Löschen von AWS KMS keys - AWS Key Management Service
Über die WartezeitLöschen asymmetrischer KMS-SchlüsselLöschen von multiregionalen SchlüsselnLöschen von KMS-Schlüsseln mit importiertem Schlüsselmaterial

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Löschen von AWS KMS keys

Das Löschen eines AWS KMS key ist ein endgültiger und potenziell gefährlicher Vorgang. Damit löschen Sie das Schlüsselmaterial und alle Metadaten im Zusammenhang mit dem KMS-Schlüssel. Dies kann nicht rückgängig gemacht werden. Nach dem Löschen eines KMS-Schlüssels können Sie die Daten nicht mehr entschlüsseln, die mit diesem KMS-Schlüssel verschlüsselt wurden. Das bedeutet, dass die Daten nicht wiederhergestellt werden können. (Die einzigen Ausnahmen sind Replikatschlüssel für mehrere Regionen sowie asymmetrische und HMAC-KMS-Schlüssel mit importiertem Schlüsselmaterial.) Dieses Risiko ist bei asymmetrischen KMS-Schlüsseln, die zur Verschlüsselung verwendet werden, erheblich, da Benutzer ohne Warnung oder Fehler weiterhin Geheimtexte mit dem öffentlichen Schlüssel generieren können, die nicht entschlüsselt werden können, nachdem der private Schlüssel aus AWS KMS gelöscht wurde.

Löschen Sie einen KMS-Schlüssel nur, wenn Sie sicher sind, dass Sie ihn nicht mehr benötigen. Wenn Sie nicht sicher sind, sollten Sie den KMS-Schlüssel deaktivieren, anstatt ihn zu löschen. Sie können einen deaktivierten KMS-Schlüssel wieder aktivieren und die geplante Löschung eines Schlüssels abbrechen. Ein gelöschter KMS-Schlüssel kann jedoch nicht wiederhergestellt werden.

Sie können nur das Löschen eines vom Kunden verwalteten Schlüssels planen. Sie können Von AWS verwaltete Schlüssel oder AWS-eigene Schlüssel nicht löschen.

Bevor Sie einen KMS-Schlüssel löschen, möchten Sie vielleicht wissen, wie viele Chiffretexte unter diesem KMS-Schlüssel verschlüsselt wurden. AWS KMS speichert diese Information nicht und speichert keine der Chiffretexte. Um diese Informationen abzurufen, müssen Sie selbst die bisherige Nutzung eines KMS-Schlüssels feststellen. Um Hilfe zu erhalten, gehen Sie zu Feststellen der früheren Nutzung eines KMS-Schlüssels.

AWS KMS löscht Ihre KMS-Schlüssel niemals, es sei denn, Sie planen sie explizit zum Löschen und die obligatorische Wartezeit ist abgelaufen.

Für die Löschung eines KMS-Schlüssels können jedoch verschiedene Gründe sprechen:

  • Der Lebenszyklus eines nicht mehr benötigten KMS-Schlüssels soll beendet werden.

  • Der Aufwand und der Preis im Zusammenhang mit der Erhaltung ungenutzter KMS-Schlüssel sollen vermieden werden.

  • Die Anzahl der KMS-Schlüssel, die auf das KMS-Schlüsselressourcen-Kontingent angerechnet werden, soll verringert werden.

Anmerkung

Wenn Sie Ihr AWS-Konto schließen, werden Ihre KMS-Schlüssel unzugänglich und sie werden Ihnen nicht mehr in Rechnung gestellt.

AWS KMS zeichnet einen Eintrag in Ihrem AWS CloudTrail-Protokoll auf, wenn Sie für den KMS-Schlüssel das Löschen planen und wenn der KMS-Schlüssel tatsächlich gelöscht wird.

Informationen zum Löschen von multiregionalen Primär- und Replikatschlüsseln finden Sie unter Löschen von multiregionalen Schlüsseln.

Themen

Über die Wartezeit

Da es sich beim Löschen eines KMS-Schlüssels um einen endgültig und potenziell gefährlichen Vorgang handelt, erfordert AWS KMS, dass Sie eine Wartezeit von 7–30 Tagen festlegen. Die Standardwartezeit beträgt 30 Tage.

Die tatsächliche Wartezeit kann jedoch bis zu 24 Stunden länger sein als die, die Sie geplant haben. Um das tatsächliche Datum und die Uhrzeit zu erhalten, zu der der KMS-Schlüssel gelöscht wird, verwenden Sie die -DescribeKeyOperation. Oder shcauen Sie in der AWS KMS-Konsole auf der Detailseite für den KMS-Schlüssel im Abschnitt General configuration (allgemeine Konfiguration) unter Scheduled deletion date (geplantes Löschdatum). Achten Sie darauf, die Zeitzone zu notieren.

Während der Wartezeit lauten der KMS-Schlüssel-Status und der Schlüsselstatus Pending deletion (Löschung ausstehend).

Nach Ablauf der Wartezeit, löscht AWS KMS den KMS-Schlüssel, seine Aliasse und alle zugehörigen AWS KMS-Metadaten.

Die Planung des Löschens eines KMS-Schlüssels wirkt sich möglicherweise nicht sofort auf Datenschlüssel aus, die mit dem KMS-Schlüssel verschlüsselt wurden. Details hierzu finden Sie unter Wie sich unbrauchbare KMS Schlüssel auf Datenschlüssel auswirken.

