Programar e cancelar a exclusão de chaves

Os procedimentos a seguir descrevem como programar e cancelar a exclusão de AWS KMS keys (chaves do KMS) de região única no AWS KMS usando o AWS Management Console, a AWS CLI e o AWS SDK for Java.

Para obter informações sobre como programar a exclusão de chaves de várias regiões, consulteExcluir chaves de várias regiões.

Atenção

Excluir uma chave do KMS é um processo destrutivo e potencialmente perigoso. Prossiga somente quando você tiver certeza de que não vai precisar mais usar a chave do KMS futuramente. Caso não tenha certeza, desabilite a chave do KMS em vez de excluí-la.

Para excluir uma chave do KMS, é preciso ter a respectiva permissão. Para obter informações sobre como conceder essas permissões aos administradores de chaves, consulte Controlar o acesso à exclusão de chaves. Também é possível usar a chave de condição kms:ScheduleKeyDeletionPendingWindowInDays para restringir ainda mais o período de espera, como impor um período mínimo de espera.

O AWS KMS registra uma entrada no log do AWS CloudTrail quando você programa a exclusão da chave do KMS e quando a chave do KMS é realmente excluída.

Programar e cancelar a exclusão de chaves (console)

No AWS Management Console, você pode programar e cancelar a exclusão de várias chaves do KMS ao mesmo tempo.

Para programar a exclusão de chaves

1. Faça login no AWS Management Console e abra o console do AWS Key Management Service (AWS KMS) em https://console.aws.amazon.com/kms.

2. Para alterar a Região da AWS, use o seletor de regiões no canto superior direito da página.

3. No painel de navegação, escolha Customer managed keys (Chaves gerenciadas pelo cliente).

   Não é possível agendar a exclusão de Chaves gerenciadas pela AWS ou Chaves pertencentes à AWS.

4. Marque a caixa de seleção ao lado da chave do KMS que você deseja excluir.

5. Escolha Key actions (Ações de chave), Schedule key deletion (Programar exclusão da chave).

6. Leia e considere o aviso e as informações sobre o cancelamento e a exclusão durante o período de espera. Se você decidir cancelar a exclusão, no final da página, selecione Cancel (Cancelar).

7. Para Waiting period (in days) (Período de espera (em dias)), digite um número de dias entre 7 e 30.

8. Revise as chaves do KMS que você está excluindo.

9. Marque a caixa de seleção ao lado de Confirm you want to schedule this key for deletion in <number of days> days. (Confirme se você deseja agendar essa chave para exclusão em <número de dias> dias).

10. Escolha Schedule deletion.

O status da chave muda para Pending deletion (Exclusão pendente).

Para cancelar a exclusão de chaves

1. Abra o console do AWS KMS em https://console.aws.amazon.com/kms.

2. Para alterar a Região da AWS, use o seletor de regiões no canto superior direito da página.

3. No painel de navegação, escolha Customer managed keys (Chaves gerenciadas pelo cliente).

4. Marque a caixa de seleção ao lado da chave do KMS que você deseja recuperar.

5. Escolha Key actions (Ações de chave), Cancel key deletion (Cancelar exclusão da chave).

O status da chave muda de Pending deletion (Exclusão pendente) para Disabled (Desabilitada). Para usar a chave, você deve habilitá-la.

Programar e cancelar a exclusão de chaves (AWS CLI)

Use o comando aws kms schedule-key-deletion para agendar a exclusão de chaves de uma chave gerenciada pelo cliente, conforme mostrado no exemplo a seguir.

Não é possível agendar a exclusão de uma Chave gerenciada pela AWS ou Chave pertencente à AWS.

$ aws kms schedule-key-deletion --key-id 1234abcd-12ab-34cd-56ef-1234567890ab --pending-window-in-days 10

Quando usada com êxito, a AWS CLI retorna o resultado como a saída mostrada no exemplo a seguir:

{
    "KeyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "DeletionDate": 1598304792.0,
    "KeyState": "PendingDeletion",
    "PendingWindowInDays": 10
}

Use o comando aws kms cancel-key-deletion para cancelar a exclusão de chaves da AWS CLI, conforme mostrado no exemplo a seguir.

$ aws kms cancel-key-deletion --key-id 1234abcd-12ab-34cd-56ef-1234567890ab

Quando usada com êxito, a AWS CLI retorna o resultado como a saída mostrada no exemplo a seguir:

{
    "KeyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
}

O status da chave do KMS muda de Pending Deletion (Exclusão pendente) para Disabled (Desabilitada). Para usar a chave, você deve habilitá-la.

Programar e cancelar a exclusão de chaves (AWS SDK for Java)

O exemplo a seguir demonstra como agendar a exclusão de uma chave gerenciada pelo cliente com o AWS SDK for Java. Esse exemplo requer que você tenha instanciado anteriormente um AWSKMSClient como kms.

String KeyId = "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab";

int PendingWindowInDays = 10;

ScheduleKeyDeletionRequest scheduleKeyDeletionRequest =
new ScheduleKeyDeletionRequest().withKeyId(KeyId).withPendingWindowInDays(PendingWindowInDays);
kms.scheduleKeyDeletion(scheduleKeyDeletionRequest);

O exemplo a seguir demonstra como cancelar uma chave para exclusão com o AWS SDK for Java. Esse exemplo requer que você tenha instanciado anteriormente um AWSKMSClient como kms.

String KeyId = "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab";

CancelKeyDeletionRequest cancelKeyDeletionRequest =
new CancelKeyDeletionRequest().withKeyId(KeyId);
kms.cancelKeyDeletion(cancelKeyDeletionRequest);

O status da chave do KMS muda de Pending Deletion (Exclusão pendente) para Disabled (Desabilitada). Para usar a chave, você deve habilitá-la.