Como as chaves inutilizáveis afetam KMS as chaves de dados

Quando uma KMS chave se torna inutilizável, o efeito é quase imediato (sujeito a uma eventual consistência). O estado da KMS chave muda para refletir sua nova condição, e todas as solicitações para usar a KMS chave em operações criptográficas falham.

No entanto, o efeito nas chaves de dados criptografadas pela KMS chave e nos dados criptografados pela chave de dados é adiado até que a KMS chave seja usada novamente, como para descriptografar a chave de dados.

KMSas chaves podem se tornar inutilizáveis por vários motivos, incluindo as seguintes ações que você pode realizar.

• Desativando a chave KMS

• Programando a KMS chave para exclusão

• Excluir o material de chave de uma KMS chave com material de chave importado ou permitir que o material de chave importado expire.

• Desconectar o armazenamento de AWS CloudHSM chaves que hospeda a KMS chave ou excluir a chave do AWS CloudHSM cluster que serve como material de chave para a KMS chave.

• Desconectar o armazenamento de chaves externo que hospeda a KMS chave ou qualquer outra ação que interfira nas solicitações de criptografia e descriptografia para o proxy externo do armazenamento de chaves, incluindo a exclusão da chave externa do gerenciador de chaves externo.

Esse efeito é particularmente importante para muitos Serviços da AWS que usam chaves de dados para proteger os recursos que o serviço gerencia. O exemplo a seguir usa o Amazon Elastic Block Store (AmazonEBS) e o Amazon Elastic Compute Cloud (AmazonEC2). Diferentes Serviços da AWS usam chaves de dados de maneiras diferentes. Para obter detalhes, consulte a seção de proteção de dados do capítulo de segurança do AWS service (Serviço da AWS).

Por exemplo, considere este cenário:

1. Você cria um EBS volume criptografado e especifica uma KMS chave para protegê-lo. A Amazon EBS pede AWS KMS que você use sua KMS chave para gerar uma chave de dados criptografada para o volume. A Amazon EBS armazena a chave de dados criptografada com os metadados do volume.

2. Quando você anexa o EBS volume a uma EC2 instância, a Amazon EC2 usa sua KMS chave para descriptografar a chave de dados criptografada do EBS volume. A Amazon EC2 usa a chave de dados no hardware Nitro, que é responsável por criptografar toda a E/S do disco no volume. EBS A chave de dados persiste no hardware Nitro enquanto o EBS volume está conectado à EC2 instância.

3. Você executa uma ação que torna a KMS chave inutilizável. Isso não tem efeito imediato na EC2 instância ou no EBS volume. A Amazon EC2 usa a chave de dados, não a KMS chave, para criptografar toda a E/S do disco enquanto o volume está conectado à instância.

4. No entanto, quando o EBS volume criptografado é separado da EC2 instância, a Amazon EBS remove a chave de dados do hardware Nitro. Na próxima vez que o EBS volume criptografado for anexado a uma EC2 instância, o anexo falhará, porque a Amazon EBS não pode usar a KMS chave para descriptografar a chave de dados criptografada do volume. Para usar o EBS volume novamente, você deve tornar a KMS tecla utilizável novamente.