Lösche eine AWS KMS keys - AWS Key Management Service
Über die WartezeitBesondere Überlegungen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Lösche eine AWS KMS keys

Das Löschen von AWS KMS key ist destruktiv und potenziell gefährlich. Es löscht das Schlüsselmaterial und alle mit dem KMS Schlüssel verknüpften Metadaten und ist irreversibel. Nach dem Löschen eines KMS Schlüssels können Sie die Daten, die mit diesem KMS Schlüssel verschlüsselt wurden, nicht mehr entschlüsseln, was bedeutet, dass Daten nicht mehr wiederhergestellt werden können. (Die einzigen Ausnahmen sind Replikatschlüssel mit mehreren Regionen und asymmetrische Schlüssel sowie Schlüssel mit importiertem HMAC KMS Schlüsselmaterial.) Dieses Risiko ist erheblich bei asymmetrischen KMS Schlüsseln, die für die Verschlüsselung verwendet werden, bei denen Benutzer ohne Warnung oder Fehler weiterhin Chiffretexte mit dem öffentlichen Schlüssel generieren können, die nach dem Löschen des privaten Schlüssels nicht entschlüsselt werden können. AWS KMS

Sie sollten einen KMS Schlüssel nur löschen, wenn Sie sicher sind, dass Sie ihn nicht mehr benötigen. Wenn Sie sich nicht sicher sind, sollten Sie erwägen, den KMS Schlüssel zu deaktivieren, anstatt ihn zu löschen. Sie können einen deaktivierten KMS Schlüssel wieder aktivieren und das geplante Löschen eines KMS Schlüssels abbrechen, aber Sie können einen gelöschten KMS Schlüssel nicht wiederherstellen.

Sie können nur das Löschen eines vom Kunden verwalteten Schlüssels planen. Sie können nicht löschen Von AWS verwaltete Schlüssel oder AWS-eigene Schlüssel.

Bevor Sie einen KMS Schlüssel löschen, möchten Sie vielleicht wissen, wie viele Chiffretexte unter diesem KMS Schlüssel verschlüsselt wurden. AWS KMS speichert diese Informationen nicht und speichert auch keinen der Chiffretexte. Um diese Informationen zu erhalten, müssen Sie die frühere Verwendung eines KMS Schlüssels ermitteln. Um Hilfe zu erhalten, gehen Sie zu Ermitteln Sie die frühere Verwendung eines KMS Schlüssels.

AWS KMS löscht Ihre KMS Schlüssel niemals, es sei denn, Sie planen ausdrücklich, dass sie gelöscht werden und die vorgeschriebene Wartezeit abgelaufen ist.

Sie können sich jedoch aus einem oder mehreren der folgenden Gründe dafür entscheiden, einen KMS Schlüssel zu löschen:

  • Um den Schlüssellebenszyklus für KMS Schlüssel abzuschließen, die Sie nicht mehr benötigen

  • Um den Verwaltungsaufwand und die Kosten zu vermeiden, die mit der Aufbewahrung ungenutzter KMS Schlüssel verbunden sind

  • Um die Anzahl der KMS Schlüssel zu reduzieren, die auf Ihr KMSSchlüsselressourcenkontingent angerechnet werden

Anmerkung

Wenn Sie Ihre schließen AWS-Konto, können Sie nicht mehr auf Ihre KMS Schlüssel zugreifen und sie werden Ihnen nicht mehr in Rechnung gestellt.

AWS KMS zeichnet einen Eintrag in Ihrem AWS CloudTrail Protokoll auf, wenn Sie das Löschen des KMS Schlüssels planen und wann der KMSSchlüssel tatsächlich gelöscht wird.

Über die Wartezeit

Da das Löschen eines KMS Schlüssels zerstörerisch und potenziell gefährlich ist, AWS KMS müssen Sie eine Wartezeit von 7 bis 30 Tagen festlegen. Die Standardwartezeit beträgt 30 Tage.

Die tatsächliche Wartezeit kann jedoch bis zu 24 Stunden länger sein als die, die Sie geplant haben. Verwenden Sie den DescribeKeyVorgang, um das tatsächliche Datum und die Uhrzeit der Löschung des KMS Schlüssels zu ermitteln. Oder sehen Sie sich in der AWS KMS Konsole auf der Detailseite für den KMS Schlüssel im Abschnitt Allgemeine Konfiguration das Datum des geplanten Löschvorgangs an. Achten Sie darauf, die Zeitzone zu notieren.

