Excluir um armazenamento de chaves externas

Quando você exclui um armazenamento de chaves externas, o AWS KMS exclui todos os metadados sobre o armazenamento de chaves externas do AWS KMS, inclusive informações sobre o proxy de armazenamento de chaves externas. Essa operação não afeta o proxy do armazenamento de chaves externas, o gerenciador de chaves externas, as chaves externas ou os recursos da AWS que você criou para dar suporte ao armazenamento de chaves externas, como uma Amazon VPC ou um serviço de endpoint da VPC.

Antes de excluir um armazenamento de chaves externas, você deve excluir todas as chaves do KMS do armazenamento de chaves e desconectar o armazenamento de chaves do proxy de armazenamento de chaves externas. Senão, as tentativas de excluir o armazenamento de chaves falharão.

A exclusão de um armazenamento de chaves externas é irreversível, mas você pode criar um novo armazenamento de chaves externas e associá-lo ao mesmo proxy de armazenamento de chaves externas e ao mesmo gerenciador de chaves externas. No entanto, você não pode recriar as chaves do KMS de criptografia simétrica no armazenamento de chaves externas, mesmo que tenha acesso ao mesmo material de chave externa. O AWS KMS inclui metadados no texto cifrado simétrico exclusivo para cada chave do KMS. Esse recurso de segurança garante que somente a chave do KMS que criptografou os dados poderá descriptografá-los.

Em vez de excluir o armazenamento de chaves externas, considere desconectá-lo. Enquanto um armazenamento de chaves externas está desconectado, é possível gerenciar o armazenamento de chaves externas e as respectivas AWS KMS keys, mas não é possível criar nem usar chaves do KMS no armazenamento de chaves externas. Você pode reconectar o armazenamento de chaves externas a qualquer momento e continuar usando suas chaves do KMS para criptografar e descriptografar dados. Não há custo para um proxy de armazenamento de chaves externas desconectado ou chaves do KMS indisponíveis.

Excluir um armazenamento de chaves externas (console)

Você pode usar o console do AWS KMS para excluir um armazenamento de chaves externas.

1. Faça login no AWS Management Console e abra o console do AWS Key Management Service (AWS KMS) em https://console.aws.amazon.com/kms.

2. Para alterar a Região da AWS, use o seletor de regiões no canto superior direito da página.

3. No painel de navegação, selecione Custom key stores (Armazenamentos de chaves personalizados), External key stores (Armazenamentos de chaves externas).

4. Encontre a linha que representa o armazenamento de chaves externas que você deseja excluir. Se o Connection state (Estado de conexão) do armazenamento de chaves externas não for DISCONNECTED, você deverá desconectar o armazenamento de chaves externas antes de excluí-lo.

5. No menu Key store actions (Ações de armazenamento de chaves), escolha Delete (Excluir).

Quando a operação for concluída, uma mensagem de êxito será exibida, e o armazenamento de chaves externas não será mais exibido na lista de armazenamentos de chaves. Se a operação não for bem-sucedida, será exibida uma mensagem de erro descrevendo o problema e fornecendo ajuda para corrigi-lo. Se precisar de ajuda adicional, consulte Solução de problemas de armazenamentos de chaves externas.

Excluir um armazenamento de chaves externas (API)

Para excluir um armazenamento de chaves externo, use a DeleteCustomKeyStoreoperação. Se a operação tiver êxito, o AWS KMS retornará uma resposta HTTP 200 e um objeto JSON sem propriedades.

Para começar, desconecte o armazenamento de chaves externas. Antes de executar um comando como esse, substitua o ID de exemplo do armazenamento de chaves personalizado por um válido.

$ aws kms disconnect-custom-key-store --custom-key-store-id cks-1234567890abcdef0

Depois que o armazenamento de chaves externo for desconectado, você poderá usar a DeleteCustomKeyStoreoperação para excluí-lo.

$ aws kms delete-custom-key-store --custom-key-store-id cks-1234567890abcdef0

Para confirmar que o armazenamento de chaves externo foi excluído, use a DescribeCustomKeyStoresoperação.

$ aws kms describe-custom-key-stores
            
{
    "CustomKeyStores": []
}

Se você especificar um nome ou ID de armazenamento de chaves personalizado que não existe mais, o AWS KMS retornará uma exceção CustomKeyStoreNotFoundException.

$ aws kms describe-custom-key-stores --custom-key-store-id cks-1234567890abcdef0

An error occurred (CustomKeyStoreNotFoundException) when calling the DescribeCustomKeyStore operation: