Solução de problemas de armazenamentos de chaves externas

A resolução da maioria dos problemas com armazenamentos de chaves externos é indicada pela mensagem de erro AWS KMS exibida com cada exceção ou pelo código de erro de conexão que AWS KMS retorna quando uma tentativa de conectar o armazenamento de chaves externo ao proxy externo do armazenamento de chaves falha. Porém, alguns problemas são um pouco mais complexos.

Ao diagnosticar um problema com um armazenamento de chaves externas, primeiro localize a causa. Isso reduzirá a variação de soluções e tornará a solução de problemas mais eficiente.

• AWS KMS — O problema pode estar dentro AWS KMS, como um valor incorreto na configuração do armazenamento de chaves externo.

• Externo — O problema pode ter origem externa AWS KMS, incluindo problemas com a configuração ou operação do proxy externo do armazenamento de chaves, do gerenciador de chaves externo, das chaves externas ou do serviço de endpoint VPC.

• Redes: pode ser um problema de conectividade ou de redes, como um problema com o proxy de endpoint, porta ou nome ou domínio de DNS privado.

nota

Quando as operações de gerenciamento em armazenamentos de chaves externas falham, elas geram várias exceções diferentes. Mas as operações AWS KMS criptográficas retornam KMSInvalidStateException para todas as falhas relacionadas à configuração externa ou ao estado da conexão do armazenamento de chaves externo. Para identificar o problema, use o texto da mensagem de erro que o acompanha.

A ConnectCustomKeyStoreoperação é bem-sucedida rapidamente antes que o processo de conexão seja concluído. Para determinar se o processo de conexão foi bem-sucedido, veja o estado da conexão do armazenamento de chaves externas. Se o processo de conexão falhar, o AWS KMS retornará um código de erro de conexão que explica a causa e sugere uma solução.

Ferramentas de solução de problemas de armazenamentos de chaves externas

AWS KMS fornece várias ferramentas para ajudá-lo a identificar e resolver problemas com seu armazenamento de chaves externo e suas chaves. Use essas ferramentas em conjunto com as ferramentas fornecidas com o proxy de armazenamento de chaves externas e o gerenciador de chaves externas.

nota

Seu proxy de armazenamento de chaves externas e seu gerenciador de chaves externas podem fornecer métodos mais fáceis de criar e manter seu armazenamento de chaves externas e as respectivas chaves do KMS. Para obter detalhes, consulte a documentação de suas ferramentas externas.

AWS KMS exceções e mensagens de erro

AWS KMS fornece uma mensagem de erro detalhada sobre qualquer problema encontrado. Você pode encontrar informações adicionais sobre AWS KMS exceções na Referência da AWS Key Management Service API e nos AWS SDKs. Mesmo se você estiver usando o AWS KMS console, talvez essas referências sejam úteis. Por exemplo, consulte a lista de erros da operação CreateCustomKeyStores.

Para otimizar o desempenho do proxy externo do armazenamento de chaves, AWS KMS retorna exceções com base na confiabilidade do proxy em um determinado período de agregação de 5 minutos. No caso de um erro interno 500 do servidor, serviço 503 indisponível ou tempo limite de conexão, um proxy com alta confiabilidade retorna KMSInternalException e aciona uma nova tentativa automática para garantir que as solicitações sejam bem-sucedidas. No entanto, um proxy com baixa confiabilidade retornaKMSInvalidStateException. Para obter mais informações, consulte Monitoramento de um armazenamento de chaves externo.

Se o problema surgir em um AWS serviço diferente, como quando você usa uma chave KMS em seu armazenamento de chaves externo para proteger um recurso em outro AWS serviço, o AWS serviço pode fornecer informações adicionais para ajudá-lo a identificar o problema. Se o AWS serviço não fornecer a mensagem, você poderá ver a mensagem de erro nos CloudTrail registros que registram o uso da sua chave KMS.

CloudTrail troncos

Todas as operações AWS KMS da API, incluindo ações no AWS KMS console, são registradas em AWS CloudTrail registros. AWS KMS registra uma entrada de registro para operações bem-sucedidas e malsucedidas. Para operações com falha, a entrada de log inclui o nome da exceção do AWS KMS (errorCode) e a mensagem de erro (errorMessage). Use essas informações para ajudar a identificar e resolver o erro. Para ver um exemplo, consulte Descriptografar falhas com uma chave do KMS em um armazenamento de chaves externas.

A entrada de log também inclui o ID da solicitação. Se a solicitação atingiu seu proxy de armazenamento de chaves externas, você poderá usar o ID da solicitação na entrada de log para encontrar a solicitação correspondente em seus logs de proxy, caso o proxy os forneça.

CloudWatch métricas

AWS KMS registra CloudWatch métricas detalhadas da Amazon sobre a operação e o desempenho do seu armazenamento de chaves externo, incluindo latência, limitação, erros de proxy, status do gerenciador de chaves externo, o número de dias até que seu certificado TLS expire e a idade relatada de suas credenciais de autenticação de proxy. Você pode usar essas métricas para desenvolver modelos de dados para a operação do seu armazenamento externo de chaves e CloudWatch alarmes que alertem você sobre problemas iminentes antes que eles ocorram.

Importante

AWS KMS recomenda que você crie CloudWatch alarmes para monitorar as métricas externas do armazenamento de chaves. Esses alarmes alertarão sobre os primeiros sinais de problemas antes que eles se desenvolvam.

Grafos de monitoramento

AWS KMS exibe gráficos das CloudWatch métricas do armazenamento de chaves externo na página de detalhes de cada armazenamento de chaves externo no AWS KMS console. Você pode usar os dados nos gráficos para ajudar a localizar a origem dos erros, detectar problemas iminentes, estabelecer linhas de base e refinar seus limites de alarme. CloudWatch Para obter detalhes sobre como interpretar os grafos de monitoramento e usar seus dados, consulte Monitorar um armazenamento de chaves externas.

Exibições de armazenamentos de chaves externas e chaves do KMS

AWS KMS exibe informações detalhadas sobre seus armazenamentos de chaves externos e as chaves KMS no armazenamento de chaves externo no AWS KMS console e na resposta às DescribeCustomKeyStoresDescribeKeyoperações e. Essas exibições incluem campos especiais para armazenamentos de chaves externas e chaves do KMS com informações que você pode usar para solucionar problemas, como o estado da conexão do armazenamento de chaves externas e o ID da chave externa associada à chave do KMS. Para obter mais detalhes, consulte Visualizar um armazenamento de chaves externas e Visualizar chaves do KMS em um armazenamento de chaves externas.

Cliente de teste do proxy XKS

AWS KMS fornece um cliente de teste de código aberto que verifica se o proxy externo do armazenamento de chaves está em conformidade com a especificação da API AWS KMS External Key Store Proxy. Você pode usar esse cliente de teste para identificar e resolver problemas com seu proxy de armazenamento de chaves externas.

