypt
DeleteAlias
DeleteImportedKeyMaterial インポートしたキーマテリアルを含む KMS キーのみで有効です (Origin は EXTERNAL)。
DeriveSharedSecret
DescribeKey
DisableKey
DisableKeyRotation	キーマテリアルを持つ KMS AWS KMS キーでのみ有効です (Origin は )AWS_KMS。
EnableKey
EnableKeyRotation	キーマテリアルを持つ KMS AWS KMS キーでのみ有効です (Origin は )AWS_KMS。
暗号化
GenerateDataKey
GenerateDataKeyPair 対称暗号化 KMS キーによって保護される非対称データキーペアを生成します。	カスタムキーストアの KMS キーでは有効ではありません。
GenerateDataKeyPairWithoutPlaintext 対称暗号化 KMS キーによって保護される非対称データキーペアを生成します。	カスタムキーストアの KMS キーでは有効ではありません。
GenerateDataKeyWithoutPlaintext
GenerateMac
GetKeyPolicy
GetKeyRotationStatus		(KeyRotationEnabled は常に false になります。)	(KeyRotationEnabled は常に false になります。)	(KeyRotationEnabled は常に false になります。)	(KeyRotationEnabled は常に false になります。)
GetParametersForImport インポートしたキーマテリアルを含む KMS キーのみで有効です (Origin は EXTERNAL)。
GetPublicKey
ImportKeyMaterial インポートしたキーマテリアルを含む KMS キーのみで有効です (Origin は EXTERNAL)。
ListAliases
ListGrants
ListKeyPolicies
ListKeyRotations		( Rotationsフィールドは常に null または空になります。）	( Rotationsフィールドは常に null または空になります。）	( Rotationsフィールドは常に null または空になります。）	( Rotationsフィールドは常に null または空になります。）
ListResourceTags
ListRetirableGrants
PutKeyPolicy
ReEncrypt
ReplicateKey – マルチリージョンキーでのみ有効
RetireGrant
RevokeGrant
RotateKeyOnDemand	キーマテリアルを持つ KMS AWS KMS キーでのみ有効です (Origin は )AWS_KMS。
ScheduleKeyDeletion
Sign
TagResource
UntagResource
UpdateAlias 現在の KMS キーと新しい KMS キーは同じタイプでなければならず (両方とも対称か両方とも非対称、もしくは両方とも HMAC)、キーの用途が同じでなければなりません。
UpdateKeyDescription
UpdateReplicaRegion – マルチリージョンキーでのみ有効
検証
VerifyMac

特殊な機能の表

この表は、各タイプの専用キーでサポートされている AWS KMS API オペレーションを示しています。

この表を見るときは、次の相互関係に注意します。

• マルチリージョンキー:

  • マルチリージョンキーは、対称暗号化 KMS キー、非対称 KMS キー、HMAC KMS キー、インポートされたキーマテリアルを含む KMS キーのいずれかです。

  • カスタムキーストアでマルチリージョンキーを作成することはできません。

• インポートされたキーマテリアル

  • 対称暗号化 KMS キー、非対称 KMS キー、HMAC KMS キーのキーマテリアルをインポートできます。

  • インポートしたキーマテリアルのマルチリージョンキーを作成できます。

  • カスタムキーストアでは、インポートしたキーマテリアルを持つキーは作成できません。

  • 自動キーローテーション (EnableKeyRotation、DisableKeyRotation) は、インポートされたキーマテリアルを持つ KMS キーではサポートされません。

• カスタムキーストア

  • カスタムキーストアは、対称暗号化 KMS キーのみをサポートします。

  • 非対称キーペア (GenerateDataKeyPair、GenerateDataKeyPairWithoutPlaintext) の対称オペレーションは、カスタムキーストアの KMS キーではサポートされていません。

  • 自動キー回転機能 (EnableKeyRotation、DisableKeyRotation) は、カスタムキーストアの KMS キーではサポートされていません。

  • カスタムキーストアでマルチリージョンキーを作成することはできません。

この表のすべてのデータを表示するには、水平または垂直にスクロールする必要があります。

AWS KMS API オペレーション	マルチリージョンキー	インポートされたキーマテリアル	カスタムキーストアの KMS キー
CancelKeyDeletion
CreateAlias
CreateGrant
CreateKey マルチリージョンプライマリキー、キーマテリアルがインポートされた KMS キー、カスタムキーストアの KMS キーのいずれかを作成するときは CreateKey を使用できます。マルチリージョンのレプリカキーを作成するには、ReplicateKey リソースを使用します。
Decrypt	KeyUsage が ENCRYPT_DECRYPT の場合のみ有効です。
DeleteAlias
DeleteImportedKeyMaterial	インポートされたキーマテリアルを含むキーのみで有効です (Origin は EXTERNAL)。
DescribeKey
DisableKey
DisableKeyRotation	キーマテリアルを持つ対称暗号化 AWS KMS キーでのみ有効です (Origin は )AWS_KMS。
EnableKey	対称暗号化 KMS キーのみで有効です。
EnableKeyRotation	キーマテリアルを持つ対称暗号化 AWS KMS キーでのみ有効です (Origin は )AWS_KMS。
暗号化	KeyUsage が ENCRYPT_DECRYPT の場合のみ有効です。
GenerateDataKey	対称暗号化 KMS キーのみで有効です。
GenerateDataKeyPair	対称暗号化 KMS キーのみで有効です。
GenerateDataKeyPairWithoutPlaintext	対称暗号化 KMS キーのみで有効です。
GenerateDataKeyWithoutPlaintext	対称暗号化 KMS キーのみで有効です。
GenerateMac HMAC KMS キーのみで有効です。
GetKeyPolicy
GetKeyRotationStatus		(KeyRotationEnabled は常に false になります。)
GetParametersForImport	インポートされたキーマテリアルを含むキーのみで有効です (Origin は EXTERNAL)。
GetPublicKey 非対称 KMS キーのみで有効です。
ImportKeyMaterial	インポートされたキーマテリアルを含むキーのみで有効です (Origin は EXTERNAL)。
ListAliases
ListGrants
ListKeyPolicies
ListResourceTags
ListRetirableGrants
PutKeyPolicy
ReEncrypt	KeyUsage が ENCRYPT_DECRYPT の場合のみ有効です。
ReplicateKey	マルチリージョンプライマリキーのみで有効です。	マルチリージョンプライマリキーのみで有効です。
RetireGrant
RevokeGrant
ScheduleKeyDeletion
Sign KeyUsage が SIGN_VERIFY の場合のみ有効です。
TagResource
UntagResource
UpdateAlias - 現在の KMS キーと新しい KMS キーは同じタイプでなければならず (両方とも対称か両方とも非対称、もしくは両方とも HMAC)、キーの用途が同じでなければなりません。
UpdateKeyDescription
UpdateReplicaRegion		マルチリージョンキーでのみ有効です。
検証 KeyUsage が SIGN_VERIFY の場合にのみ有効です。
VerifyMac HMAC KMS キーのみで有効です。