Alias en AWS KMS

Un alias no es una propiedad de una KMS clave. Las acciones que realices con el alias no afectan a la KMS clave asociada. Puedes crear un alias para una KMS clave y, a continuación, actualizarlo para que se asocie a una KMS clave diferente. Incluso puedes eliminar el alias sin que ello afecte a la KMS clave asociada. Sin embargo, si elimina una KMS clave, se eliminan todos los alias asociados a esa KMS clave.

Si especifica un alias como recurso en una IAM política, la política se refiere al alias, no a la KMS clave asociada.

Al crear un alias, se especifica el nombre del alias. AWS KMS crea el alias ARN automáticamente.

Los alias pueden mostrarse en texto plano en los CloudTrail registros y otros resultados. No incluya información confidencial en el nombre del alias.

El alias y su KMS clave deben estar en la misma cuenta y región.

Puede asociar un alias a cualquier clave gestionada por el cliente de la misma Cuenta de AWS región. Sin embargo, no tiene permiso para asociar un alias con una Clave administrada de AWS.

Por ejemplo, este ListAliasesresultado muestra que el test-key alias está asociado exactamente a una KMS clave de destino, que se representa mediante la TargetKeyId propiedad.

{
     "AliasName": "alias/test-key",
     "AliasArn": "arn:aws:kms:us-west-2:111122223333:alias/test-key",
     "TargetKeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
     "CreationDate": 1593622000.191,
     "LastUpdatedDate": 1593622000.191
}

Por ejemplo, puede asociar los project-key alias test-key y a la misma KMS clave.

{
     "AliasName": "alias/test-key",
     "AliasArn": "arn:aws:kms:us-west-2:111122223333:alias/test-key",
     "TargetKeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
     "CreationDate": 1593622000.191,
     "LastUpdatedDate": 1593622000.191
},
{
     "AliasName": "alias/project-key",
     "AliasArn": "arn:aws:kms:us-west-2:111122223333:alias/project-key",
     "TargetKeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
     "CreationDate": 1516435200.399,
     "LastUpdatedDate": 1516435200.399
}

Por ejemplo, solo puede tener un alias test-key en cada cuenta y región. Los alias distinguen entre mayúsculas y minúsculas, pero los alias que solo difieren en sus mayúsculas son muy propensos a errores. No puede cambiar un nombre de alias. Sin embargo, puede eliminar el alias y crear un nuevo alias con el nombre deseado.

Por ejemplo, puede tener un alias finance-key en EE. UU. Este (Norte de Virginia) y un alias finance-key en Europa (Fráncfort). Cada alias estaría asociado a una KMS clave de su región. Si su código se refiere a un nombre de alias como alias/finance-key, puede ejecutarlo en varias regiones. En cada región, utiliza una KMS clave diferente. Para obtener más información, consulte Obtenga información sobre cómo utilizar alias en las aplicaciones.

Puede utilizar la UpdateAliasoperación para asociar un alias a una KMS clave diferente. Por ejemplo, si el finance-key alias está asociado a la 1234abcd-12ab-34cd-56ef-1234567890ab KMS clave, puede actualizarlo para que esté asociado a la 0987dcba-09fe-87dc-65ba-ab0987654321 KMS clave.

Sin embargo, la KMS clave actual y la nueva deben ser del mismo tipo (ambas simétricas, asimétricas o ambasHMAC) y deben tener el mismo uso de clave (ENCRYPT_ DECRYPT o _ VERIFY o SIGN _ GENERATE VERIFY _MAC). Esta restricción evita errores en el código que utiliza alias. Si debe asociar un alias a otro tipo de clave y ha mitigado los riesgos, puede eliminar el alias y volver a crearlo.

Al crear una KMS clave en la AWS KMS consola, debe asignarle un nuevo alias. Sin embargo, no se requiere un alias cuando se utiliza la CreateKeyoperación para crear una KMS clave. Además, puede utilizar la UpdateAliasoperación para cambiar la KMS clave asociada a un alias y la DeleteAliasoperación para eliminar un alias. Como resultado, es posible que algunas KMS claves tengan varios alias y que otras no tengan ninguno.

AWS crea alias en tu cuenta para. Claves administradas por AWS Estos alias tienen nombres del formulario alias/aws/<service-name>, como, por ejemplo, alias/aws/s3.

Algunos AWS alias no KMS tienen clave. Estos alias predefinidos suelen estar asociados a un Clave administrada de AWS cuando se empieza a utilizar el servicio.

Puede utilizar un alias o un alias ARN para identificar una KMS clave en las operaciones criptográficas DescribeKey, y. GetPublicKey (Si la KMSclave está en otro lugar Cuenta de AWS, debe usar su clave ARN o alias)ARN. Los alias no son identificadores válidos para KMS las claves de otras AWS KMS operaciones. Para obtener información sobre los identificadores clave válidos para cada AWS KMS API operación, consulte las descripciones de los KeyId parámetros en la Referencia.AWS Key Management Service API

No puede utilizar un alias o un alias ARN para identificar una KMS clave en una IAM política. Para controlar el acceso a una KMS clave en función de sus alias, utilice las claves ResourceAliasescondicionales kms: RequestAlias o kms:. Para obtener más información, consulte ABAC para AWS KMS.