Erros de configuração

Ao criar um armazenamento de chaves externas, você especifica valores de propriedade que abrangem a configuração do armazenamento de chaves externas, como a credencial de autenticação do proxy, o endpoint do URI do proxy, o caminho do URI do proxy e o nome do serviço de endpoint da VPC. Quando AWS KMS detecta um erro no valor de uma propriedade, a operação falha e retorna um erro que indica o valor defeituoso.

Muitos problemas de configuração podem ser resolvidos ao corrigir o valor incorreto. Você pode corrigir um caminho do URI do proxy inválido ou uma credencial de autenticação do proxy sem desconectar o armazenamento de chaves externas. Para obter definições desses valores, inclusive requisitos de exclusividade, consulte Organizar os pré-requisitos. Para obter instruções sobre como atualizar esses valores, consulte Editar propriedades do armazenamento de chaves externas.

Para evitar erros com o caminho do URI do proxy e os valores da credencial de autenticação do proxy, ao criar ou atualizar o armazenamento de chaves externas, carregue um arquivo de configuração de proxy para o console do AWS KMS . É um arquivo baseado em JSON com caminho do URI do proxy e valores de credencial de autenticação de proxy que é fornecido pelo proxy de armazenamento de chaves externas ou pelo gerenciador de chaves externas. Você não pode usar um arquivo de configuração de proxy com operações de AWS KMS API, mas pode usar os valores no arquivo para ajudá-lo a fornecer valores de parâmetros para suas solicitações de API que correspondam aos valores em seu proxy.

Erros gerais de configuração

Exceções: CustomKeyStoreInvalidStateException (CreateKey), KMSInvalidStateException (operações de criptografia), XksProxyInvalidConfigurationException (operações de gerenciamento, exceto para CreateKey)

Códigos de erro de conexão: XKS_PROXY_INVALID_CONFIGURATION, XKS_PROXY_INVALID_TLS_CONFIGURATION

Para armazenamentos de chaves externos com conectividade de endpoint público, AWS KMS testa os valores da propriedade ao criar e atualizar o armazenamento de chaves externo. Para armazenamentos de chaves externas com conectividade de serviço de endpoint da VPC, o AWS KMS testa os valores das propriedades ao criar e atualizar o armazenamento de chaves externas.

nota

A operação ConnectCustomKeyStore, que é assíncrona, pode ser bem-sucedida mesmo que a tentativa de conectar o armazenamento de chaves externas ao proxy de armazenamento de chaves externas falhe. Nesse caso, não há exceção, mas o estado da conexão do armazenamento de chaves externas é Failed, e um código de erro de conexão explica a mensagem de erro. Para ter mais informações, consulte Erros de conexão do armazenamento de chaves externas.

Se AWS KMS detectar um erro no valor de uma propriedade, a operação falhará e retornará XksProxyInvalidConfigurationException com uma das seguintes mensagens de erro.

O proxy de armazenamento de chaves externas rejeitou a solicitação devido a um caminho de URI inválido. Verifique o caminho do URI para o armazenamento de chaves externas e atualize, se necessário.

• O caminho do URI do proxy é o caminho base para AWS KMS solicitações às APIs do proxy. Se o caminho estiver incorreto, todas as solicitações ao proxy falharão. Para visualizar o caminho atual do URI do proxy para o armazenamento de chaves externas, use o console do AWS KMS ou a operação DescribeCustomKeyStores. Para encontrar o caminho correto do URI do proxy, consulte a documentação do proxy de armazenamento de chaves externas. Para obter ajuda na correção do valor do caminho do URI do proxy, consulte Editar propriedades do armazenamento de chaves externas.

• O caminho do URI do proxy para o proxy de armazenamento de chaves externas pode ser alterado com as atualizações no proxy de armazenamento de chaves externas ou no gerenciador de chaves externas. Para obter informações sobre essas alterações, consulte a documentação do proxy de armazenamento de chaves externas ou do gerenciador de chaves externas.

XKS_PROXY_INVALID_TLS_CONFIGURATION O AWS KMS não consegue estabelecer uma conexão TLS com o proxy de armazenamento de chaves externas. Verifique a configuração do TLS, inclusive o certificado.

• Todos os proxies de armazenamento de chaves externas precisam de um certificado TLS. O certificado TLS deve ser emitido por uma autoridade de certificação (CA) pública com suporte para armazenamentos de chaves externas. Para ver uma lista de CAs compatíveis, consulte Trusted Certificate Authorities (Autoridades de certificação confiáveis) em AWS KMS External Key Store Proxy API Specification (Especificação da API de proxy de armazenamento de chaves externas do ).

• Para conectividade de endpoints públicos, o nome comum (CN) da entidade no certificado TLS deve corresponder ao nome do domínio no endpoint do URI do proxy do armazenamento de chaves externas. Por exemplo, se o endpoint público for https://myproxy.xks.example.com, o TLS, o CN no certificado TLS deverá ser myproxy.xks.example.com ou *.xks.example.com.

• Para conectividade de serviços de endpoint da VPC, o nome comum (CN) do assunto no certificado TLS deve corresponder ao nome DNS privado do serviço de endpoint da VPC. Por exemplo, se o nome DNS privado for myproxy-private.xks.example.com, o CN no certificado TLS deverá ser myproxy-private.xks.example.com ou *.xks.example.com.

• O certificado TLS não pode ter expirado. Para obter o prazo de validade de um certificado TLS, use ferramentas SSL, como o OpenSSL. Para monitorar a data de expiração de um certificado TLS associado a um armazenamento de chaves externo, use a XksProxyCertificateDaysToExpire CloudWatch métrica. O número de dias até a data de expiração da certificação TLS também aparece na seção Monitoramento do AWS KMS console.

• Se você estiver usando conectividade de endpoint público, use ferramentas de teste SSL para testar a configuração de SSL. Os erros de conexão TLS podem ser resultado do encadeamento incorreto de certificados.

Erros de configuração de conectividade do serviço de endpoint da VPC

Exceções: XksProxyVpcEndpointServiceNotFoundException, XksProxyVpcEndpointServiceInvalidConfigurationException

Além dos problemas gerais de conectividade, você pode encontrar os seguintes problemas ao criar, conectar ou atualizar um armazenamento de chaves externo com a conectividade do serviço de endpoint VPC. AWS KMS testa os valores das propriedades de um armazenamento de chaves externo com a conectividade do serviço de endpoint VPC ao criar, conectar e atualizar o armazenamento de chaves externo. Quando as operações de gerenciamento falham devido a erros de configuração, elas geram as seguintes exceções:

XksProxyVpcEndpointServiceNotFoundException

A causa pode ser uma das seguintes:

• Um nome de serviço de endpoint da VPC incorreto. Verifique se o nome do serviço de endpoint da VPC para o armazenamento de chaves externas está correto e corresponde ao valor do endpoint do URI do proxy para o armazenamento de chaves externas. Para encontrar o nome do serviço do VPC endpoint, use o console Amazon VPC ou a operação. DescribeVpcEndpointServices Para encontrar o nome do serviço do VPC endpoint e o endpoint do URI do proxy de um armazenamento de chaves externo existente, use o AWS KMS console ou a operação. DescribeCustomKeyStores Para obter detalhes, consulte Visualizar um armazenamento de chaves externas.