Nutzen Sie die Wartezeit, um sicher zu stellen, dass Sie den KMS-Schlüssel jetzt oder in der Zukunft nicht mehr benötigen. Sie können einen Amazon CloudWatch-Alarm so konfigurieren, dass Sie gewarnt werden, wenn eine Person oder Anwendung versucht, den KMS-Schlüssel während der Wartezeit zu verwenden. Um den KMS-Schlüssel wiederherzustellen, können Sie die Löschung des Schlüssels abbrechen, bevor die Wartezeit endet. Nach dem Ende der Wartezeit können Sie die Löschung des Schlüssels nicht abbrechen. Der KMS-Schlüssel wird dann durch AWS KMS gelöscht.

Löschen asymmetrischer KMS-Schlüssel

Benutzer mit entsprechender Autorisierung können symmetrische oder asymmetrische KMS-Schlüssel löschen. Das Verfahren zum Planen des Löschens dieser KMS-Schlüssel ist für beide Arten von Schlüsseln gleich. Da jedoch der öffentliche Schlüssel eines asymmetrischen KMS-Schlüssels heruntergeladen und außerhalb von AWS KMS verwendet werden kann, stellt die Operation erhebliche zusätzliche Risiken dar, insbesondere bei asymmetrischen KMS-Schlüsseln, die für die Verschlüsselung verwendet werden (die Schlüsselnutzung ist ENCRYPT_DECRYPT).

  • Wenn Sie das Löschen eines KMS-Schlüssels planen, ändert sich der Schlüsselstatus des KMS-Schlüssels zu Pending deletion (Löschung ausstehend) und der KMS-Schlüssel kann nicht in kryptografischen Operationen verwendet werden. Die Planung des Löschens hat jedoch keine Auswirkungen auf öffentliche Schlüssel außerhalb von AWS KMS. Benutzer, die über den öffentlichen Schlüssel verfügen, können ihn weiterhin zum Verschlüsseln von Nachrichten verwenden. Sie erhalten keine Benachrichtigung, dass sich der Schlüsselstatus geändert hat. Wenn der Löschvorgang nicht abgebrochen wird, kann der mit dem öffentlichen Schlüssel erstellte Chiffretext nicht entschlüsselt werden.

  • Alarme, Protokolle und andere Strategien, die die versuchte Verwendung eines KMS-Schlüssels erkennen, dessen Löschung aussteht, können die Verwendung des öffentlichen Schlüssels außerhalb von AWS KMS nicht erkennen.

  • Wenn der KMS-Schlüssel gelöscht wird, schlagen alle AWS KMS-Aktionen mit diesem KMS-Schlüssel fehl. Benutzer, die über den öffentlichen Schlüssel verfügen, können sie jedoch weiterhin zum Verschlüsseln von Nachrichten verwenden. Diese Chiffretexte können nicht entschlüsselt werden.

Wenn Sie einen asymmetrischen KMS-Schlüssel mit der Schlüsselnutzung löschen müssenENCRYPT_DECRYPT, verwenden Sie Ihre CloudTrail Protokolleinträge, um festzustellen, ob der öffentliche Schlüssel heruntergeladen und freigegeben wurde. Wenn dies der Fall ist, stellen Sie sicher, dass der öffentliche Schlüssel außerhalb von AWS KMS nicht verwendet wird. Ziehen Sie dann in Betracht, den KMS-Schlüssel zu deaktivieren, anstatt ihn zu löschen.

Das Risiko, das durch das Löschen eines asymmetrischen KMS-Schlüssels entsteht, wird für asymmetrische KMS-Schlüssel mit importiertem Schlüsselmaterial verringert. Details hierzu finden Sie unter Löschen eines KMS-Schlüssels mit importiertem Schlüsselmaterial.

Löschen von multiregionalen Schlüsseln

Benutzer, die autorisiert sind, können das Löschen von multiregionalen Primär- und Replikatschlüsseln planen. AWS KMS löscht jedoch keinen multiregionalen Primärschlüssel, der Replikatschlüssel enthält. Solange der Primärschlüssel vorhanden ist, können Sie auch einen gelöschten multiregionalen Replikatschlüssel neu erstellen. Details hierzu finden Sie unter Löschen von multiregionalen Schlüsseln.

Löschen von KMS-Schlüsseln mit importiertem Schlüsselmaterial

Autorisierte Benutzer können das Löschen von KMS-Schlüsseln mit importiertem Schlüsselmaterial planen. Durch diese Aktion werden der KMS-Schlüssel, sein Schlüsselmaterial und alle Metadaten, die dem KMS-Schlüssel zugeordnet sind, dauerhaft gelöscht.

Sie können keinen neuen KMS-Schlüssel für die symmetrische Verschlüsselung erstellen, mit dem die Geheimtexte eines gelöschten symmetrischen Verschlüsselungsschlüssels mit importiertem Schlüsselmaterial entschlüsselt werden können, selbst wenn Sie über eine Kopie des zugehörigen Schlüsselmaterials verfügen. Wenn Sie jedoch über das Schlüsselmaterial verfügen, können Sie einen asymmetrischen KMS-Schlüssel oder HMAC-KMS-Schlüssel mit importiertem Schlüsselmaterial effektiv neu erstellen. Details hierzu finden Sie unter Löschen eines KMS-Schlüssels mit importiertem Schlüsselmaterial.