Referência de tipos de chaves

O AWS KMS é compatível com diferentes recursos para diferentes tipos de chaves do KMS. Por exemplo, só é possível usar chaves do KMS de criptografia simétrica para gerar chaves de dados simétricas e pares de chaves de dados assimétricas. Além disso, a importação do material de chave e a alternância automática de chaves só são compatíveis com chaves do KMS de criptografia simétrica, e só é possível criar chaves do KMS de criptografia simétrica em um armazenamento personalizado de chaves.

Esta referência contém duas tabelas.

• A tabela de tipos de chaves apresenta as operações do AWS KMS que são válidas para chaves de criptografia do KMS simétricas, chaves do KMS assimétricas e chaves do KMS de HMAC.

• A tabela de recursos especiais apresenta as operações do AWS KMS que são válidas para chaves do KMS multirregionais, chaves do KMS com material de chave importado e chaves do KMS em armazenamentos de chaves personalizados.

Tabela de tipos de chave

Talvez seja necessário rolar horizontalmente ou verticalmente para ver todos os dados nessa tabela.

AWS KMS Operação de API	Chaves do KMS de criptografia simétrica	Chaves do KMS de HMAC	Chaves do KMS assimétricas (ENCRYPT_DECRYPT)	Chaves do KMS assimétricas (SIGN_VERIFY)	Chaves do KMS assimétricas (KEY_AGREEMENT)
CancelKeyDeletion	Sim	Sim	Sim	Sim	Sim
CreateAlias	Sim	Sim	Sim	Sim	Sim
CreateGrant	Sim	Sim	Sim	Sim	Sim
CreateKey	Sim	Sim	Sim	Sim	Sim
Decrypt	Sim	Não	Sim	Não	Não
DeleteAlias	Sim	Sim	Sim	Sim	Sim
DeleteImportedKeyMaterial É válido somente em chaves do KMS com material de chave importado (Origin é EXTERNAL).	Sim	Sim	Sim	Sim	Sim
DeriveSharedSecret	Não	Não	Não	Não	Sim
DescribeKey	Sim	Sim	Sim	Sim	Sim
DisableKey	Sim	Sim	Sim	Sim	Sim
DisableKeyRotation	Sim É válido somente em chaves do KMS com material de chave do AWS KMS (Origin é AWS_KMS).	Não	Não	Não	Não
EnableKey	Sim	Sim	Sim	Sim	Sim
EnableKeyRotation	Sim É válido somente em chaves do KMS com material de chave do AWS KMS (Origin é AWS_KMS).	Não	Não	Não	Não
Encrypt	Sim	Não	Sim	Não	Não
GenerateDataKey	Sim	Não	Não	Não	Não
GenerateDataKeyPair Gera um par de chaves de dados assimétricas que é protegido por uma chave do KMS de criptografia simétrica.	Sim Não é válido com chaves do KMS em armazenamentos de chaves personalizados.	Não	Não	Não	Não
GenerateDataKeyPairWithoutPlaintext Gera um par de chaves de dados assimétricas que é protegido por uma chave do KMS de criptografia simétrica.	Sim Não é válido com chaves do KMS em armazenamentos de chaves personalizados.	Não	Não	Não	Não
GenerateDataKeyWithoutPlaintext	Sim	Não	Não	Não	Não
GenerateMac	Não	Sim	Não	Não	Não
GetKeyPolicy	Sim	Sim	Sim	Sim	Sim
GetKeyRotationStatus	Sim	Sim (KeyRotationEnabled sempre será false.)	Sim (KeyRotationEnabled sempre será false.)	Sim (KeyRotationEnabled sempre será false.)	Sim (KeyRotationEnabled sempre será false.)
GetParametersForImport É válido somente em chaves do KMS com material de chave importado (Origin é EXTERNAL).	Sim	Sim	Sim	Sim	Sim
GetPublicKey	Não	Não	Sim	Sim	Sim
ImportKeyMaterial É válido somente em chaves do KMS com material de chave importado (Origin é EXTERNAL).	Sim	Sim	Sim	Sim	Sim
ListAliases	Sim	Sim	Sim	Sim	Sim
ListGrants	Sim	Sim	Sim	Sim	Sim
ListKeyPolicies	Sim	Sim	Sim	Sim	Sim
ListKeyRotations	Sim	Sim (O campo Rotations sempre será nulo ou vazio.)	Sim (O campo Rotations sempre será nulo ou vazio.)	Sim (O campo Rotations sempre será nulo ou vazio.)	Sim (O campo Rotations sempre será nulo ou vazio.)
ListResourceTags	Sim	Sim	Sim	Sim	Sim
ListRetirableGrants	Sim	Sim	Sim	Sim	Sim
PutKeyPolicy	Sim	Sim	Sim	Sim	Sim
ReEncrypt	Sim	Não	Sim	Não	Não
ReplicateKey - Válido somente em chaves de várias regiões	Sim	Sim	Sim	Sim	Sim
RetireGrant	Sim	Sim	Sim	Sim	Sim
RevokeGrant	Sim	Sim	Sim	Sim	Sim
RotateKeyOnDemand	Sim É válido somente em chaves do KMS com material de chave do AWS KMS (Origin é AWS_KMS).	Não	Não	Não	Não
ScheduleKeyDeletion	Sim	Sim	Sim	Sim	Sim
Sign	Não	Não	Não	Sim	Não
TagResource	Sim	Sim	Sim	Sim	Sim
UntagResource	Sim	Sim	Sim	Sim	Sim
UpdateAlias A chave do KMS atual e a nova chave do KMS devem ser do mesmo tipo (ambas simétricas, assimétricas ou HMAC) e devem ter o mesmo uso de chave.	Sim	Sim	Sim	Sim	Sim
UpdateKeyDescription	Sim	Sim	Sim	Sim	Sim
updateReplicaRegion - Válido somente em chaves de várias regiões	Sim	Sim	Sim	Sim	Sim
Verificar	Não	Não	Não	Sim	Não
VerifyMac	Não	Sim	Não	Não	Não