• O serviço de endpoint da VPC pode estar em um local Região da AWS diferente do armazenamento de chaves externo. Verifique se o serviço de endpoint da VPC e o armazenamento de chaves externas estão na mesma região. (O nome externo do nome da região, como, faz parte do nome do serviço do VPC endpointus-east-1, como com.amazonaws.vpce.us-east-1. vpce-svc-example.) Para obter uma lista dos requisitos do serviço de endpoint da VPC para um armazenamento de chaves externas, consulte Serviço de VPC endpoint. Você não pode migrar um serviço de endpoint da VPC ou um armazenamento de chaves externas para uma região diferente. Contudo, você pode criar um novo armazenamento de chaves externas na mesma região do serviço de endpoint da VPC. Para obter mais detalhes, consulte Configurar a conectividade do serviço de endpoint da VPC e Criar um armazenamento de chaves externas.

• AWS KMS não é um principal permitido para o serviço de endpoint da VPC. A lista de entidades principais autorizadas para o serviço de endpoint da VPC deve incluir o valor de cks.kms.<region>.amazonaws.com, como cks.kms.eu-west-3.amazonaws.com. Para obter instruções sobre como adicionar esse valor, consulte Manage permissions (Gerenciar permissões) no Guia do AWS PrivateLink .

XksProxyVpcEndpointServiceInvalidConfigurationException

Esse erro ocorre quando o serviço de endpoint da VPC não atende a um dos seguintes requisitos:

• A VPC requer pelo menos duas sub-redes privadas, cada uma em uma zona de disponibilidade diferente. Para obter ajuda para adicionar uma sub-rede à sua VPC, consulte Crie uma sub-rede na VPC no Guia do usuário da Amazon VPC.

• Seu tipo de serviço de endpoint da VPC deve usar um balanceador de carga de rede, não um balanceador de carga de gateway.

• A aceitação não deve ser obrigatória para o serviço de endpoint da VPC (Acceptance required [Aceitação obrigatória] deve ser false). Se a aceitação manual de cada solicitação de conexão for necessária, AWS KMS não será possível usar o serviço de VPC endpoint para se conectar ao proxy externo do armazenamento de chaves. Para obter detalhes, consulte Accept or reject connection requests (Aceitar ou rejeitar solicitações de conexão) no Guia do AWS PrivateLink .

• O serviço de endpoint da VPC deve ter um nome DNS privado que seja o subdomínio de um domínio público. Por exemplo, se o nome DNS privado for https://myproxy-private.xks.example.com, os domínios xks.example.com ou example.com devem ter um servidor DNS público. Para visualizar ou alterar o nome DNS privado do serviço de endpoint da VPC, consulte Manage DNS names for VPC endpoint services (Gerenciar nomes de DNS para serviços de endpoint da VPC) no Guia do AWS PrivateLink .

• O status da verificação do domínio do domínio de seu nome DNS privado deverá ser verified. Para visualizar e atualizar o status de verificação do domínio do nome DNS privado, consulte Verificar o domínio do DNS privado. Pode levar alguns minutos para que o status de verificação atualizado seja exibido depois que você adicionar o registro de texto obrigatório.

  nota

  O domínio DNS privado só poderá ser verificado se for o subdomínio de um domínio público. Caso contrário, o status de verificação do domínio DNS privado não será alterado, mesmo depois de adicionar o registro TXT obrigatório.

• O nome DNS privado do serviço de endpoint da VPC deve corresponder ao valor do endpoint do URI do proxy para o armazenamento de chaves externas. Para um armazenamento de chaves externas com conectividade de serviço de endpoint da VPC, o endpoint do URI do proxy deve ser https:// seguido pelo nome DNS privado do serviço de endpoint da VPC. Para visualizar o valor do endpoint do URI do proxy, consulte Visualizar um armazenamento de chaves externas. Para alterar o valor do endpoint do URI do proxy, consulte Editar propriedades do armazenamento de chaves externas.

Erros de conexão do armazenamento de chaves externas

O processo de conexão de um armazenamento de chaves externas ao proxy de armazenamento de chaves externas leva cerca de cinco minutos para ser concluído. A menos que se antecipe à falha, a operação ConnectCustomKeyStore retornará uma resposta HTTP 200 e um objeto JSON sem propriedades. No entanto, essa resposta inicial não indica que a conexão foi bem-sucedida. Para determinar se o armazenamento de chaves externas está conectado, consulte o estado da conexão. Se a conexão falhar, o estado da conexão do armazenamento de chaves externo mudará para FAILED e AWS KMS retornará um código de erro de conexão que explica a causa da falha.

nota

Quando o estado de conexão de um armazenamento de chaves personalizado é FAILED, você deve desconectar o armazenamento de chaves personalizado antes de tentar reconectá-lo. Não é possível conectar um armazenamento de chaves personalizado a um status de conexão FAILED.

Para visualizar o estado da conexão de um armazenamento de chaves externas:

• Na DescribeCustomKeyStoresresposta, visualize o valor do ConnectionState elemento.

• No AWS KMS console, o estado da conexão aparece na tabela de armazenamento de chaves externo. Além disso, na página de detalhes de cada armazenamento de chaves externas, o estado da conexão é exibido na seção General configuration (Configuração geral).

Quando o estado da conexão é FAILED, o código de erro de conexão ajuda a explicar o erro.

Para visualizar o código de erro de conexão:

• Na DescribeCustomKeyStoresresposta, visualize o valor do ConnectionErrorCode elemento. Este elemento aparece na resposta de DescribeCustomKeyStores somente quando ConnectionState é FAILED.

• Para visualizar o código de erro de conexão no AWS KMS console, na página de detalhes do armazenamento externo de chaves e passe o mouse sobre o valor Falha.

  

Códigos de erro de conexão para armazenamentos de chaves externas

Os códigos de erro de conexão a seguir se aplicam a armazenamentos de chaves externas

INTERNAL_ERROR

AWS KMS não foi possível concluir a solicitação devido a um erro interno. Repetir a solicitação . Para solicitações ConnectCustomKeyStore, desconecte o armazenamento de chaves personalizado antes de tentar se conectar novamente.

