Visualizar chaves do KMS em um armazenamento de chaves externas

Para visualizar as chaves KMS em um armazenamento de chaves externo, use o AWS KMS console ou a DescribeKeyoperação. Você pode usar as mesmas técnicas que você usaria para visualizar as chaves gerenciadas pelo cliente do AWS KMS. Para aprender os conceitos básicos, consulte Visualizar chaves.

No console do AWS KMS, as chaves do KMS do armazenamento de chaves externas são exibidas na página Customer managed keys (Chaves gerenciadas pelo cliente) juntamente com todas as outras chaves gerenciadas pelo cliente em sua Conta da AWS e região. Para identificar chaves do KMS em um armazenamento de chaves externas, filtre pelo valor de origem distinto, External key store (Armazenamento de chaves externas), e pelo ID do armazenamento de chaves personalizado.

Para obter mais informações, consulte Visualizar um armazenamento de chaves externas, Monitorar um armazenamento de chaves externas e Registrando chamadas de AWS KMS API com AWS CloudTrail.

Propriedades das chaves do KMS em um armazenamento de chaves externas

Como todas as chaves do KMS, as chaves do KMS em um armazenamento de chaves externas têm um ARN da chave, especificação da chave e valores de uso da chave, mas também têm propriedades e valores de propriedade específicos para chaves do KMS em um armazenamento de chaves externas. Por exemplo, o valor de Origin (Origem) para todas as chaves do KMS em armazenamentos de chaves externas é External key store (Armazenamento de chaves externas).

Para uma chave do KMS em um armazenamento de chaves externas, a guia Cryptographic configuration (Configuração criptográfica) no console do AWS KMS contém mais duas seções, Custom key store (Armazenamento de chaves personalizado) e External key (Chave externa).

Propriedades do armazenamento de chaves personalizado

Os valores a seguir aparecem na seção Armazenamento de chaves personalizadas da guia Configuração criptográfica e na DescribeKeyresposta. Essas propriedades se aplicam a todos os armazenamentos de chaves personalizados, inclusive armazenamentos de chaves do AWS CloudHSM e armazenamentos de chaves externas.

ID do armazenamento de chaves personalizado

Um ID exclusivo que o AWS KMS atribui ao armazenamento de chaves personalizado.

Nome do armazenamento de chaves personalizado

Um nome amigável que você atribui ao armazenamento de chaves personalizado ao criá-lo. Você pode alterar esse valor a qualquer momento.

Tipo do armazenamento de chaves personalizado

O tipo do armazenamento de chaves personalizado. Os valores válidos são AWS CloudHSM (AWS_CLOUDHSM) ou External key store (Armazenamento de chaves externas) (EXTERNAL_KEY_STORE). Você não pode alterar o tipo depois de criar o armazenamento de chaves personalizado.

Data de Criação

A data em que o armazenamento de chaves personalizado foi criado. Essa data é exibida na hora local da Região da AWS.

Estado da conexão

Indica se o armazenamento de chaves personalizado está conectado a seu armazenamento de chaves de reserva. O estado da conexão será DISCONNECTED somente se o armazenamento de chaves personalizado nunca tiver sido conectado ao armazenamento de chaves de reserva ou se tiver sido desconectado intencionalmente. Para obter detalhes, consulte Estado da conexão.

Propriedades da chave externa

As propriedades da chave externa aparecem na seção Chave externa da guia Configuração criptográfica e no XksKeyConfiguration elemento da DescribeKeyresposta.

A seção External key (Chave externa) é exibida no console do AWS KMS somente para chaves do KMS em armazenamentos de chaves externas. Ela fornece informações sobre a chave externa associada à chave do KMS. A chave externa é uma chave de criptografia fora da AWS que serve como material de chave para a chave do KMS no armazenamento de chaves externas. Quando você criptografa ou descriptografa com a chave do KMS, a operação é executada pelo gerenciador de chaves externas usando a chave externa especificada.

Os valores a seguir são exibidos na seção External key (Chave externa).

ID da chave externa

O identificador da chave externa no gerenciador de chaves externas. Este é o valor que o proxy de armazenamento de chaves externas usa para identificar a chave externa. Você especifica o ID da chave externa ao criar a chave do KMS e não pode alterá-la. Se o valor do ID da chave externa que você usou para criar a chave do KMS for alterado ou se tornar inválido, você deverá agendar a exclusão da chave do KMS e criar uma nova chave do KMS com o valor correto do ID da chave externa.

Visualizar chaves do KMS em um armazenamento de chaves externas (console)

Para visualizar chaves do KMS em um armazenamento de chaves externas (console)

1. Abra o console do AWS KMS em https://console.aws.amazon.com/kms.

2. Para alterar a Região da AWS, use o seletor de regiões no canto superior direito da página.

3. No painel de navegação, escolha Customer managed keys (Chaves gerenciadas pelo cliente).

4. Para identificar as chaves do KMS em seu armazenamento de chaves externas, adicione os campos Origin (Origem) e Custom key store ID (ID do armazenamento de chaves personalizado) à tabela de chaves. As chaves do KMS em qualquer armazenamento de chaves externas têm um valor de origem de armazenamento de chaves externas.

   No canto superior direito, selecione o ícone de engrenagem, escolha Origin (Origem), Custom key store ID (ID de armazenamento de chaves personalizado) e escolha Confirm (Confirmar).

5. Escolha o alias ou ID de chave de uma chave do KMS em um armazenamento de chaves externas.

6. Para visualizar as propriedades específicas das chaves do KMS em um armazenamento de chaves externas, escolha a guia Cryptographic configuration (Configuração criptográfica). Valores especiais para chaves do KMS em um armazenamento de chaves externas são exibidos nas seções Custom key store (Armazenamento de chaves personalizado) e External key (Chave externa).

Visualizar chaves do KMS em um armazenamento de chaves externas (API do AWS KMS)

Para visualizar chaves do KMS em um armazenamento de chaves externas (API)

Você usa as mesmas operações de AWS KMS API para visualizar as chaves KMS em um armazenamento de chaves externo que você usaria para qualquer chave KMS, incluindo ListKeysDescribeKey, e. GetKeyPolicy Por exemplo, a seguinte operação describe-key na AWS CLI mostra os campos especiais de uma chave do KMS em um armazenamento de chaves externas. Antes de executar um comando como esse, substitua o ID de exemplo por um valor válido.

$ aws kms describe-key --key-id 1234abcd-12ab-34cd-56ef-1234567890ab
{
  "KeyMetadata": {
    "Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "AWSAccountId": "111122223333",
    "CreationDate": "2022-12-02T07:48:55-07:00",
    "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
    "CustomKeyStoreId": "cks-1234567890abcdef0",
    "Description": "",
    "Enabled": true,
    "EncryptionAlgorithms": [
      "SYMMETRIC_DEFAULT"
    ],
    "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
    "KeyManager": "CUSTOMER",
    "KeySpec": "SYMMETRIC_DEFAULT",
    "KeyState": "Enabled",
    "KeyUsage": "ENCRYPT_DECRYPT",
    "MultiRegion": false,
    "Origin": "EXTERNAL_KEY_STORE",
    "XksKeyConfiguration": {      
      "Id": "bb8562717f809024"           
    }
  }
}