Visualización de almacenes de claves externos

Para ver los almacenes de claves externos de una cuenta y región determinados, use el siguiente procedimiento.

Para ver los almacenes de claves externos, use la operación DescribeCustomKeyStores. De forma predeterminada, esta operación devuelve los almacenes de claves personalizados de la cuenta y región. Pero puede usar el parámetro CustomKeyStoreId o CustomKeyStoreName (pero no ambos) para limitar el resultado de un almacén de claves personalizado determinado.

Para los almacenes de claves personalizados, el resultado consiste en el ID, el nombre y el tipo del almacén de claves personalizado y el estado de conexión del almacén de claves. Si el estado de conexión es FAILED, el resultado también incluirá un ConnectionErrorCode que describe el motivo del error. Para obtener ayuda para interpretar el ConnectionErrorCode para un almacén de claves externo, consulte Códigos de error de conexión para almacenes de claves externos.

Para los almacenes de claves externos, el resultado también incluye el elemento XksProxyConfiguration. Este elemento incluye el tipo de conectividad, el punto de conexión URI del proxy, la ruta URI del proxy y el ID de clave de acceso de la credencial de autenticación del proxy.

En los ejemplos de esta sección, se utiliza la AWS Command Line Interface (AWS CLI), pero puede usar cualquier lenguaje de programación admitido.

Por ejemplo, el siguiente comando devuelve todos los almacenes de claves personalizados de la cuenta y la región. Puede usar los parámetros Limit y Marker para desplazarse por los almacenes de claves personalizados del resultado.

$ aws kms describe-custom-key-stores

El siguiente comando usa el parámetro CustomKeyStoreName para obtener únicamente el almacén de claves externo con el nombre fácil de recordar ExampleXksPublic. Este ejemplo de almacén de claves utiliza conectividad a puntos de conexión públicos. Está conectado a su proxy del almacén de claves externo.

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleXksPublic
{
    "CustomKeyStores": [
    {
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleXksPublic",
      "ConnectionState": "CONNECTED",    
      "CreationDate": "2022-12-14T20:17:36.419000+00:00",
      "CustomKeyStoreType": "EXTERNAL_KEY_STORE",
      "XksProxyConfiguration": { 
        "AccessKeyId": "ABCDE12345670EXAMPLE",
        "Connectivity": "PUBLIC_ENDPOINT",
        "UriEndpoint": "https://xks.example.com:6443",
        "UriPath": "/example/prefix/kms/xks/v1"
      }
    }
  ]
}

El siguiente comando obtiene un ejemplo de almacén de claves externo con conectividad del servicio de punto de conexión de VPC. En este ejemplo, el almacén de claves externo está conectado a su proxy del almacén de claves externo.

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleXksVpc
{
    "CustomKeyStores": [
    {
      "CustomKeyStoreId": "cks-9876543210fedcba9",
      "CustomKeyStoreName": "ExampleXksVpc",
      "ConnectionState": "CONNECTED",
      "CreationDate": "2022-12-13T18:34:10.675000+00:00",
      "CustomKeyStoreType": "EXTERNAL_KEY_STORE",
      "XksProxyConfiguration": { 
        "AccessKeyId": "ABCDE98765432EXAMPLE",
        "Connectivity": "VPC_ENDPOINT_SERVICE",
        "UriEndpoint": "https://example-proxy-uri-endpoint-vpc",
        "UriPath": "/example/prefix/kms/xks/v1",
        "VpcEndpointServiceName": "com.amazonaws.vpce.us-east-1.vpce-svc-example"
      }
    }
  ]
}

Un ConnectionState Disconnected indica que no se ha conectado nunca un almacén de claves externo o que se ha desconectado de su proxy del almacén de claves externo de forma intencionada. Sin embargo, si los intentos de usar una clave de KMS en un almacén de claves externo conectado no son fructíferos, puede deberse a un problema con el proxy del almacén de claves externo u otros componentes externos.

Si el ConnectionState del almacén de claves externo es FAILED, la respuesta DescribeCustomKeyStores incluirá un elemento ConnectionErrorCode que explica el motivo del error.

Por ejemplo, en el siguiente resultado, el valor XKS_PROXY_TIMED_OUT indica que AWS KMS se puede conectar al proxy del almacén de claves externo, pero la conexión falló porque el proxy del almacén de claves externo no respondió a AWS KMS durante el tiempo establecido. Si ve este código de error de conexión varias veces, comuníqueselo al proveedor del proxy del almacén de claves externo. Para obtener ayuda con esto y los errores de conexión, consulte Solución de problemas de almacenes de claves externos.

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleXksVpc
{
    "CustomKeyStores": [
    {
      "CustomKeyStoreId": "cks-9876543210fedcba9",
      "CustomKeyStoreName": "ExampleXksVpc",
      "ConnectionState": "FAILED",
      "ConnectionErrorCode": "XKS_PROXY_TIMED_OUT",
      "CreationDate": "2022-12-13T18:34:10.675000+00:00",
      "CustomKeyStoreType": "EXTERNAL_KEY_STORE",
      "XksProxyConfiguration": { 
        "AccessKeyId": "ABCDE98765432EXAMPLE",
        "Connectivity": "VPC_ENDPOINT_SERVICE",
        "UriEndpoint": "https://example-proxy-uri-endpoint-vpc",
        "UriPath": "/example/prefix/kms/xks/v1",
        "VpcEndpointServiceName": "com.amazonaws.vpce.us-east-1.vpce-svc-example"
      }
    }
  ]
}