INVALID_CREDENTIALS

Um ou ambos os valores de XksProxyAuthenticationCredential não são válidos no proxy de armazenamento de chaves externas especificado.

NETWORK_ERRORS

Os erros de rede estão AWS KMS impedindo a conexão do armazenamento de chaves personalizadas ao armazenamento de chaves de apoio.

XKS_PROXY_ACCESS_DENIED

AWS KMS as solicitações têm acesso negado ao proxy externo do armazenamento de chaves. Se o proxy de armazenamento de chaves externas tiver regras de autorização, verifique se elas permitem que o AWS KMS se comunique com o proxy em seu nome.

XKS_PROXY_INVALID_CONFIGURATION

Um erro de configuração está impedindo que o armazenamento de chaves externas se conecte ao proxy. Verifique o valor de XksProxyUriPath.

XKS_PROXY_INVALID_RESPONSE

AWS KMS não é possível interpretar a resposta do proxy externo do armazenamento de chaves. Caso veja esse código de erro de conexão repetidamente, notifique seu fornecedor de proxy de armazenamento de chaves externas.

XKS_PROXY_INVALID_TLS_CONFIGURATION

AWS KMS não é possível se conectar ao proxy externo do armazenamento de chaves porque a configuração do TLS é inválida. Verifique se o proxy de armazenamento de chaves externas é compatível com TLS 1.2 ou 1.3. Além disso, verifique se o certificado TLS não expirou, se corresponde ao nome do host no valor XksProxyUriEndpoint e se está assinado por uma autoridade de certificação confiável incluída na lista de autoridades de certificação confiáveis.

XKS_PROXY_NOT_REACHABLE

AWS KMS não consegue se comunicar com seu proxy externo de armazenamento de chaves. Verifique se XksProxyUriEndpoint e XksProxyUriPath estão corretos. Use as ferramentas do proxy de armazenamento de chaves externas para verificar se o proxy está ativo e disponível em sua rede. Além disso, verifique se as instâncias do gerenciador de chaves externas estão operando corretamente. As tentativas de conexão falharão com esse código de erro de conexão se o proxy relatar que todas as instâncias do gerenciador de chaves externas estão indisponíveis.

XKS_PROXY_TIMED_OUT

AWS KMS pode se conectar ao proxy externo do armazenamento de chaves, mas o proxy não responde AWS KMS no tempo alocado. Caso veja esse código de erro de conexão repetidamente, notifique seu fornecedor de proxy de armazenamento de chaves externas.

XKS_VPC_ENDPOINT_SERVICE_INVALID_CONFIGURATION

A configuração do serviço de endpoint do Amazon VPC não está em conformidade com os requisitos de um AWS KMS armazenamento de chaves externo.

• O serviço de endpoint da VPC deve ser um serviço de endpoint para endpoints de interface na Conta da AWS do autor da chamada.

• Deve ter um balanceador de carga de rede (NLB) conectado a pelo menos duas sub-redes, cada uma em uma zona de disponibilidade diferente.

• A Allow principals lista deve incluir o principal AWS KMS de serviço da região,cks.kms.<region>.amazonaws.com, tal comocks.kms.us-east-1.amazonaws.com.

• Não deve exigir a aceitação de solicitações de conexão.

• Ele deve ter um nome DNS privado. O nome DNS privado de um armazenamento de chaves externas com conectividade VPC_ENDPOINT_SERVICE deve ser exclusivo na Região da AWS.

• O domínio do nome DNS privado deve ter o status de verificação verified.

• O certificado TLS especifica o nome de host DNS privado no qual o endpoint é acessível.

XKS_VPC_ENDPOINT_SERVICE_NOT_FOUND

AWS KMS não consigo encontrar o serviço de endpoint VPC que ele usa para se comunicar com o proxy externo do armazenamento de chaves. Verifique se XksProxyVpcEndpointServiceName está correto e se a entidade principal do serviço do AWS KMS tem permissões de consumidor no serviço de endpoint da Amazon VPC.

Erros de latência e de tempo limite

Exceções: CustomKeyStoreInvalidStateException (CreateKey), KMSInvalidStateException (operações de criptografia), XksProxyUriUnreachableException (operações de gerenciamento)

Códigos de erro de conexão: XKS_PROXY_NOT_REACHABLE, XKS_PROXY_TIMED_OUT

Quando não é AWS KMS possível entrar em contato com o proxy dentro do intervalo de tempo limite de 250 milissegundos, ele retorna uma exceção. CreateCustomKeyStoree UpdateCustomKeyStore retorneXksProxyUriUnreachableException. As operações criptográficas retornam o padrão KMSInvalidStateException com uma mensagem de erro que descreve o problema. Se ConnectCustomKeyStore falhar, AWS KMS retorna um código de erro de conexão que descreve o problema.

Os erros de tempo limite poderão ser problemas transitórios que podem ser resolvidos ao repetir a solicitação. Se o problema persistir, verifique se o proxy de armazenamento de chaves externas está ativo e conectado à rede e se o endpoint do URI do proxy, o caminho do URI do proxy e o nome do serviço de endpoint da VPC (se houver) estão corretos no armazenamento de chaves externas. Além disso, verifique se o gerenciador de chaves externo está próximo ao do Região da AWS armazenamento de chaves externo. Se precisar atualizar qualquer um desses valores, consulte Editar propriedades do armazenamento de chaves externas.

Para rastrear os padrões de latência, use a XksProxyLatency CloudWatch métrica e o gráfico de latência média (com base nessa métrica) na seção Monitoramento do AWS KMS console. Seu proxy de armazenamento de chaves externas também pode gerar logs e métricas que rastreiam a latência e os tempos limite.

XksProxyUriUnreachableException AWS KMS não pode se comunicar com o proxy externo do armazenamento de chaves. Pode ser um problema de rede transitório. Caso veja esse erro repetidamente, verifique se o proxy de armazenamento de chaves externas está ativo e conectado à rede e se o URI do endpoint está correto no armazenamento de chaves externas.

• O proxy externo do armazenamento de chaves não respondeu a uma solicitação de API de AWS KMS proxy dentro do intervalo de tempo limite de 250 milissegundos. Isso pode indicar um problema de rede transitório ou um problema operacional ou de performance com o proxy. Se uma nova tentativa não resolver o problema, notifique o administrador do proxy de armazenamento de chaves externas.

Erros de latência e de tempo limite geralmente se manifestam como falhas de conexão. Quando a ConnectCustomKeyStoreoperação falha, o estado da conexão do armazenamento de chaves externo muda para FAILED e AWS KMS retorna um código de erro de conexão que explica o erro. Para obter uma lista de códigos de erro de conexão e sugestões para resolver os erros, consulte Códigos de erro de conexão para armazenamentos de chaves externas. As listas de códigos de conexão de todos os armazenamentos de chaves personalizados e Armazenamentos de chaves externas se aplicam aos armazenamentos de chaves externas. Os erros de conexão a seguir estão relacionados à latência e aos tempos limite.