Tabela de recursos especiais

Esta tabela mostra as operações de API do AWS KMS compatíveis com cada tipo de chave de propósito especial.

Ao ler esta tabela, esteja ciente destas interações:

• Chaves de várias regiões:

  • Chaves do KMS multirregionais podem ser chaves de criptografia do KMS simétricas, chaves do KMS assimétricas, chaves do KMS de HMAC e chaves do KMS com material de chave importado.

  • Não é possível criar chaves de várias Regiões em um armazenamento de chaves personalizado.

• Material de chave importado

  • É possível importar material de chave importado para chave do KMS simétricas, chaves do KMS assimétricas e chaves do KMS de HMAC.

  • É possível chaves de várias regiões com material de chave importado.

  • Você não pode criar chaves do KMS com material de chave em um armazenamento de chaves personalizado.

  • A alternância automática de chaves (EnableKeyRotation, DisableKeyRotation) não é compatível com chaves do KMS com material de chave importado.

• Armazenamentos de chaves personalizados

  • Armazenamentos personalizados de chaves são compatíveis apenas com chaves do KMS de criptografia simétrica.

  • Operações simétricas em pares de chaves assimétricas (GenerateDataKeyPair, GenerateDataKeyPairWithoutPlaintext) não são compatíveis com chaves do KMS em armazenamentos de chaves personalizados.

  • A alternância automática de chaves (EnableKeyRotation, DisableKeyRotation) não é compatível com chaves do KMS em armazenamentos personalizados de chaves.

  • Não é possível criar chaves de várias regiões em armazenamentos personalizados de chaves.

Talvez seja necessário rolar horizontalmente ou verticalmente para ver todos os dados nessa tabela.

AWS KMS Operação de API	Chaves de várias regiões	Material de chave importado	Chaves do KMS em um armazenamento de chaves personalizado
CancelKeyDeletion
CreateAlias
CreateGrant
CreateKey Você pode usar CreateKey para criar uma chave primária multirregional, chaves do KMS com material de chave importado ou uma chave do KMS em um armazenamento de chaves personalizado. Para criar uma chave de réplica multirregional, use ReplicateKey.
Decrypt	Válido somente quando KeyUsage é ENCRYPT_DECRYPT
DeleteAlias
DeleteImportedKeyMaterial	É válido somente para chaves do KMS com material de chave importado (Origin é EXTERNAL)
DescribeKey
DisableKey
DisableKeyRotation	Válido somente em chaves de criptografia simétricas com material de chave do AWS KMS (Origin é AWS_KMS).
EnableKey	Válido somente em chaves do KMS de criptografia simétricas
EnableKeyRotation	Válido somente em chaves de criptografia simétricas com material de chave do AWS KMS (Origin é AWS_KMS).
Encrypt	Válido somente quando KeyUsage é ENCRYPT_DECRYPT
GenerateDataKey	Válido somente em chaves do KMS de criptografia simétricas
GenerateDataKeyPair	Válido somente em chaves do KMS de criptografia simétricas
GenerateDataKeyPairWithoutPlaintext	Válido somente em chaves do KMS de criptografia simétricas
GenerateDataKeyWithoutPlaintext	Válido somente em chaves do KMS de criptografia simétricas
GenerateMac Válido somente em chaves do KMS de HMAC
GetKeyPolicy
GetKeyRotationStatus		(KeyRotationEnabled sempre será false.)
GetParametersForImport	É válido somente para chaves do KMS com material de chave importado (Origin é EXTERNAL).
GetPublicKey Válido somente para chaves do KMS assimétricas.
ImportKeyMaterial	É válido somente para chaves do KMS com material de chave importado (Origin é EXTERNAL).
ListAliases
ListGrants
ListKeyPolicies
ListResourceTags
ListRetirableGrants
PutKeyPolicy
ReEncrypt	Válido somente quando KeyUsage é ENCRYPT_DECRYPT
ReplicateKey	Válido somente em chaves primárias multirregionais.	Válido somente em chaves primárias multirregionais.
RetireGrant
RevokeGrant
ScheduleKeyDeletion
Sign Válido apenas quando KeyUsage é SIGN_VERIFY.
TagResource
UntagResource
UpdateAlias - A chave do KMS atual e a nova chave do KMS devem ser do mesmo tipo (ambas simétricas, assimétricas ou HMAC) e devem ter o mesmo uso de chave.
UpdateKeyDescription
updateReplicaRegion		Válido somente em chaves multirregionais.
Verificar Válido somente quando KeyUsage é SIGN_VERIFY.
VerifyMac Válido somente em chaves do KMS de HMAC