Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Crear una KMS clave con material clave importado
El material clave importado le permite proteger sus AWS recursos con las claves criptográficas que usted genere. El material clave que importe está asociado a una KMS clave concreta. Puede volver a importar el mismo material clave a la misma KMS clave, pero no puede importar material clave diferente a la KMS clave ni convertir una KMS clave diseñada para material clave importado en una KMS clave con material AWS KMS clave.
En la siguiente información general se explica cómo importar el material de claves en AWS KMS. Para obtener más información sobre cada paso del proceso, consulte el tema correspondiente.
-
Cree una KMS clave sin material clave: el origen debe ser
EXTERNAL. Un origen de clave deEXTERNALindica que la clave está diseñada para material clave importado y AWS KMS evita que se genere material clave para la KMS clave. En un paso posterior, importará su propio material clave a esta KMS clave.El material clave que importe debe ser compatible con la especificación clave de la clave asociada AWS KMS . Para obtener más información sobre la compatibilidad, consulte Requisitos para el material de claves importado.
-
Descargar la clave pública de encapsulamiento y el token de importación: después de completar el paso 1, descargue una clave pública de encapsulamiento y un token de importación. Estos elementos protegen el material de claves mientras se importa a AWS KMS.
En este paso, elige el tipo («especificación clave») de la clave de RSA empaquetado y el algoritmo de empaquetado que utilizará para cifrar los datos en tránsito. AWS KMS Puede elegir una especificación de clave de encapsulamiento y un algoritmo de clave de encapsulamiento diferentes cada vez que importe o vuelva a importar el mismo material de claves.
-
Cifrar el material de claves: utilice la clave pública de encapsulamiento que ha descargado en el paso 2 para cifrar el material de claves que ha creado en su propio sistema.
-
Importar el material de claves: cargue el material de claves cifrado que ha creado en el paso 3 y el token de importación que ha descargado en el paso 2.
En esta etapa, puede establecer una fecha de vencimiento opcional. Cuando el material clave importado caduca, lo AWS KMS elimina y la KMS clave queda inutilizable. Para seguir utilizando la KMS clave, debe volver a importar el mismo material clave.
Cuando la operación de importación se complete correctamente, el estado de la KMS clave cambiará de
PendingImportaEnabled. Ahora puede usar la KMS clave en operaciones criptográficas.
AWS KMS registra una entrada en el AWS CloudTrail registro al crear la KMS clave, descargar la clave pública empaquetadora y el token de importación e importar el material de la clave. AWS KMS también registra una entrada cuando se elimina el material clave importado o cuando se AWS KMS elimina el material clave caducado.
Permisos para importar material de clave
Para crear y gestionar KMS claves con material clave importado, el usuario necesita permiso para realizar las operaciones de este proceso. Puede proporcionar los kms:GetParametersForImport kms:DeleteImportedKeyMaterial permisos y kms:ImportKeyMaterial los permisos en la política de claves al crear la KMS clave. En la AWS KMS consola, estos permisos se añaden automáticamente para los administradores de claves al crear una clave con un origen material de clave externo.
Para crear KMS claves con material clave importado, el director necesita los siguientes permisos.
-
kms: CreateKey (IAMpolítica)
-
Para limitar este permiso a KMS las claves con material clave importado, utilice la condición kms: KeyOrigin policy con un valor de
EXTERNAL.{ "Sid": "CreateKMSKeysWithoutKeyMaterial", "Effect": "Allow", "Resource": "*", "Action": "kms:CreateKey", "Condition": { "StringEquals": { "kms:KeyOrigin": "EXTERNAL" } } }
-
-
kms: GetParametersForImport (política o IAM política clave)
-
Para limitar este permiso a las solicitudes que utilizan un algoritmo de empaquetado y una especificación clave de empaquetado determinados, usa las condiciones de la WrappingKeySpec política kms: WrappingAlgorithm y kms:.
-
-
kms: ImportKeyMaterial (política o IAM política clave)
-
Para permitir o prohibir que el material clave caduque y controlar la fecha de caducidad, utilice las condiciones de la ValidTo política kms: ExpirationModel y kms:.
-
Para volver a importar el material clave importado, el director necesita los ImportKeyMaterial permisos kms: GetParametersForImport y kms:.
Para eliminar el material clave importado, el director necesita el DeleteImportedKeyMaterial permiso kms:.
Por ejemplo, para dar KMSAdminRole permiso al ejemplo para gestionar todos los aspectos de una KMS clave con material clave importado, incluya una declaración de política clave como la siguiente en la política clave de la KMS clave.
{ "Sid": "Manage KMS keys with imported key material", "Effect": "Allow", "Resource": "*", "Principal": { "AWS": "arn:aws:iam::111122223333:role/KMSAdminRole" }, "Action": [ "kms:GetParametersForImport", "kms:ImportKeyMaterial", "kms:DeleteImportedKeyMaterial" ] }
Requisitos para el material de claves importado
El material clave que importe debe ser compatible con la especificación clave de la KMS clave asociada. Para los pares de claves asimétricas, importe solo la clave privada del par. AWS KMS deriva la clave pública de la clave privada.
AWS KMS admite las siguientes especificaciones clave para KMS las claves con material clave importado.