XKS_PROXY_NOT_REACHABLE - ou - CustomKeyStoreInvalidStateException, KMSInvalidStateException, XksProxyUriUnreachableException AWS KMS não pode se comunicar com o proxy externo do armazenamento de chaves. Verifique se o proxy de armazenamento de chaves externas está ativo e conectado à rede e se o caminho do URI e o URI do endpoint ou o nome do serviço da VPC estão corretos no armazenamento de chaves externas.

Esse erro poderá ocorrer pelos seguintes motivos:

• O proxy do armazenamento de chaves externas não está ativo ou não está conectado à rede.

• Há um erro nos valores do endpoint do URI do proxy, do caminho do URI do proxy ou do nome do serviço de endpoint da VPC (se aplicável) na configuração do armazenamento de chaves externas. Para visualizar a configuração do armazenamento de chaves externo, use a DescribeCustomKeyStoresoperação ou visualize a página de detalhes do armazenamento de chaves externo no AWS KMS console.

• Pode haver um erro de configuração de rede, como um erro de porta, no caminho de rede entre AWS KMS e o proxy externo do armazenamento de chaves. AWS KMS se comunica com o proxy externo do armazenamento de chaves na porta 443. Esse valor não é configurável.

• Quando o proxy externo do armazenamento de chaves relata (em uma GetHealthStatusresposta) que todas as instâncias externas do gerenciador de chaves sãoUNAVAILABLE, a ConnectCustomKeyStoreoperação falha com um ConnectionErrorCode deXKS_PROXY_NOT_REACHABLE. Para obter ajude, consulte a documentação do gerenciador de chaves externas.

• Esse erro pode resultar de uma longa distância física entre o gerenciador de chaves externo e Região da AWS o armazenamento de chaves externo. A latência de ping (tempo de ida e volta da rede (RTT)) entre o Região da AWS e o gerenciador de chaves externo não deve ser superior a 35 milissegundos. Talvez seja necessário criar um armazenamento de chaves externo em um Região da AWS que esteja mais próximo do gerenciador de chaves externo ou mover o gerenciador de chaves externo para um data center mais próximo do Região da AWS.

XKS_PROXY_TIMED_OUT - ou - CustomKeyStoreInvalidStateException, KMSInvalidStateException, XksProxyUriUnreachableException O AWS KMS rejeitou a solicitação porque o proxy de armazenamento de chaves externas não respondeu a tempo. Repetir a solicitação . Caso veja esse erro repetidamente, informe-o ao administrador do proxy de armazenamento de chaves externas.

Esse erro poderá ocorrer pelos seguintes motivos:

• Esse erro pode resultar de uma longa distância física entre o gerenciador de chaves externas e o proxy de armazenamento de chaves externas. Se possível, mova o proxy de armazenamento de chaves externas para mais perto do gerenciador de chaves externas.

• Erros de tempo limite podem ocorrer quando o proxy não foi projetado para lidar com o volume e a frequência das solicitações de AWS KMS. Se suas CloudWatch métricas indicarem um problema persistente, notifique o administrador externo do proxy do armazenamento de chaves.

• Podem ocorrer erros de tempo limite quando a conexão entre o gerenciador de chaves externas e a Amazon VPC para o armazenamento de chaves externas não está funcionando corretamente. Se você estiver usando AWS Direct Connect, verifique se sua VPC e seu gerenciador de chaves externo podem se comunicar de forma eficaz. Para obter ajuda para resolver qualquer problema, consulte Solução de problemas AWS Direct Connect no Guia do AWS Direct Connect usuário.

XKS_PROXY_TIMED_OUT - ou - CustomKeyStoreInvalidStateException, KMSInvalidStateException, XksProxyUriUnreachableException O proxy de armazenamento de chaves externas não respondeu à solicitação no tempo estipulado. Repetir a solicitação . Caso veja esse erro repetidamente, informe-o ao administrador do proxy de armazenamento de chaves externas.

• Esse erro pode resultar de uma longa distância física entre o gerenciador de chaves externas e o proxy de armazenamento de chaves externas. Se possível, mova o proxy de armazenamento de chaves externas para mais perto do gerenciador de chaves externas.

Erros de credenciais de autenticação

Exceções: CustomKeyStoreInvalidStateException (CreateKey), KMSInvalidStateException (operações de criptografia), XksProxyIncorrectAuthenticationCredentialException (operações de gerenciamento, exceto CreateKey)

Você estabelece e mantém uma credencial de autenticação AWS KMS em seu proxy externo de armazenamento de chaves. Em seguida, você informa os valores AWS KMS das credenciais ao criar um armazenamento de chaves externo. Para alterar a credencial de autenticação, faça a alteração no proxy de armazenamento de chaves externas. Em seguida, atualize a credencial do armazenamento de chaves externas. Se o proxy alternar a credencial, você deverá atualizar a credencial do armazenamento de chaves externas.

Se o proxy de armazenamento de chaves externas não autenticar uma solicitação assinada com a credencial de autenticação do proxy para seu armazenamento de chaves externas, o efeito dependerá da solicitação:

• CreateCustomKeyStore e UpdateCustomKeyStore falham com uma XksProxyIncorrectAuthenticationCredentialException.

• ConnectCustomKeyStore é bem-sucedido, mas a conexão falha. O estado da conexão é FAILED, e o código de erro da conexão é INVALID_CREDENTIALS. Para obter detalhes, consulte Erros de conexão do armazenamento de chaves externas.

• As operações criptográficas retornam KMSInvalidStateException para todos os erros de configuração externa e erros de estado de conexão em um armazenamento de chaves externas. A mensagem de erro que acompanha descreve o problema.

O proxy de armazenamento de chaves externas rejeitou a solicitação porque não conseguiu autenticar o AWS KMS. Verifique as credenciais para o armazenamento de chaves externas e atualize-as, se necessário.

Esse erro poderá ocorrer pelos seguintes motivos:

• O ID da chave de acesso ou a chave de acesso secreta para o armazenamento de chaves externas não correspondem aos valores estabelecidos no proxy de armazenamento de chaves externas.

  Para corrigir esse erro, atualize a credencial de autenticação do proxy para o armazenamento de chaves externas. Você pode fazer essa alteração sem desconectar o armazenamento de chaves externas.

• Um proxy reverso entre AWS KMS e o proxy externo do armazenamento de chaves pode estar manipulando cabeçalhos HTTP de forma a invalidar as assinaturas SigV4. Para corrigir esse erro, notifique o administrador do proxy.

