Creación de un almacén de claves externo

Puede crear uno o varios almacenes de claves externos en cada Cuenta de AWS y región. Cada almacén de claves externo debe estar asociado a un administrador de claves externo fuera de AWS y a un proxy del almacén de claves externo (proxy XKS) que es un mediador de la comunicación entre AWS KMS y su administrador de claves externo. Para obtener más información, consulte Elección de una opción de conectividad proxy del almacén de claves externo. Antes de empezar, confirme que necesita un almacén de claves externo. La mayoría de los clientes pueden usar claves de KMS respaldadas por material de claves de AWS KMS.

Antes de crear un almacén de claves externo, debe cumplir los requisitos previos. Durante el proceso de creación, usted especifica las propiedades del almacén de claves externo. Lo más importante es que indique si su almacén de claves externo en AWS KMS utiliza un punto de conexión público o un servicio del punto de conexión de VPC para conectarse a su proxy del almacén de claves externo. También especifica los detalles de la conexión, incluido el punto de conexión URI del proxy y la ruta dentro de ese punto de conexión del proxy desde donde AWS KMS envía las solicitudes de API al proxy.

Consideraciones adicionales:

Todos los nuevos almacenes de claves externos se crean en un estado desconectado. Antes de poder crear claves de KMS en su almacén de claves externo, debe conectarlo a su proxy del almacén de claves externo. Para cambiar las propiedades del almacén de claves externo, edite la configuración del almacén de claves externo.

Cumplir los requisitos previos

Antes de crear un almacén de claves externo, debe reunir los componentes necesarios, incluido el administrador de claves externo que utilizará para respaldar el almacén de claves externo y el proxy del almacén de claves externo que traduce las solicitudes de AWS KMS a un formato que su administrador de claves externo pueda entender.

Los siguientes componentes son necesarios para todos los almacenes de claves externos. Además de estos componentes, debe proporcionar los componentes que admitan la opción de conectividad al proxy del almacén de claves externo que elija.

Administrador de claves externo

Cada almacén de claves externo requiere al menos una instancia del administrador de claves externo. Puede ser un módulo de seguridad de hardware (HSM) físico o virtual o un software de administración de claves.

Puede usar un único administrador de claves, pero le recomendamos al menos dos instancias del administrador de claves relacionadas que compartan claves criptográficas por motivos de redundancia. El almacén de claves externo no requiere el uso exclusivo del administrador de claves externo. Sin embargo, el administrador de claves externo debe tener la capacidad de administrar la frecuencia esperada de las solicitudes de cifrado y descifrado de los servicios de AWS que utilizan las claves de KMS en el almacén de claves externo para proteger sus recursos. El administrador de claves externo debe configurarse para administrar hasta 1800 solicitudes por segundo y responder dentro del tiempo de espera de 250 milisegundos para cada solicitud. Le recomendamos que ubique el administrador de claves externo cerca de una Región de AWS, de modo que el tiempo de ida y vuelta (RTT) de la red sea de 35 milisegundos o menos.

Si su proxy del almacén de claves externo lo permite, puede cambiar el administrador de claves externo que asocia a su proxy del almacén de claves externo, pero el nuevo administrador de claves externo debe ser una copia de seguridad o una instantánea con el mismo material de claves. Si la clave externa que asocia a una clave de KMS ya no está disponible para su proxy del almacén de claves externo, AWS KMS no podrá descifrar el texto cifrado encriptado con la clave de KMS.

El proxy del almacén de claves externo debe poder acceder al administrador de claves externo. Si la respuesta GetHealthStatus del proxy informa que todas las instancias del administrador de claves externo están Unavailable, todos los intentos de crear un almacén de claves externo fallan con una XksProxyUriUnreachableException.

Proxy del almacén de claves externo

Debe especificar un proxy del almacén de claves externo (proxy XKS) que cumpla con los requisitos de diseño de la especificación de la API de proxy del almacén de claves externo de AWS KMS. Puede desarrollar o comprar un proxy del almacén de claves externo, o utilizar un proxy del almacén de claves externo proporcionado o integrado en su administrador de claves externo. AWS KMS recomienda configurar el proxy del almacén de claves externo para gestionar hasta 1800 solicitudes por segundo y responder dentro del tiempo de espera de 250 milisegundos a cada solicitud. Le recomendamos que ubique el administrador de claves externo cerca de una Región de AWS, de modo que el tiempo de ida y vuelta (RTT) de la red sea de 35 milisegundos o menos.

Puede utilizar un proxy del almacén de claves externo para más de un almacén de claves externo, pero cada almacén de claves externo debe tener un punto de conexión y una ruta de URI únicos dentro del proxy del almacén de claves externo para sus solicitudes.

