View a markdown version of this page

En proceso de replicación AWS Claves de criptografía de pago - AWS Payment Cryptography
Ventajas de la replicación de claves Multi-RegionCómo funciona la Multi-Region replicación claveLimitaciones y consideracionesHabilitar Multi-Region la replicación de clavesDeshabilitar Multi-Region la replicación de clavesConsideraciones de seguridadPrácticas recomendadasPrecios

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

En proceso de replicación AWS Claves de criptografía de pago

AWS La criptografía de pagos admite la replicación de Multi-Region claves, lo que te permite distribuir de forma segura el material clave y los metadatos de cualquier clave de criptografía de AWS pagos a una o más Regiones de AWS dentro de la misma AWS partición y cuenta.

La clave de origen se conoce como clave de región principal (PRK) y sigue siendo la fuente autorizada para todas las actividades de administración de claves, mientras que tanto la clave PRK como la clave de región de réplica (RRK) se pueden usar para operaciones criptográficas en sus respectivos países. Regiones de AWS

Ventajas de la replicación de claves Multi-Region

A continuación se describen algunos beneficios de la replicación Multi-Region clave.

  • Configuración más sencilla para aplicaciones de alta disponibilidad: la criptografía de AWS pagos se encarga automáticamente de la distribución de las claves para que pueda utilizar una clave en varias Regiones de AWS sin necesidad de crear copias desacopladas de una clave determinada.

  • Claves de alta disponibilidad y baja latencia: con Multi-Region la replicación de claves, puede acceder a sus claves de forma múltiple, Regiones de AWS lo que hace que tengan una alta disponibilidad, lo que reduce la latencia.

  • Durabilidad del material clave: las claves de región de réplica son réplicas de claves completas y se pueden usar independientemente de su clave de región principal en las operaciones criptográficas. Una RRK proporciona una réplica duradera en caso de que se produzca una pérdida catastrófica de datos de una PRK.

Cómo funciona la Multi-Region replicación clave

Cuando la replicación de Multi-Region claves está habilitada, el servicio de criptografía de AWS pagos utiliza mecanismos de distribución segura de claves para copiar el material clave y los metadatos a la réplica Regiones de AWS que usted especifique. Los cambios en los metadatos de una clave de región principal, como los atributos clave, el estado y la activación, se replican automáticamente en las claves de la región de réplica.

Limitaciones y consideraciones

Las siguientes son algunas de las Multi-Region principales limitaciones y consideraciones de la replicación.

  • Debe habilitar esta función para una Región de AWS o para claves de criptografía de pago específicas.

    • Si esta función está habilitada para una Región de AWS, todas las claves de criptografía de AWS pagos creadas tras la activación se replicarán en la especificada. Región de AWS Las claves creadas en esta región se convertirán en claves de región principales. Las claves existentes en esta región no se replicarán automáticamente. Puede habilitar la replicación de Multi-Region claves para las claves existentes a nivel de clave y Región de AWS a nivel de clave.

    • Cada una Región de AWS puede tener una configuración única de replicación de Multi-Region claves.

    • La configuración de Multi-Region replicación de una clave tiene prioridad sobre la configuración de replicación de la Región de AWS Multi-Region clave.

  • Una clave de región de réplica no se puede configurar para replicarse en otra Regiones de AWS.

  • Multi-Region La replicación de claves está disponible para las claves de criptografía de pagos simétricas, como el estándar de cifrado triple de datos (3DES), el estándar de cifrado avanzado (AES) y el código de autenticación de Hash-based mensajes (HMAC), así como para las claves de criptografía de pagos asimétricas, como RSA y la criptografía de curva elíptica (ECC).

  • Las claves de región de réplica son claves de solo lectura. Todos los cambios en la clave de la región principal se aplicarán a las claves de la región de la réplica.

  • Los cambios en la clave de la región principal son, en última instancia, consistentes con las claves de la región de réplica.

  • Las claves de criptografía de pago solo se pueden replicar con la misma AWS partición y cuenta.

  • Las claves de región réplicas cuentan para tu Cuenta de AWS nivel límite de criptografía AWS de pagos.

  • La clave de región principal y la clave de región de réplica utilizan el mismo identificador de clave, lo que permite hacer referencia a ambas claves con el mismo ARN en las políticas de IAM.

  • Debe tener CreateKey permisos en la réplica Región de AWS para que la replicación se realice correctamente.

Habilitar Multi-Region la replicación de claves

Hay dos maneras de habilitar la replicación de Multi-Region claves para las claves de criptografía de AWS pagos.

  1. Región de AWS: Multi-Region la replicación de claves se aplica a todas las claves nuevas que se creen en ella Región de AWS cuando está habilitada. Este método proporciona una replicación uniforme para todas las claves.

  2. Claves AWS de criptografía de pago específicas: puede gestionar Multi-Region la replicación de claves individuales, lo que permite un nivel de control más detallado.

Una vez que se habilite la replicación de Multi-Region claves, tus claves de criptografía de pagos se replicarán según Regiones de AWS lo que especifiques.

importante

Multi-Region la replicación de claves no se puede pausar. Las claves se replican automáticamente a las que Regiones de AWS usted especifique una vez que se habilita la replicación. Multi-Region La replicación de claves se puede deshabilitar para una clave específica Región de AWS o para claves de criptografía de pago. Debe eliminarla Región de AWS como región de replicación de la clave de región principal para eliminar la clave de región de réplica.