Erros de estado da chave

Exceções: KMSInvalidStateException

Utiliza-se KMSInvalidStateException para duas finalidades distintas para as chaves do KMS em armazenamentos de chaves personalizados.

• Quando uma operação de gerenciamento, como CancelKeyDeletion, falha e retorna essa exceção, isso indica que o estado da chave do KMS não é compatível com a operação.

• Quando uma operação de criptografia em uma chave do KMS em um armazenamento de chaves personalizado falha com KMSInvalidStateException, pode indicar um problema no estado da chave do KMS. Mas a operação AWS KMS criptográfica retorna KMSInvalidStateException para todos os erros de configuração externa e erros de estado de conexão em um armazenamento de chaves externo. Para identificar o problema, use o texto da mensagem de erro que acompanha a exceção.

Para encontrar o estado de chave necessário para as operações de uma AWS KMS API, consultePrincipais estados das AWS KMS chaves. Para encontrar o estado de chave de uma chave do KMS, na página Customer managed keys (Chaves gerenciadas pelo cliente), visualize o campo Status da chave do KMS. Ou use a DescribeKeyoperação e visualize o KeyState elemento na resposta. Para obter detalhes, consulte Visualizar chaves.

nota

O estado da chave de uma chave do KMS em um armazenamento de chaves externas não indica nada sobre o status da chave externa associada. Para obter informações sobre o status da chave externa, use o gerenciador de chaves externas e as ferramentas de proxy de armazenamento de chaves externas.

CustomKeyStoreInvalidStateException refere-se ao estado da conexão do armazenamento de chaves externas, não ao estado da chave de uma chave do KMS.

Uma operação criptográfica em uma chave do KMS em um armazenamento personalizado poderá falhar se o estado da chave do KMS for Unavailable ou PendingDeletion. (As chaves desativadas retornam DisabledException.)

• Uma chave KMS tem um estado de Disabled chave somente quando você desativa intencionalmente a chave KMS no AWS KMS console ou usando a operação. DisableKey Enquanto uma chave do KMS está desabilitada, é possível visualizar e gerenciar a chave, mas não é possível usá-la para operações de criptografia. Para corrigir o problema, habilite a chave. Para obter detalhes, consulte Habilitar e desabilitar chaves.

• Uma chave do KMS tem um estado da chave Unavailable quando o armazenamento de chaves externas é desconectado do proxy de armazenamento de chaves externas. Para corrigir uma chave do KMS indisponível, reconecte o armazenamento de chaves externas. Após a reconexão do armazenamento de chaves externas, o estado de chave das chaves do KMS nesse armazenamento de chaves externas é automaticamente restaurado ao estado anterior, como Enabled ou Disabled.

  Uma chave do KMS tem um estado de chave PendingDeletion quando foi programada para exclusão e está no período de espera. Um erro de estado da chave em uma chave do KMS que está pendente de exclusão indica que a chave não deve ser excluída, seja porque está sendo usada para criptografia, seja porque é obrigatória para descriptografia. Para reabilitar a chave do KMS, cancele a exclusão programada e habilite a chave. Para obter detalhes, consulte Programar e cancelar a exclusão de chaves.

Erros de descriptografia

Exceções: KMSInvalidStateException

Quando uma operação de descriptografia com uma chave KMS em um armazenamento de chaves externo falha, AWS KMS retorna o padrão KMSInvalidStateException que as operações criptográficas usam para todos os erros de configuração externa e erros de estado de conexão em um armazenamento de chaves externo. A mensagem de erro indica o problema.

Para descriptografar um texto cifrado que foi criptografado usando criptografia dupla, o gerenciador de chaves externas usa primeiro a chave externa para descriptografar a camada externa do texto cifrado. Em seguida, AWS KMS usa o material AWS KMS chave na chave KMS para decifrar a camada interna do texto cifrado. O gerenciador de chaves externas ou o AWS KMS podem rejeitar um texto cifrado inválido ou corrompido.

As mensagens de erro a seguir acompanham a KMSInvalidStateException quando a descriptografia falha. Isso indica um problema no texto cifrado ou no contexto de criptografia opcional da solicitação.

O proxy de armazenamento de chaves externas rejeitou a solicitação porque o texto cifrado especificado ou os dados autenticados adicionais estão corrompidos, ausentes ou são inválidos.

• Quando o proxy externo do armazenamento de chaves ou o gerenciador de chaves externo relatam que um texto cifrado ou seu contexto de criptografia é inválido, isso normalmente indica um problema com o texto cifrado ou o contexto de criptografia na solicitação enviada para. Decrypt AWS KMS Para Decrypt operações, AWS KMS envia ao proxy o mesmo texto cifrado e contexto de criptografia que ele recebe na Decrypt solicitação.

  Esse erro pode ser causado por um problema de redes em trânsito, como um bit invertido. Repetir a solicitação Decrypt. Se o problema persistir, verifique se o texto cifrado não foi alterado ou corrompido. Além disso, verifique se o contexto de criptografia na Decrypt solicitação AWS KMS corresponde ao contexto de criptografia na solicitação que criptografou os dados.

O texto cifrado que o proxy de armazenamento de chaves externas enviou para descriptografia, ou o contexto de criptografia, está corrompido, ausente ou é inválido.

• Quando AWS KMS rejeita o texto cifrado recebido do proxy, indica que o gerenciador de chaves externo ou proxy retornou um texto cifrado inválido ou corrompido para. AWS KMS

  Esse erro pode ser causado por um problema de redes em trânsito, como um bit invertido. Repetir a solicitação Decrypt. Se o problema persistir, verifique se o gerenciador de chaves externo está funcionando corretamente e se o proxy externo do armazenamento de chaves não altera o texto cifrado que recebe do gerenciador de chaves externo antes de retorná-lo. AWS KMS

Erros de chave externa

A chave externa é uma chave de criptografia do gerenciador de chaves externas que serve como material de chave externa para uma chave do KMS. O AWS KMS não consegue acessar diretamente a chave externa. Ele deve solicitar que o gerenciador de chaves externas (por meio do proxy de armazenamento de chaves externas) use a chave externa para criptografar dados ou descriptografar um texto cifrado.

Você especifica o ID da chave externa em seu gerenciador de chaves externas ao criar uma chave do KMS em seu armazenamento de chaves externas. Você não pode alterar o ID da chave externa depois que a chave do KMS é criada. Para evitar problemas com a chave do KMS, a operação CreateKey solicita que o proxy de armazenamento de chaves externas verifique o ID e a configuração da chave externa. Se a chave externa não atender aos requisitos de uso com uma chave do KMS, a operação CreateKey falhará com uma exceção e uma mensagem de erro que identificam o problema.

