Excluir um armazenamento de chaves do AWS CloudHSM

Ao excluir um armazenamento de chaves do AWS CloudHSM, o AWS KMS exclui do KMS todos os metadados sobre o armazenamento de chaves do AWS CloudHSM, inclusive informações sobre sua associação a um cluster do AWS CloudHSM. Essa operação não afeta o cluster do AWS CloudHSM, seus HSMs, nem seus usuários. Você pode criar um novo armazenamento de chaves do AWS CloudHSM associado ao cluster do AWS CloudHSM, mas não é possível desfazer a operação de exclusão.

Você pode excluir um armazenamento de chaves do AWS CloudHSM que esteja desconectado do cluster do AWS CloudHSM e que não contenha AWS KMS keys. Antes de excluir um armazenamento de chaves personalizado, faça o seguinte.

• Verifique se você ainda precisará usar qualquer uma das chaves do KMS no armazenamento de chaves para operações de criptografia. Em seguida, programe a exclusão de todas as chaves do KMS do armazenamento de chaves. Para obter ajuda para localizar as chaves do KMS em um armazenamento de chaves do AWS CloudHSM, consulte Localizar as chaves do KMS em um armazenamento de chaves do AWS CloudHSM.

• Confirme se todas as chaves do KMS foram excluídas. Para visualizar as chaves do KMS em um armazenamento de chaves do AWS CloudHSM, consulte Visualizar chaves do KMS em um armazenamento de chaves do AWS CloudHSM.

• Desconectar o armazenamento de chaves do AWS CloudHSM do cluster do AWS CloudHSM.

Em vez de excluir o armazenamento de chaves do AWS CloudHSM, considere desconectá-lo do cluster do AWS CloudHSM associado. Enquanto o armazenamento de chaves do AWS CloudHSM está desconectado, é possível gerenciar o armazenamento de chaves do AWS CloudHSM e suas AWS KMS keys. No entanto, não é possível criar nem usar chaves do KMS no armazenamento de chaves do AWS CloudHSM. Você pode reconectar o armazenamento de chaves do AWS CloudHSM a qualquer momento.

Excluir um armazenamento de chaves do AWS CloudHSM (console)

Para excluir um armazenamento de chaves do AWS CloudHSM do AWS Management Console, comece selecionando o armazenamento de chaves do AWS CloudHSM na página Custom key stores (Armazenamentos de chaves personalizados).

1. Faça login no AWS Management Console e abra o console do AWS Key Management Service (AWS KMS) em https://console.aws.amazon.com/kms.

2. Para alterar a Região da AWS, use o seletor de regiões no canto superior direito da página.

3. No painel de navegação, selecione Custom key stores (Repositórios de chaves personalizados), AWS CloudHSM key stores (Repositórios de chaves do ).

4. Encontre a linha que representa o armazenamento de chaves do AWS CloudHSM que você deseja excluir. Se o Connection state (Estado de conexão) do armazenamento de chaves do AWS CloudHSM não for Disconnected (Desconectado), você deverá desconectar o armazenamento de chaves do AWS CloudHSM antes de excluí-lo.

5. No menu Key store actions (Ações de armazenamento de chaves), escolha Delete (Excluir).

Quando a operação for concluída, uma mensagem de êxito será exibida, e o armazenamento de chaves do AWS CloudHSM não será mais exibido na lista de armazenamentos de chaves. Se a operação não for bem-sucedida, será exibida uma mensagem de erro descrevendo o problema e fornecendo ajuda para corrigi-lo. Se precisar de ajuda adicional, consulte Solucionar problemas de um armazenamento de chaves personalizado.

Excluir um armazenamento de chaves do AWS CloudHSM (API)

Para excluir um armazenamento de AWS CloudHSM chaves, use a DeleteCustomKeyStoreoperação. Se a operação tiver êxito, o AWS KMS retornará uma resposta HTTP 200 e um objeto JSON sem propriedades.

Para começar, verifique se o armazenamento de chaves do AWS CloudHSM não contém AWS KMS keys. Não é possível excluir um armazenamento de chaves personalizado que contém chaves do KMS. O primeiro exemplo de comando usa ListKeyse DescribeKeypara pesquisar AWS KMS keys no armazenamento de AWS CloudHSM chaves com o exemplo cks-1234567890abcdef0, ID de armazenamento de chaves personalizado. Nesse caso, o comando não retorna chaves do KMS. Se isso acontecer, use a ScheduleKeyDeletionoperação para programar a exclusão de cada uma das chaves do KMS.

Bash

for key in $(aws kms list-keys --query 'Keys[*].KeyId' --output text) ; 
do aws kms describe-key --key-id $key | 
grep '"CustomKeyStoreId": "cks-1234567890abcdef0"' --context 100; done

PowerShell

PS C:\> Get-KMSKeyList | Get-KMSKey | where CustomKeyStoreId -eq 'cks-1234567890abcdef0'

Em seguida, desconecte o armazenamento de chaves do AWS CloudHSM. Este exemplo de comando usa a DisconnectCustomKeyStoreoperação para desconectar um armazenamento de AWS CloudHSM chaves de seu AWS CloudHSM cluster. Antes de executar um comando como esse, substitua o ID de exemplo do armazenamento de chaves personalizado por um válido.

Bash

$ aws kms disconnect-custom-key-store --custom-key-store-id cks-1234567890abcdef0

PowerShell

PS C:\> Disconnect-KMSCustomKeyStore -CustomKeyStoreId cks-1234567890abcdef0

Depois que o armazenamento de chaves personalizadas for desconectado, você poderá usar a DeleteCustomKeyStoreoperação para excluí-lo.

Bash

$ aws kms delete-custom-key-store --custom-key-store-id cks-1234567890abcdef0

PowerShell

PS C:\> Remove-KMSCustomKeyStore -CustomKeyStoreId cks-1234567890abcdef0