생성 CMK 사용자 지정 키 저장소(콘솔)생성 CMK API(Custom Key Store)에서

생성 CMKs 사용자 지정 키 스토어에서

사용자 지정 키 스토어를 생성한 후 고객 마스터 키 (CMKs)를 참조하십시오. 이들은 대칭 CMKs 핵심 소재를 사용하여 AWS KMS 생성. 생성할 수 없습니다 메트릭 CMKs 또는 CMKs with 가져온 키 재료대칭을 사용할 수 없습니다. CMKs 을(를) 사용자정의 키 저장소에서 생성할 수 있습니다.

사용 및 관리 CMKs 사용자 정의 키 스토어에서 사용 및 관리하는 것과 동일한 방식으로 CMK 에서 AWS KMS. 예를 들어 다음 중 하나를 수행할 수 있습니다.

사용 CMKs for 암호화 작업.
설정 IAM 주요 정책을 CMKs.
별칭은 CMKs.
태그를 CMKs.
활성화 및 비활성화 CMKs.
일정 삭제 CMKs.

을(를) 생성하려면 CMK 사용자 지정 키 스토어에서 사용자 지정 키 스토어는 연결된 AWS CloudHSM 클러스터 클러스터는 서로 다른 가용성 존(Availability Zone)에 최소 2개의 활성 hsm을 포함해야 합니다. HSM의 연결 상태와 개수를 알려면 AWS Management 콘솔의 사용자 지정 키 스토어 페이지를 확인합니다. API 작업을 사용할 때 DescribeCustomKeyStores 작업을 사용해 해당되는 사용자 지정 키 스토어가 연결되어 있는지 확인합니다. AWS CloudHSM DescribeClusters 작업을 사용해 클러스터 및 가용 영역에서 활성 HSM의 수를 확인합니다.

여러분이 CMK 사용자 지정 키 스토어에서 AWS KMS 생성 CMK 에서 AWS KMS. 하지만, 이는 CMK 관련 AWS CloudHSM 클러스터. 특히, AWS KMS는 생성한 kmsuser CU로 클러스터에 로그인합니다. 그런 다음 클러스터에서 영구적이고 비추출할 수 없는 256비트 AES(Advanced Encryption Standard) 대칭 키를 생성합니다. AWS KMS 의 값을 설정합니다. 키 레이블 속성클러스터는 클러스터의 경우에만 볼 수 있는 CMK.

명령이 성공하면 주요 상태 새로운 CMK is Enabled 그 이유는 AWS_CLOUDHSM. 귀하는 CMK 을(를) 만듭니다. 귀하가 CMK 콘솔의 사용자 지정 키 스토어에서 또는 설명 기본 ID, 키 상태 및 생성일 등의 일반적인 속성을 볼 수 있습니다. 하지만 사용자 지정 키 스토어 ID와 AWS CloudHSM 클러스터 ID(선택 사항)을 확인할 수도 있습니다. 자세한 내용은 사용자 지정 키 스토어에서 CMKs 보기 단원을 참조하십시오.

만약 여러분이 CMK 사용자 지정 키 저장소에 오류가 발생하여 원인을 결정하는 데 도움이 되는 오류 메시지를 사용합니다. 사용자 지정 키 스토어가 연결되어 있지 않거나(CustomKeyStoreInvalidStateException) 연결 AWS CloudHSM 클러스터에 이 작업에 필요한 두 개의 활성 HSM이 포함되어 있지 않다는(CloudHsmClusterInvalidConfigurationException) 의미일 수 있습니다. 도움말은 사용자 지정 키 스토어 문제 해결를 참조하십시오.

주제

생성 CMK 사용자 지정 키 저장소(콘솔)
생성 CMK API(Custom Key Store)에서

생성 CMK 사용자 지정 키 저장소(콘솔)

다음 절차를 사용하여 고객 마스터 키 (CMK)를 참조하십시오.

AWS Management 콘솔에 로그인한 후 https://console.aws.amazon.com/kms에서 AWS Key Management Service(AWS KMS) 콘솔을 엽니다.
AWS 리전을 변경하려면 페이지의 오른쪽 위 모서리에 있는 리전 선택기를 사용합니다.
탐색 창에서 고객 관리형 키를 선택합니다.
[Create key]를 선택합니다.
Symmetric(대칭)을 선택합니다.