Während der Wartezeit lautet der KMS Schlüsselstatus und der Schlüsselstatus Ausstehende Löschung.

AWS KMS Löscht nach Ablauf der Wartezeit den KMS Schlüssel, seine Aliase und alle zugehörigen AWS KMS Metadaten.

Die Planung des Löschens eines KMS Schlüssels wirkt sich möglicherweise nicht sofort auf Datenschlüssel aus, die mit dem KMS Schlüssel verschlüsselt wurden. Details hierzu finden Sie unter Wie sich unbrauchbare KMS Schlüssel auf Datenschlüssel auswirken.

Nutzen Sie die Wartezeit, um sicherzustellen, dass Sie den KMS Schlüssel jetzt oder in future nicht benötigen. Sie können einen CloudWatch Amazon-Alarm so konfigurieren, dass er Sie warnt, wenn eine Person oder Anwendung versucht, den KMS Schlüssel während der Wartezeit zu verwenden. Um den KMS Schlüssel wiederherzustellen, können Sie das Löschen des Schlüssels vor Ablauf der Wartezeit abbrechen. Nach Ablauf der Wartezeit können Sie das Löschen des Schlüssels nicht mehr abbrechen und der KMS Schlüssel AWS KMS wird gelöscht.

Besondere Überlegungen

Bevor Sie die Löschung Ihrer Schlüssel planen, sollten Sie sich die folgenden besonderen Überlegungen zum Löschen von KMS Schlüsseln für besondere Zwecke ansehen.

Löschen von asymmetrischen Schlüsseln KMS

Autorisierte Benutzer können symmetrische oder KMS asymmetrische Schlüssel löschen. Das Verfahren zum Planen des Löschens dieser KMS Schlüssel ist für beide Schlüsseltypen gleich. Da der öffentliche Schlüssel eines asymmetrischen KMS Schlüssels jedoch heruntergeladen und außerhalb von verwendet werden kann AWS KMS, birgt der Vorgang erhebliche zusätzliche Risiken, insbesondere bei asymmetrischen KMS Schlüsseln, die zur Verschlüsselung verwendet werden (die Schlüsselverwendung istENCRYPT_DECRYPT).

  • Wenn Sie das Löschen eines KMS Schlüssels planen, ändert sich der Schlüsselstatus des KMS Schlüssels in Ausstehende Löschung, und der KMS Schlüssel kann nicht für kryptografische Operationen verwendet werden. Die Planung des Löschvorgangs hat jedoch keine Auswirkungen auf öffentliche Schlüssel außerhalb von AWS KMS. Benutzer, die über den öffentlichen Schlüssel verfügen, können ihn weiterhin zum Verschlüsseln von Nachrichten verwenden. Sie erhalten keine Benachrichtigung, dass sich der Schlüsselstatus geändert hat. Wenn der Löschvorgang nicht abgebrochen wird, kann der mit dem öffentlichen Schlüssel erstellte Chiffretext nicht entschlüsselt werden.

  • Alarme, Protokolle und andere Strategien, die versuchen, einen KMS Schlüssel zu verwenden, dessen Löschung noch aussteht, können die Verwendung des öffentlichen Schlüssels außerhalb von nicht erkennen AWS KMS.

  • Wenn der KMS Schlüssel gelöscht wird, schlagen alle AWS KMS Aktionen fehl, die diesen KMS Schlüssel betreffen. Benutzer, die über den öffentlichen Schlüssel verfügen, können sie jedoch weiterhin zum Verschlüsseln von Nachrichten verwenden. Diese Chiffretexte können nicht entschlüsselt werden.

Wenn Sie einen asymmetrischen KMS Schlüssel mit einer Schlüsselverwendung von löschen müssenENCRYPT_DECRYPT, ermitteln Sie anhand Ihrer CloudTrail Protokolleinträge, ob der öffentliche Schlüssel heruntergeladen und geteilt wurde. Wenn dies der Fall ist, stellen Sie sicher, dass der öffentliche Schlüssel außerhalb von AWS KMS nicht verwendet wird. Erwägen Sie dann, den KMS Schlüssel zu deaktivieren, anstatt ihn zu löschen.