No entanto, poderão ocorrer problemas depois que a chave do KMS for criada. Se uma operação criptográfica falhar devido a um problema com a chave externa, a operação falhará e retornará um KMSInvalidStateException com uma mensagem de erro que indica o problema.

CreateKey erros para a chave externa

Exceções: XksKeyAlreadyInUseException, XksKeyNotFoundException, XksKeyInvalidConfigurationException

A CreateKeyoperação tenta verificar a ID e as propriedades da chave externa que você fornece no parâmetro ID da chave externa (console) ou XksKeyId (API). Essa prática foi criada para detectar erros antes de você tentar usar a chave externa com a chave do KMS.

Chave externa em uso

Cada chave do KMS em um armazenamento de chaves externas deve usar uma chave externa diferente. Quando CreateKey reconhece que o ID da chave externa (XksKeyId) de uma chave KMS não é exclusivo no armazenamento de chaves externo, ele falha com um. XksKeyAlreadyInUseException

Se você usar vários IDs para a mesma chave externa, CreateKey não reconhecerá a duplicata. No entanto, as chaves KMS com a mesma chave externa não são interoperáveis porque têm materiais de AWS KMS chave e metadados diferentes.

Chave externa não encontrada

Quando o proxy externo do armazenamento de chaves relata que não consegue encontrar a chave externa usando o ID da chave externa (XksKeyId) para a chave KMS, a CreateKey operação falha e retorna XksKeyNotFoundException com a seguinte mensagem de erro.

O proxy de armazenamento de chaves externas rejeitou a solicitação porque não conseguiu localizar a chave externa.

Esse erro poderá ocorrer pelos seguintes motivos:

• Talvez o ID da chave externa (XksKeyId) da chave do KMS seja inválido. Para encontrar o ID usado pelo proxy de chaves externas para identificar a chave externa, consulte a documentação do proxy de armazenamento de chaves externas ou do gerenciador de chaves externas.

• A chave externa pode ter sido excluída do gerenciador de chaves externas. Para investigar, use suas ferramentas de gerenciamento de chaves externas. Se a chave externa for excluída permanentemente, use outra chave externa com a chave do KMS. Para obter uma lista ou requisitos da chave externa, consulte Requisitos para uma chave do KMS em um armazenamento de chaves externas.

Requisitos de chaves externas não atendidos

Quando o proxy de armazenamento de chaves externas relata que a chave externa não atende aos requisitos de uso com uma chave do KMS, a operação CreateKey apresenta falhas e retorna XksKeyInvalidConfigurationException com uma das mensagens de erro abaixo.

A especificação de chave da chave externa deve ser AES_256. A especificação de chave da chave externa especificada é <key-spec>.

• A chave externa deve ser uma chave de criptografia simétrica de 256 bits com uma especificação de chave AES_256. Se a chave externa especificada for de um tipo diferente, especifique o ID de uma chave externa que atenda a esse requisito.

O status da chave externa deve ser ENABLED. O status da chave externa especificada é <status>.

• A chave externa deve estar habilitada no gerenciador de chaves externas. Se a chave externa especificada não estiver habilitada, use as ferramentas do gerenciador de chaves externas para habilitá-la ou especifique uma chave externa habilitada.

O uso de chave da chave externa deve incluir ENCRYPT e DECRYPT. O uso de chave da chave externa especificada é <key-usage>.

• A chave externa deve estar configurada para criptografia e descriptografia no gerenciador de chaves externas. Se a chave externa especificada não incluir essas operações, use as ferramentas do gerenciador de chaves externas para alterar as operações ou especifique outra chave externa.

Erros de operação de criptografia da chave externa

Exceções: KMSInvalidStateException

Quando o proxy de armazenamento de chaves externas não consegue encontrar a chave externa associada à chave do KMS, ou quando a chave externa não atende aos requisitos de uso com uma chave do KMS, a operação de criptografia falha.

Os problemas de chave externa detectados durante uma operação de criptografia são mais difíceis de resolver do que os problemas de chave externa detectados antes de criar a chave do KMS. Você não pode alterar o ID da chave externa depois que a chave do KMS é criada. Se a chave do KMS ainda não tiver criptografado nenhum dado, você poderá excluir a chave do KMS e criar uma nova com outro ID de chave externa. No entanto, o texto cifrado gerado com a chave KMS não pode ser descriptografado por nenhuma outra chave KMS, mesmo com a mesma chave externa, porque as chaves terão metadados e materiais de chave diferentes. AWS KMS Em vez disso, na medida do possível, use suas ferramentas de gerenciamento de chaves externas para resolver o problema com a chave externa.

Quando o proxy de armazenamento de chaves externas relata um problema com a chave externa, as operações criptográficas retornam KMSInvalidStateException com uma mensagem de erro que identifica o problema.

Chave externa não encontrada

Quando o proxy externo do armazenamento de chaves relata que não consegue encontrar a chave externa usando o ID da chave externa (XksKeyId) da chave KMS, as operações criptográficas retornam a KMSInvalidStateException com a seguinte mensagem de erro.

O proxy de armazenamento de chaves externas rejeitou a solicitação porque não conseguiu localizar a chave externa.

Esse erro poderá ocorrer pelos seguintes motivos:

• O ID da chave externa (XksKeyId) da chave do KMS não é mais válido.

  Para encontrar o ID da chave externa associada à sua chave do KMS, visualize os detalhes da chave do KMS. Para encontrar o ID que o proxy de chaves externas usa para identificar a chave externa, consulte a documentação do proxy de armazenamento de chaves externas ou do gerenciador de chaves externas.

  AWS KMS verifica o ID da chave externa ao criar uma chave KMS em um armazenamento de chaves externo. Porém, o ID poderá se tornar inválido, sobretudo se o valor do ID da chave externa for um alias ou nome mutável. Você não pode alterar o ID da chave externa associada a uma chave do KMS existente. Para descriptografar qualquer texto cifrado criptografado sob a chave do KMS, é necessário associar novamente a chave externa ao ID da chave externa existente.

  Se você ainda não usou a chave do KMS para criptografar dados, poderá criar uma nova chave do KMS com um ID de chave externa válido. No entanto, se você gerou texto cifrado com a chave do KMS, não poderá usar nenhuma outra chave do KMS para descriptografar o texto cifrado, mesmo usando a mesma chave externa.

• A chave externa pode ter sido excluída do gerenciador de chaves externas. Para investigar, use suas ferramentas de gerenciamento de chaves externas. Se possível, tente recuperar o material de chave de uma cópia ou backup do gerenciador de chaves externas. Se a chave externa for excluída permanentemente, todo texto cifrado criptografado sob a chave do KMS associada se tornará irrecuperável.