차트 메트릭을 만들 수 없습니다. CMK 사용자 지정 키 스토어에서.
고급 옵션을 선택합니다.
Key material origin(키 구성 요소 오리진)에서 Custom key store(CloudHSM)(사용자 지정 키 스토어(CloudHSM))을 선택합니다.
다음을 선택합니다.
사용자 정의 키 스토어를 선택하십시오. CMK. 사용자 지정 키 스토어를 새로 생성하려면 Create custom key store(사용자 지정 키 스토어 생성)를 선택합니다.

선택한 사용자 지정 키 스토어의 상태는 CONNECTED(연결 상태)여야 합니다. 연결 AWS CloudHSM 클러스터는 활성 상태여야 하고 서로 다른 가용 영역에 최소 2개의 활성 HSM을 포함하고 있어야 합니다.

사용자 지정 키 스토어를 연결하는 방법에 대한 도움말은 사용자 지정 키 스토어 연결 및 연결 해제 단원을 참조하십시오. hsm을 추가하는 데 도움이 필요하면 HSM 추가 in the AWS CloudHSM User Guide.
다음을 선택합니다.
별칭과 CMK.
: 선택. On 태그 추가 페이지, 추가 또는 분류를 CMK.

AWS 리소스에 태그를 추가하면 AWS에서 사용 내역 및 비용을 태그별로 집계한 비용 할당 보고서를 생성합니다. CMK 태그 지정에 대한 자세한 정보는 키 태그 지정 단원을 참조하십시오.
다음을 선택합니다.
에서 핵심 관리자 섹션, IAM 사용자 및 CMK. 자세한 내용은 주요 관리자가 CMK.

참고

IAM 정책은 다른 IAM 사용자들에게 권한을 부여하고 CMK.
(선택 사항) 이 키 관리자가 이 키를 삭제하지 못하도록 하려면 CMK, 페이지 하단에 있는 상자를 선택 취소합니다. 키 관리자가 이 키를 삭제할 수 있도록 허용합니다.
다음을 선택합니다.
에서 이 계정 섹션에서 IAM 사용자 및 역할을 선택합니다. AWS 계정을 사용하여 CMK 에서 암호화 작업. 자세한 내용은 주요 사용자가 CMK.

참고

IAM 정책은 다른 IAM 사용자들에게 권한을 부여하고 CMK.
(선택 사항) 다른 AWS 계정을 사용하여 CMK 암호화 작업에 사용됩니다. 이렇게 하려면 페이지 하단의 Other AWS accounts(다른 AWS 계정) 섹션에서 Add another AWS account(다른 AWS 계정 추가)를 선택하고 외부 계정의 AWS 계정 식별 번호를 입력합니다. 외부 계정을 여러 개 추가하려면 이 단계를 반복합니다.

참고

기타 관리자 AWS 계정은 CMK 사용자를 위한 IAM 정책을 생성할 수 있습니다. 자세한 정보는 다른 계정의 사용자가 CMK를 사용하도록 허용 단원을 참조하십시오.
다음을 선택합니다.
On 주요 정책 검토 및 편집 새 항목에 대한 정책 문서를 검토하고 편집합니다. CMK. 모두 마쳤으면 완료를 선택합니다.

절차가 성공하면 디스플레이에 새 화면이 CMK 를 선택합니다. 새 이름의 이름 또는 별칭을 CMK의 세부 정보 페이지에는 CMK (cloudhsm), 사용자 정의 키 저장소의 이름과 ID, 그리고 AWS CloudHSM 클러스터. 이 절차가 실패하면 실패 원인을 설명하는 오류 메시지가 나타납니다.

작은 정보

보다 쉽게 식별하기 위해 CMKs 사용자 지정 키 스토어에서 고객 관리 키 페이지, 추가 사용자 지정 키 매장 ID 열로 열을 표시합니다. 오른쪽 상단의 기어 아이콘을 클릭하고 Custom key store ID(사용자 지정 키 스토어 ID)를 선택합니다.

생성 CMK API(Custom Key Store)에서

새로 만들려면 고객 마스터 키 (CMK사용자 지정 키 스토어에서 생성키 작업. CustomKeyStoreId 파라미터를 사용하여 사용자 지정 키 스토어를 식별하고 AWS_CLOUDHSM의 Origin 값을 지정합니다.

Policy 파라미터를 사용해 키 정책을 지정할 수도 있습니다. 언제든 키 정책(PutKeyPolicy)을 변경하고 설명 및 태그 등의 선택적 요소를 추가할 수 있습니다.

이 단원의 예제는 AWS Command Line Interface(AWS CLI)를 사용하지만, 지원되는 모든 프로그래밍 언어를 사용할 수 있습니다.