Das Risiko, das durch das Löschen eines asymmetrischen KMS Schlüssels entsteht, wird bei asymmetrischen KMS Schlüsseln mit importiertem Schlüsselmaterial gemindert. Details hierzu finden Sie unter Deleting KMS keys with imported key material.

Löschen von Schlüsseln mit mehreren Regionen

Um einen Primärschlüssel zu löschen, müssen Sie das Löschen all seiner Replikatschlüssel planen und dann warten, bis die Replikatschlüssel gelöscht werden. Die erforderliche Wartezeit für das Löschen eines Primärschlüssels beginnt, wenn der letzte seiner Replikatschlüssel gelöscht wird. Wenn Sie einen Primärschlüssel aus einer bestimmten Region löschen müssen, ohne dessen Replikatschlüssel zu löschen, ändern Sie den Primärschlüssel in einen Replikatschlüssel, indem Sie die primäre Region aktualisieren.

Sie können einen Replikatschlüssel jederzeit löschen. Dies hängt nicht vom Schlüsselstatus eines anderen KMS Schlüssels ab. Wenn Sie versehentlich einen Replikatschlüssel löschen, können Sie ihn neu erstellen, indem Sie denselben Primärschlüssel in derselben Region replizieren. Der neue Replikatschlüssel, den Sie erstellen, hat die gleichen gemeinsamen Eigenschaften wie der ursprüngliche Replikatschlüssel.

Löschen von KMS Schlüsseln mit importiertem Schlüsselmaterial

Das Löschen des Schlüsselmaterials eines KMS Schlüssels mit importiertem Schlüsselmaterial ist temporär und kann rückgängig gemacht werden. Um den Schlüssel wiederherzustellen, importieren Sie das zugehörige Schlüsselmaterial erneut.

Im Gegensatz dazu ist das Löschen eines KMS Schlüssels irreversibel. Wenn Sie das Löschen eines Schlüssels planen und die erforderliche Wartezeit abläuft, werden der KMS Schlüssel, sein Schlüsselmaterial und alle mit dem Schlüssel verknüpften Metadaten AWS KMS dauerhaft und unwiderruflich gelöscht. KMS

Das Risiko und die Folgen des Löschens eines KMS Schlüssels mit importiertem Schlüsselmaterial hängen jedoch vom Typ („Schlüsselspezifikation“) des Schlüssels ab. KMS

  • Symmetrische Verschlüsselungsschlüssel — Wenn Sie einen symmetrischen Verschlüsselungsschlüssel löschen, können alle verbleibenden Chiffretexte, die mit diesem KMS Schlüssel verschlüsselt wurden, nicht wiederhergestellt werden. Sie können keinen neuen symmetrischen KMS Verschlüsselungsschlüssel erstellen, mit dem die Chiffretexte eines gelöschten symmetrischen Verschlüsselungsschlüssels entschlüsselt werden können, selbst wenn Sie über dasselbe Schlüsselmaterial verfügen. KMS Für jeden KMS Schlüssel eindeutige Metadaten sind kryptografisch an jeden symmetrischen Chiffretext gebunden. Diese Sicherheitsfunktion garantiert, dass nur der KMS Schlüssel, mit dem der symmetrische Chiffretext verschlüsselt wurde, ihn entschlüsseln kann, verhindert jedoch, dass Sie einen gleichwertigen Schlüssel neu erstellen können. KMS

  • Asymmetrisch und HMAC Schlüssel — Wenn Sie über das ursprüngliche Schlüsselmaterial verfügen, können Sie einen neuen Schlüssel mit denselben kryptografischen Eigenschaften wie ein asymmetrischer KMS Schlüssel oder ein gelöschter Schlüssel erstellen. HMAC KMS AWS KMS generiert RSA Standard-Chiffretexte und Signaturen, ECC Signaturen und HMAC Tags, die keine eindeutigen Sicherheitsmerkmale enthalten. Sie können auch einen HMAC Schlüssel oder den privaten Schlüssel eines asymmetrischen key pair außerhalb von AWS verwenden.

    Ein neuer KMS Schlüssel, den Sie mit demselben asymmetrischen oder HMAC Schlüsselmaterial erstellen, hat eine andere Schlüssel-ID. Sie müssen eine neue Schlüsselrichtlinie erstellen, alle Aliase neu erstellen und bestehende IAM Richtlinien und Zuschüsse aktualisieren, damit sie auf den neuen Schlüssel verweisen.