También puede llamar al comando StopKeyUsage API o stop-key-usage CLI de su PRK para detener el uso tanto del PRK como de todos los RRK asociados. No podrás usar estas claves en operaciones criptográficas. El uso del comando StopKeyUsage API o stop-key-usage CLI no detendrá la replicación de Multi-Region claves en curso habilitada para su PRK.

Puedes comprobar la configuración de replicación de Multi-Region claves para las claves de criptografía de AWS pagos de una determinada forma Región de AWS llamando al comando de la GetDefaultKeyReplicationRegions API o la get-default-key-replication-regions CLI. Las claves en las Región de AWS que invoques esta acción o comando de la API se convertirán en tu PRK PRK.

Utilice los siguientes procedimientos para habilitar la replicación de Multi-Region claves.

For Región de AWS

  • Utilice el siguiente comando para habilitar la replicación de Multi-Region claves para una Región de AWS que especifique. En este ejemplo, la replicación de Multi-Region claves está habilitada en EE. UU. Este (Ohio) y EE. UU. Oeste (Oregón). Para usar este comando, sustituya italicized placeholder text el comando del ejemplo por su propia información.

    aws payment-cryptography enable-default-key-replication-regions \
    --replication-regions us-east-2 us-west-2
nota

Multi-Region La activación de la replicación de claves para un no Región de AWS cambiará la configuración de replicación de ninguna de las claves de criptografía de AWS pago existentes. Puede habilitar esta función para las claves existentes a nivel de clave. Solo las claves creadas después de Multi-Region habilitar la replicación de claves Región de AWS utilizarán la configuración de replicación de la región.

For specific AWS Payment Cryptography keys

  • Utilice el siguiente comando para habilitar la replicación de Multi-Region claves de criptografía de pagos específicas. En este ejemplo, la replicación de Multi-Region claves está habilitada en el este de EE. UU. (Ohio). Para usar este comando, sustituya italicized placeholder text el comando del ejemplo por su propia información.

    aws payment-cryptography add-key-replication-regions \
    --key-identifier arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h \
    --replication-regions us-east-2

Si lo prefiere, puede crear una nueva clave de criptografía de pagos con esta función habilitada; para ello, incluya la replicación Regiones de AWS en la solicitud de creación de la clave.

nota

La configuración de replicación clave tiene prioridad sobre la configuración de Región de AWS replicación.

Deshabilitar Multi-Region la replicación de claves

Si desea deshabilitar la replicación de Multi-Region claves, puede llamar a los comandos disable-default-key-replication o a la remove-key-replication-regions CLI, según cómo esté habilitada la replicación de Multi-Region claves. Deberá especificar el ARN de la clave y el Región de AWS para deshabilitar la replicación de Multi-Region claves.

Consideraciones

En última instancia, las eliminaciones de claves de la región de replicación son consistentes.

Puede comprobar la configuración de replicación de Multi-Region claves para las claves de criptografía de AWS pagos de una determinada criptomoneda Región de AWS mediante el comando de la GetDefaultKeyReplicationRegions API o la get-default-key-replication-regions CLI.

Utilice los siguientes procedimientos para deshabilitar la replicación de Multi-Region claves.

For Región de AWS

  • Use el siguiente comando para deshabilitar la replicación de Multi-Region claves para una Región de AWS que especifique. En este ejemplo, la replicación de Multi-Region claves está deshabilitada en el este de EE. UU. (Ohio). Para usar este comando, sustituya italicized placeholder text el comando del ejemplo por su propia información.

    aws payment-cryptography disable-default-key-replication-regions \
    --replication-regions us-east-2
For specific AWS Payment Cryptography keys

  • Utilice el siguiente comando para deshabilitar la replicación de Multi-Region claves para una clave de criptografía de pagos específica. En este ejemplo, la replicación de Multi-Region claves está deshabilitada en el este de EE. UU. (Ohio). Para usar este comando, sustituya italicized placeholder text el comando del ejemplo por su propia información.

    aws payment-cryptography remove-key-replication-regions \
    --key-identifier arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h \
    --replication-regions us-east-2

Consideraciones de seguridad

A continuación se indican las consideraciones de seguridad que se deben tener en cuenta al utilizar la replicación de Multi-Region claves para las claves de criptografía de pagos. Para obtener más información, consulte Prácticas recomendadas de seguridad para AWS Payment Cryptography.

  • Limite el uso compartido de materiales clave.

  • Siga el principio de mínimos privilegios y permisos al crear políticas de IAM.

  • No puede realizar cambios en la clave de región de la réplica, ya que es una clave de solo lectura.

Prácticas recomendadas

Las siguientes son algunas de las prácticas recomendadas para usar la replicación de claves con Multi-Region claves de criptografía AWS de pagos.

  • Asegúrese de que la aplicación siga funcionando aunque la replicación de Multi-Region claves a la especificada no Región de AWS sea inmediata. Si necesita saber cuándo se ha completado la replicación de Multi-Region claves, puede supervisarla con la acción de la GetKey API. Puede supervisar los eventos clave de replicación con AWS CloudTrail.

  • Pruebe e implemente procesos de implementación automatizados en caso de que se produzca una conmutación por error de una región Región de AWS a otra.

Precios

Se le cobrará por las réplicas de claves de región que cree con AWS Payment Cryptography. Estas claves se cobran por. Región de AWS Para obtener la información más reciente sobre los precios de Payment Cryptography, consulta la página de precios AWS de Payment Cryptography.