다음 예에서는 연결 AWS CloudHSM 클러스터에 사용자 지정 스토어가 연결되어 있는지 확인하기 위해 DescribeCustomKeyStores 작업을 호출하는 것부터 시작합니다. 기본적으로 이 작업은 계정 및 리전에서 모든 사용자 지정 키 스토어를 반환합니다. 특정한 사용자 지정 키 스토어만 설명하려면 CustomKeyStoreId 또는 CustomKeyStoreName 파라미터를 사용합니다(둘 모두를 사용해서는 안 됨).

이 명령을 실행하기 앞서 예제에 나온 사용자 지정 키 스토어 ID를 유효한 ID로 대체합니다.


$ aws kms describe-custom-key-stores --custom-key-store-id cks-1234567890abcdef0
{
   "CustomKeyStores": [
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "CONNECTED"
   ],
}

다음 예제 명령은 DescribeClusters 작업을 사용해 ExampleKeyStore(cluster-1a23b4cdefg)에 연결된 AWS CloudHSM 클러스터가 최소 두 개의 활성 HSM을 가지고 있는지 확인합니다. 클러스터의 HSM 수가 2개 미만이면 CreateKey 작업이 실패합니다.


$ aws cloudhsmv2 describe-clusters
{
    "Clusters": [
        {
            "SubnetMapping": {
               ...
            },
            "CreateTimestamp": 1507133412.351,
            "ClusterId": "cluster-1a23b4cdefg",
            "SecurityGroup": "sg-865af2fb",
            "HsmType": "hsm1.medium",
            "VpcId": "vpc-1a2b3c4d",
            "BackupPolicy": "DEFAULT",
            "Certificates": {
                "ClusterCertificate": "-----BEGIN CERTIFICATE-----\...\n-----END CERTIFICATE-----\n"
            },
            "Hsms": [
                {
                    "AvailabilityZone": "us-west-2a",
                    "EniIp": "10.0.1.11",
                    "ClusterId": "cluster-1a23b4cdefg",
                    "EniId": "eni-ea8647e1",
                    "StateMessage": "HSM created.",
                    "SubnetId": "subnet-a6b10bd1",
                    "HsmId": "hsm-abcdefghijk",
                    "State": "ACTIVE"
                },
                {
                    "AvailabilityZone": "us-west-2b",
                    "EniIp": "10.0.0.2",
                    "ClusterId": "cluster-1a23b4cdefg",
                    "EniId": "eni-ea8647e1",
                    "StateMessage": "HSM created.",
                    "SubnetId": "subnet-b6b10bd2",
                    "HsmId": "hsm-zyxwvutsrqp",
                    "State": "ACTIVE"
                },
            ],
            "State": "ACTIVE"
        }
    ]
}

이 예제 명령은 생성키 작업을 CMK 사용자 지정 키 저장소. 을(를) 생성하려면 CMK 사용자 지정 키 스토어에서 사용자 지정 키 저장소 이름의 ID를 제공하고 Origin 값 AWS_CLOUDHSM.

응답에는 사용자 지정 키 스토어 및 AWS CloudHSM 클러스터의 ID가 포함되어 있습니다.

이 명령을 실행하기 앞서 예제에 나온 사용자 지정 키 스토어 ID를 유효한 ID로 대체합니다.


$ aws kms create-key --origin AWS_CLOUDHSM --custom-key-store-id cks-1234567890abcdef0
{
  "KeyMetadata": {
    "AWSAccountId": "111122223333",
    "Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "CreationDate": 1.499288695918E9,
    "Description": "Example key",
    "Enabled": true,
    "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
    "KeyManager": "CUSTOMER",
    "KeyState": "Enabled",
    "KeyUsage": "ENCRYPT_DECRYPT",    
    "Origin": "AWS_CLOUDHSM"
    "CloudHsmClusterId": "cluster-1a23b4cdefg",
    "CustomKeyStoreId": "cks-1234567890abcdef0"
    "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
    "EncryptionAlgorithms": [
        "SYMMETRIC_DEFAULT"
    ]
  }
}

javascript가 브라우저에서 비활성화되거나 사용이 불가합니다.

AWS 설명서를 사용하려면 Javascript가 활성화되어야 합니다. 지침을 보려면 브라우저의 도움말 페이지를 참조하십시오.

문서 규칙

관리 CMKs 사용자 지정 키 스토어에서

사용자 지정 키 스토어에서 CMKs 보기