Si utiliza la conectividad a un servicio de punto de conexión de VPC, puede localizar su proxy del almacén de claves externo en su VPC de Amazon, pero no es obligatorio. Puede localizar su proxy fuera de AWS, por ejemplo, en su centro de datos privado, y utilizar el servicio de punto de conexión de VPC únicamente para comunicarse con el proxy.

Credencial de autenticación del proxy

Para crear un almacén de claves externo, debe especificar su credencial de autenticación del proxy del almacén de claves externo (XksProxyAuthenticationCredential).

Debe establecer una credencial de autenticación (XksProxyAuthenticationCredential) para AWS KMS en el proxy de su almacén de claves externo. AWS KMS autentica en su proxy firmando sus solicitudes mediante el proceso Signature Version 4 (SigV4) con la credencial de autenticación del proxy del almacén de claves externo. Debe especificar una credencial de autenticación cuando se crea el almacén de claves externo y se puede cambiar en cualquier momento. Si su proxy rota la credencial, asegúrese de actualizar los valores de la credencial del almacén de claves externo.

La credencial de autenticación del proxy tiene dos partes. Debe proporcionar ambas partes para su almacén de claves externo.

La credencial SigV4 que utiliza AWS KMS para firmar las solicitudes al proxy del almacén de claves externo no está relacionada con ninguna credencial de SigV4 asociada a las entidades principales de AWS Identity and Access Management de sus cuentas de AWS. No reutilice ninguna credencial SigV4 de IAM para su proxy del almacén de claves externo.

Conectividad de proxy

Para crear un almacén de claves externo, debe especificar su opción de conectividad del proxy del almacén de claves externo (XksProxyConnectivity).

AWS KMS puede comunicarse con su proxy del almacén de claves externo mediante un punto de conexión público o un servicio de punto de conexión de Amazon Virtual Private Cloud (Amazon VPC). Si bien un punto de conexión público es más sencillo de configurar y mantener, es posible que no cumpla con los requisitos de seguridad de todas las instalaciones. Si elige la opción de conectividad del servicio de punto de conexión de VPC de Amazon, debe crear y mantener los componentes necesarios, incluida una VPC de Amazon con al menos dos subredes en dos zonas de disponibilidad diferentes, un servicio del punto de conexión de VPC con un equilibrador de carga de red y un grupo de destino, y un nombre DNS privado para el servicio de punto de conexión de VPC.

Puede cambiar la opción de conectividad del proxy para su almacén de claves externo. Sin embargo, debe asegurar la disponibilidad continua del material de claves asociado a las claves de KMS en su almacén de claves externo. De lo contrario, AWS KMS no podrá descifrar ningún texto cifrado encriptado con esas claves de KMS.

Para obtener ayuda para decidir qué opción de conectividad de proxy es mejor para su almacén de claves externo, consulte Elección de una opción de conectividad proxy del almacén de claves externo. Para obtener ayuda para crear una configuración de la conectividad del servicio del punto de conexión de VPC, consulte Configuración de la conectividad del servicio de punto de conexión de VPC.

Punto de conexión URI del proxy

Para crear un almacén de claves externo, debe especificar el punto de conexión (XksProxyUriEndpoint) que AWS KMS se utiliza para enviar las solicitudes al proxy del almacén de claves externo.

El protocolo debe ser HTTPS. AWS KMS se comunica en el puerto 443. No especifique el puerto en el valor del punto de conexión URI del proxy.

El certificado del servidor TLS configurado en el proxy del almacén de claves externo debe coincidir con el nombre de dominio del punto de conexión URI y debe ser emitido por una autoridad de certificación compatible con los almacenes de claves externos. Para obtener una lista, consulte Autoridades de certificación de confianza. La autoridad de certificación exigirá una prueba de la propiedad del dominio antes de emitir el certificado TLS.

El nombre común del sujeto (CN) en el certificado TLS debe coincidir con el nombre DNS privado. Por ejemplo, si el nombre DNS privado es myproxy-private.xks.example.com, el CN del certificado TLS debe ser myproxy-private.xks.example.com o *.xks.example.com.

Puede cambiar el punto de conexión de la URI del proxy, pero asegúrese de que el proxy del almacén de claves externo tenga acceso al material de claves asociado a las claves de KMS de su almacén de claves externo. De lo contrario, AWS KMS no podrá descifrar ningún texto cifrado encriptado con esas claves de KMS.

Requisitos de singularidad

Ruta URI del proxy

Para crear un almacén de claves externo, debe especificar la ruta base en su proxy del almacén de claves externo a las API de proxy necesarias. El valor debe empezar con / y terminar en /kms/xks/v1, donde v1 representa la versión de la API de AWS KMS para el proxy del almacén de claves externo. Esta ruta puede incluir un prefijo opcional entre los elementos necesarios, por ejemplo /example-prefix/kms/xks/v1. Para encontrar este valor, consulte la documentación de su proxy del almacén de claves externo.

