Aliase in AWS KMS

Ein Alias ist keine Eigenschaft eines KMS-Schlüssels. Die Aktionen, die Sie für den Alias ausführen, wirken sich nicht auf den zugeordneten KMS-Schlüssel aus. Sie können einen Alias für einen KMS-Schlüssel erstellen und dann den Alias aktualisieren, damit er einem anderen KMS-Schlüssel zugeordnet ist. Sie können den Alias sogar löschen, ohne dass sich auf den zugeordneten KMS-Schlüssel auswirkt. Wenn Sie jedoch einen KMS-Schlüssel löschen, werden alle Aliasse gelöscht, die diesem KMS-Schlüssel zugeordnet sind.

Wenn Sie einen Alias als Ressource in einer IAM-Richtlinie angeben, bezieht sich die Richtlinie auf den Alias und nicht auf den zugeordneten KMS-Schlüssel.

Wenn Sie einen Alias erstellen, geben Sie den Aliasnamen an. AWS KMS erstellt den Alias ARN für Sie.

Aliase können in CloudTrail Protokollen und anderen Ausgaben im Klartext angezeigt werden. Geben Sie keine vertraulichen oder sensiblen Informationen in den Alias-Namen ein.

Der Alias und sein KMS-Schlüssel müssen sich im selben Konto und in derselben Region befinden.

Sie können jedem vom Kunden verwalteten Schlüssel in derselben AWS-Konto Region einen Alias zuordnen. Sie haben jedoch keine Berechtigung, einen Alias einem Von AWS verwalteter Schlüssel zuzuordnen.

Diese ListAliasesAusgabe zeigt beispielsweise, dass der test-key Alias genau einem KMS-Zielschlüssel zugeordnet ist, der durch die TargetKeyId Eigenschaft dargestellt wird.

{
     "AliasName": "alias/test-key",
     "AliasArn": "arn:aws:kms:us-west-2:111122223333:alias/test-key",
     "TargetKeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
     "CreationDate": 1593622000.191,
     "LastUpdatedDate": 1593622000.191
}

Beispielsweise können Sie die test-key- und project-key-Aliasse demselben KMS-Schlüssel zuordnen.

{
     "AliasName": "alias/test-key",
     "AliasArn": "arn:aws:kms:us-west-2:111122223333:alias/test-key",
     "TargetKeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
     "CreationDate": 1593622000.191,
     "LastUpdatedDate": 1593622000.191
},
{
     "AliasName": "alias/project-key",
     "AliasArn": "arn:aws:kms:us-west-2:111122223333:alias/project-key",
     "TargetKeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
     "CreationDate": 1516435200.399,
     "LastUpdatedDate": 1516435200.399
}

Zum Beispiel können Sie nur einen test-key-Alias in jedem Konto und in jeder Region haben. Aliasse beachten die Groß-/Kleinschreibung, aber Aliasse, die sich nur in ihrer Großschreibung unterscheiden, sind sehr fehleranfällig. Sie können keinen Aliasnamen ändern. Sie können den Alias jedoch löschen und einen neuen Alias mit dem gewünschten Namen erstellen.

Sie können beispielsweise einen finance-key-Alias In USA Ost (Nord-Virginia) und einen finance-key-Alias in Europa (Frankfurt) haben. Jeder Alias wäre einem KMS-Schlüssel in seiner Region zugeordnet. Wenn Ihr Code auf einen Aliasnamen wie alias/finance-key verweist, können Sie ihn in mehreren Regionen ausführen. In jeder Region wird ein anderer KMS-Schlüssel verwendet. Details hierzu finden Sie unter Erfahren Sie, wie Sie Aliase in Ihren Anwendungen verwenden.

Sie können den UpdateAliasVorgang verwenden, um einen Alias einem anderen KMS-Schlüssel zuzuordnen. Wenn beispielsweise der finance-key-Alias dem 1234abcd-12ab-34cd-56ef-1234567890ab-KMS-Schlüssel zugeordnet ist, verwenden, können Sie ihn so aktualisieren, dass er dem 0987dcba-09fe-87dc-65ba-ab0987654321-KMS-Schlüssel zugeordnet wird.

Der aktuelle KMS-Schlüssel und der neue KMS-Schlüssel müssen jedoch vom selben Typ sein (beide symmetrisch oder beide asymmetrisch oder beide HMAC) und die gleiche Schlüsselnutzung (ENCRYPT_DECRYPT oder SIGN_VERIFY oder GENERATE_VERIFY_MAC) aufweisen. Diese Beschränkung verhindert Fehler in Code, der Aliasse verwendet. Wenn Sie einen Alias einem anderen Schlüsseltyp zuordnen müssen und die Risiken verringert haben, können Sie den Alias löschen und neu erstellen.

Wenn Sie einen KMS-Schlüssel in der AWS KMS Konsole erstellen, müssen Sie ihm einen neuen Alias geben. Ein Alias ist jedoch nicht erforderlich, wenn Sie den CreateKeyVorgang zum Erstellen eines KMS-Schlüssels verwenden. Sie können den UpdateAliasVorgang auch verwenden, um den KMS-Schlüssel zu ändern, der einem Alias zugeordnet ist, und den DeleteAliasVorgang zum Löschen eines Alias verwenden. Daher könnten manche KMS-Schlüssel mehrere Aliasse haben, während andere keinen haben.

AWS erstellt Aliase in Ihrem Konto für. Von AWS verwaltete Schlüssel Diese Aliasse haben Namen des Formulars alias/aws/<service-name>, wie beispielsweise alias/aws/s3.

Einige AWS Aliase haben keinen KMS-Schlüssel. Diese vordefinierten Aliase sind normalerweise mit einem verknüpft Von AWS verwalteter Schlüssel , wenn Sie den Dienst nutzen.

Sie können einen Aliasnamen oder Alias-ARN verwenden, um einen KMS-Schlüssel in kryptografischen Vorgängen zu identifizieren DescribeKey, und GetPublicKey. (Wenn sich der KMS-Schlüssel in einem anderen AWS-Konto befindet, müssen Sie seinen Schlüssel-ARN oder Alias-ARN verwenden.) Aliasse sind keine gültigen Bezeichner für KMS-Schlüssel in anderen AWS KMS -Operationen. Informationen zu den gültigen Schlüsselkennungen für jeden AWS KMS API-Vorgang finden Sie in den Beschreibungen der KeyId Parameter in der AWS Key Management Service API-Referenz.

Sie können keinen Aliasnamen oder Alias-ARN verwenden, um einen KMS-Schlüssel in einer IAM-Richtlinie zu identifizieren. Um den Zugriff auf einen KMS-Schlüssel anhand seiner Aliase zu steuern, verwenden Sie die ResourceAliases Bedingungsschlüssel kms: RequestAlias oder kms:. Details hierzu finden Sie unter ABAC für AWS KMS.