Erros de configuração de chave externa

Quando o proxy de armazenamento de chaves externas relata que a chave externa não atende aos requisitos de uso com uma chave do KMS, a operação criptográfica retorna KMSInvalidStateException com uma das mensagens de erro abaixo.

O proxy de armazenamento de chaves externas rejeitou a solicitação porque a chave externa não é compatível com a operação solicitada.

• A chave externa deve oferecer suporte a criptografia e descriptografia. Se o uso da chave não incluir criptografia e descriptografia, use suas ferramentas de gerenciamento de chaves externas para alterar o uso da chave.

O proxy de armazenamento de chaves externas rejeitou a solicitação porque a chave externa não está habilitada no gerenciador de chaves externas.

• A chave externa deve estar habilitada e disponível para uso no gerenciador de chaves externas. Se o status da chave externa não for Enabled, use as ferramentas do gerenciador de chaves externas para habilitá-la.

Problemas de proxy

Exceções:

CustomKeyStoreInvalidStateException (CreateKey), KMSInvalidStateException (operações de criptografia), UnsupportedOperationException, XksProxyUriUnreachableException, XksProxyInvalidResponseException (operações de gerenciamento, exceto CreateKey)

O proxy externo do armazenamento de chaves medeia toda a comunicação entre AWS KMS e o gerenciador de chaves externo. Ele traduz AWS KMS solicitações genéricas em um formato que seu gerente de chaves externo possa entender. Se o proxy externo do armazenamento de chaves não estiver em conformidade com a especificação da API AWS KMS External Key Store Proxy, se não estiver operando corretamente ou não conseguir se comunicar com ele AWS KMS, você não poderá criar ou usar chaves KMS no seu armazenamento de chaves externo.

Embora muitos erros mencionem o proxy de armazenamento de chaves externas por causa de seu papel essencial na arquitetura de armazenamento de chaves externas, esses problemas podem se originar no gerenciador de chaves externas ou na chave externa.

Os problemas nesta seção estão relacionados a problemas no design ou na operação do proxy de armazenamento de chaves externas. A solução desses problemas pode exigir uma alteração no software do proxy. Consulte o administrador do proxy. Para ajudar a diagnosticar problemas de proxy, o AWS KMS fornece o XKS Proxy Text Client, um cliente de teste de código aberto que verifica se seu proxy de armazenamento de chaves externas está em conformidade com a AWS KMS External Key Store Proxy API Specification (Especificação da API de proxy de armazenamento de chaves externas do ).

CustomKeyStoreInvalidStateException, KMSInvalidStateException ou XksProxyUriUnreachableException O proxy de armazenamento de chaves externas está no estado não íntegro. Caso veja essa mensagem repetidamente, notifique o administrador do proxy de armazenamento de chaves externas.

• Esse erro pode indicar um problema operacional ou erro de software no proxy de armazenamento de chaves externas. Você pode encontrar entradas de CloudTrail registro para a operação AWS KMS da API que gerou cada erro. É possível resolver esse erro repetindo a operação. No entanto, se persistir, notifique o administrador do proxy de armazenamento de chaves externas.

• Quando o proxy do armazenamento de chaves externo relata (em GetHealthStatusresposta) que todas as instâncias externas do gerenciador de chaves sãoUNAVAILABLE, as tentativas de criar ou atualizar um armazenamento de chaves externo falham com essa exceção. Se esse erro persistir, consulte a documentação do gerenciador de chaves externas.

CustomKeyStoreInvalidStateException, KMSInvalidStateException ou XksProxyInvalidResponseException AWS KMS não é possível interpretar a resposta do proxy externo do armazenamento de chaves. Caso veja esse erro repetidamente, consulte o administrador do proxy de armazenamento de chaves externas.

• AWS KMS as operações geram essa exceção quando o proxy retorna uma resposta indefinida que AWS KMS não pode ser analisada ou interpretada. Esse erro poderá ocorrer ocasionalmente devido a problemas externos temporários ou a erros de rede esporádicos. Porém, se persistir, isso pode indicar que o proxy do armazenamento de chaves externas não está em conformidade com a AWS KMS External Key Store Proxy API Specification (Especificação da API de proxy de armazenamento de chaves externas do ). Notifique o administrador ou fornecedor do armazenamento de chaves externas.

CustomKeyStoreInvalidStateException, KMSInvalidStateException ou UnsupportedOperationException O proxy de armazenamento de chaves externas rejeitou a solicitação porque não é compatível com a operação de criptografia solicitada.

• O proxy de armazenamento de chaves externas deve oferecer suporte a todas as APIs de proxy definidas na AWS KMS External Key Store Proxy API Specification (Especificação da API de proxy do armazenamento de chaves externas do ). Esse erro indica que o proxy não é compatível com a operação relacionada à solicitação. Notifique o administrador ou fornecedor do armazenamento de chaves externas.

Problemas de autorização de proxy

Exceções: CustomKeyStoreInvalidStateException, KMSInvalidStateException

Alguns proxies de armazenamento de chaves externas implementam requisitos de autorização para o uso de suas chaves externas. O proxy de armazenamento de chaves externas é permitido, mas não obrigatório, para criar e implementar um esquema de autorização que permita que usuários específicos solicitem operações específicas sob certas condições. Por exemplo, o proxy pode dar ao usuário A permissão para criptografar com uma chave externa específica, mas não para descriptografar com ela. Para ter mais informações, consulte Autorização de proxy de armazenamento de chaves externas (opcional).

A autorização de proxy é baseada nos metadados AWS KMS incluídos em suas solicitações ao proxy. Os campos awsSourceVpc e awsSourceVpce são incluídos nos metadados somente quando a solicitação vem de um endpoint da VPC e somente quando o autor da chamada está na mesma conta da chave do KMS.

"requestMetadata": {
    "awsPrincipalArn": string,
    "awsSourceVpc": string, // optional
    "awsSourceVpce": string, // optional
    "kmsKeyArn": string,
    "kmsOperation": string,
    "kmsRequestId": string,
    "kmsViaService": string // optional
}

Quando o proxy rejeita uma solicitação devido a uma falha na autorização, a AWS KMS operação relacionada falha. CreateKeydevoluçõesCustomKeyStoreInvalidStateException. AWS KMS as operações criptográficas retornamKMSInvalidStateException. Ambos usam esta mensagem de erro:

O proxy de armazenamento de chaves externas negou o acesso à operação. Verifique se o usuário e a chave externa estão autorizados para essa operação e repita a solicitação.

• Para resolver o erro, use o gerenciador de chaves externas ou as ferramentas de proxy de armazenamento de chaves externas para determinar por que a autorização falhou. Em seguida, atualize o procedimento que causou a solicitação não autorizada ou use suas ferramentas de proxy de armazenamento de chaves externas para atualizar a política de autorização. Você não pode solucionar este erro no AWS KMS.