AWS KMS envía las solicitudes de proxy a la dirección especificada mediante la concatenación del punto de conexión de la URI del proxy y la ruta URI del proxy. Por ejemplo, si el punto de conexión de la URI del proxy es https://myproxy.xks.example.com y la ruta URI del proxy es /kms/xks/v1, AWS KMS envía sus solicitudes de API de proxy a https://myproxy.xks.example.com/kms/xks/v1.

Puede cambiar la ruta URI del proxy, pero asegúrese de que el proxy del almacén de claves externo tenga acceso al material de claves asociado a las claves de KMS de su almacén de claves externo. De lo contrario, AWS KMS no podrá descifrar ningún texto cifrado encriptado con esas claves de KMS.

Requisitos de singularidad

Servicio de punto de conexión de VPC

Especifica el nombre del servicio de punto de conexión de VPC de Amazon que se utiliza para comunicarse con el proxy del almacén de claves externo. Este componente solo es necesario para los almacenes de claves externos que utilizan la conectividad a servicios de punto de conexión de VPC. Para obtener ayuda para establecer y configurar el servicio de punto de conexión de VPC para un almacén de claves externo, consulte Configuración de la conectividad del servicio de punto de conexión de VPC.

El servicio de punto de conexión de VPC debe tener las siguientes propiedades:

Requisitos de singularidad

Archivo de configuración del proxy

Un archivo de configuración del proxy es un archivo opcional basado en JSON que contiene valores para la ruta URI del proxy y las propiedades de las credenciales de autenticación del proxy del almacén de claves externo. Al crear o editar un almacén de claves externo en la consola de AWS KMS, puede cargar un archivo de configuración del proxy para proporcionar los valores de configuración del almacén de claves externo. El uso de este archivo evita errores al escribir y pegar, y garantiza que los valores del almacén de claves externo coincidan con los valores del proxy del almacén de claves externo.

Los archivos de configuración del proxy los genera el proxy del almacén de claves externo. Para saber si su proxy del almacén de claves externo ofrece un archivo de configuración del proxy, consulte la documentación del proxy del almacén de claves externo.

A continuación, se muestra un ejemplo de un archivo de configuración de proxy bien estructurado con valores ficticios.

{
  "XksProxyUriPath": "/example-prefix/kms/xks/v1",
  "XksProxyAuthenticationCredential": {
    "AccessKeyId": "ABCDE12345670EXAMPLE",
    "RawSecretAccessKey": "0000EXAMPLEFA5FT0mCc3DrGUe2sti527BitkQ0Zr9MO9+vE="
  }
}

Solo puede cargar un archivo de configuración del proxy al crear o editar un almacén de claves externo en la consola de AWS KMS. No puede usarlo con las operaciones CreateCustomKeyStore o UpdateCustomKeyStore, pero puede usar los valores del archivo de configuración del proxy para asegurarse de que los valores de los parámetros son correctos.

Creación de un nuevo almacén de claves externo

Cuando haya reunido los requisitos previos necesarios, podrá crear un nuevo almacén de claves externo en la consola de AWS KMS o mediante la operación CreateCustomKeyStore.

aws configure set cli_follow_urlparam false

Error parsing parameter '--xks-proxy-uri-endpoint': Unable to retrieve 
https:// : received non 200 status code of 404

$ aws kms create-custom-key-store
        --custom-key-store-name ExampleExternalKeyStorePublic \
        --custom-key-store-type EXTERNAL_KEY_STORE \
        --xks-proxy-connectivity PUBLIC_ENDPOINT \
        --xks-proxy-uri-endpoint https://myproxy.xks.example.com \
        --xks-proxy-uri-path /kms/xks/v1 \
        --xks-proxy-authentication-credential AccessKeyId=<value>,RawSecretAccessKey=<value>  

$ aws kms create-custom-key-store
        --custom-key-store-name ExampleExternalKeyStoreVPC \
        --custom-key-store-type EXTERNAL_KEY_STORE \
        --xks-proxy-connectivity VPC_ENDPOINT_SERVICE \
        --xks-proxy-vpc-endpoint-service-name com.amazonaws.vpce.us-east-1.vpce-svc-example \
        --xks-proxy-uri-endpoint https://myproxy-private.xks.example.com \
        --xks-proxy-uri-path /kms/xks/v1 \
        --xks-proxy-authentication-credential AccessKeyId=<value>,RawSecretAccessKey=<value>

{
    "CustomKeyStoreId": cks-1234567890abcdef0
}