KMSSchlüssel aus einem AWS CloudHSM Schlüsselspeicher löschen

Wenn Sie das Löschen eines KMS Schlüssels aus einem AWS CloudHSM Schlüsselspeicher planen, ändert sich sein Schlüsselstatus in Ausstehende Löschung. Der KMS Schlüssel verbleibt während der gesamten Wartezeit im Status Ausstehende Löschung, auch wenn der KMS Schlüssel nicht mehr verfügbar ist, weil Sie die Verbindung zum benutzerdefinierten Schlüsselspeicher getrennt haben. Auf diese Weise können Sie das Löschen des KMS Schlüssels während der Wartezeit jederzeit abbrechen.

Wenn die Wartezeit abgelaufen ist, AWS KMS löscht den KMS Schlüssel von AWS KMS. AWS KMS bemüht sich dann nach besten Kräften, das Schlüsselmaterial aus dem zugehörigen AWS CloudHSM Cluster zu löschen. Wenn AWS KMS Schlüsselmaterial nicht löschen kann, beispielsweise, wenn der Schlüsselspeicher von AWS KMS getrennt wurde, müssen Sie möglicherweise verwaistes Schlüsselmaterial manuell aus dem Cluster löschen.

AWS KMS löscht das Schlüsselmaterial nicht aus Cluster-Backups. Selbst wenn Sie den KMS Schlüssel AWS KMS und das zugehörige Schlüsselmaterial aus Ihrem AWS CloudHSM Cluster löschen, können aus Backups erstellte Cluster das gelöschte Schlüsselmaterial enthalten. Um das Schlüsselmaterial dauerhaft zu löschen, verwenden Sie den DescribeKeyVorgang, um das Erstellungsdatum des KMS Schlüssels zu ermitteln. Löschen Sie dann Cluster-Sicherungen, die das Schlüsselmaterial noch enthalten könnten.

Wenn Sie das Löschen eines KMS Schlüssels aus einem AWS CloudHSM Schlüsselspeicher planen, wird der KMS Schlüssel sofort unbrauchbar (vorbehaltlich der eventuellen Konsistenz). Ressourcen, die mit durch den KMSSchlüssel geschützten Datenschlüsseln verschlüsselt wurden, sind jedoch erst betroffen, wenn der KMS Schlüssel erneut verwendet wird, z. B. zum Entschlüsseln des Datenschlüssels. Dieses Problem betrifft AWS-Services, dass viele von ihnen Datenschlüssel verwenden, um Ihre Ressourcen zu schützen. Details hierzu finden Sie unter Wie sich unbrauchbare KMS Schlüssel auf Datenschlüssel auswirken.

Löschen von KMS Schlüsseln aus einem externen Schlüsselspeicher

Das Löschen eines KMS Schlüssels aus einem externen Schlüsselspeicher hat keine Auswirkungen auf den externen Schlüssel, der als Schlüsselmaterial diente.

Wenn Sie das Löschen eines KMS Schlüssels aus einem externen Schlüsselspeicher planen, ändert sich sein Schlüsselstatus in Ausstehende Löschung. Der KMS Schlüssel verbleibt während der gesamten Wartezeit im Status Ausstehende Löschung, auch wenn der KMS Schlüssel nicht mehr verfügbar ist, weil Sie die Verbindung zum externen Schlüsselspeicher getrennt haben. Auf diese Weise können Sie das Löschen des KMS Schlüssels während der Wartezeit jederzeit abbrechen. Wenn die Wartezeit abgelaufen ist, AWS KMS löscht den KMS Schlüssel von AWS KMS.

Wenn Sie das Löschen eines KMS Schlüssels aus einem externen Schlüsselspeicher planen, wird der KMS Schlüssel sofort unbrauchbar (vorbehaltlich der eventuellen Konsistenz). Ressourcen, die mit durch den KMSSchlüssel geschützten Datenschlüsseln verschlüsselt wurden, sind jedoch erst betroffen, wenn der KMS Schlüssel erneut verwendet wird, z. B. zum Entschlüsseln des Datenschlüssels. Dieses Problem betrifft AWS-Services, von denen viele Datenschlüssel verwenden, um Ihre Ressourcen zu schützen. Details hierzu finden Sie unter Wie sich unbrauchbare KMS Schlüssel auf Datenschlüssel auswirken.