Création d'un magasin de clés externe

Vous pouvez créer un ou plusieurs magasins de clés externes dans chaque Compte AWS région. Chaque magasin de clés externe doit être associé à un gestionnaire de clés externe et à un proxy de AWS magasin de clés externe (proxy XKS) qui assure la communication entre AWS KMS et votre gestionnaire de clés externe. Pour plus de détails, consultez Choisissez une option de connectivité proxy pour un magasin de clés externe. Avant de commencer, vérifiez que vous avez besoin d'un magasin de clés externe. La plupart des clients peuvent utiliser des clés KMS soutenues par du matériel AWS KMS clé.

Avant de créer votre magasin de clés externe, vous devez réunir les conditions préalables. Au cours du processus de création, vous définissez les propriétés de votre magasin de clés externe. Plus important encore, vous indiquez si votre magasin de clés externe AWS KMS utilise un point de terminaison public ou un service de point de terminaison VPC pour se connecter à son proxy de magasin de clés externe. Vous spécifiez également les détails de la connexion, notamment le point de terminaison URI du proxy et le chemin au sein de ce point de terminaison du proxy où les demandes d'API sont AWS KMS envoyées au proxy.

Considérations supplémentaires :

Tous les nouveaux magasins de clés externes sont créés dans un état déconnecté. Avant de créer des clés KMS dans votre magasin de clés externe, vous devez le connecter à son proxy de magasin de clés externe. Pour modifier les propriétés de votre magasin de clés externe, modifiez les paramètres de votre magasin de clés externe.

Rassembler les conditions requises

Avant de créer un magasin de clés externe, vous devez assembler les composants requis, notamment le gestionnaire de clés externe que vous utiliserez pour prendre en charge le magasin de clés externe et le proxy de magasin de clés externe qui traduit les AWS KMS demandes dans un format compréhensible par votre gestionnaire de clés externe.

Les composants suivants sont requis pour tous les magasins de clés externes. Outre ces composants, vous devez fournir les composants qui prennent en charge l'option de connectivité par proxy de magasin de clés externe que vous choisissez.

Gestionnaire de clés externe

Chaque magasin de clés externe nécessite au moins une instance de gestionnaire de clés externe. Il peut s'agir d'un module de sécurité matérielle (HSM) physique ou virtuel ou d'un logiciel de gestion des clés.

Vous pouvez utiliser un seul gestionnaire de clés, mais nous recommandons au moins deux instances de gestionnaire de clés connexes qui partagent des clés cryptographiques pour des raisons de redondance. Le magasin de clés externe ne nécessite pas l'utilisation exclusive du gestionnaire de clés externe. Toutefois, le gestionnaire de clés externe doit être en mesure de gérer la fréquence prévue des demandes de chiffrement et de déchiffrement émanant des AWS services qui utilisent des clés KMS dans le magasin de clés externe afin de protéger vos ressources. Votre gestionnaire de clés externe doit être configuré pour traiter jusqu'à 1 800 requêtes par seconde et pour répondre dans le délai d'expiration de 250 millisecondes pour chaque requête. Nous vous recommandons de placer le gestionnaire de clés externe à proximité et de Région AWS manière à ce que le temps d'aller-retour (RTT) du réseau soit inférieur ou égal à 35 millisecondes.

Si le proxy de votre magasin de clés externe le permet, vous pouvez modifier le gestionnaire de clés externe que vous associez à votre proxy de magasin de clés externe, mais le nouveau gestionnaire de clés externe doit être une sauvegarde ou un instantané contenant les mêmes éléments de clé. Si la clé externe que vous associez à une clé KMS n'est plus disponible pour votre proxy de stockage de clés externe, vous AWS KMS ne pouvez pas déchiffrer le texte chiffré avec la clé KMS.

Le gestionnaire de clés externe doit être accessible au proxy de magasin de clés externe. Si la GetHealthStatusréponse du proxy indique que toutes les instances du gestionnaire de clés externe le sontUnavailable, toutes les tentatives de création d'une banque de clés externe échouent avec un XksProxyUriUnreachableException.

Proxy de magasin de clés externe

Vous devez spécifier un proxy de magasin de clés externe (proxy XKS) conforme aux exigences de conception de spécification de l'API du proxy de magasin de clés externe AWS KMS (langue française non garantie). Vous pouvez développer ou acheter un proxy de stockage de clés externe, ou utiliser un proxy de stockage de clés externe fourni par ou intégré à votre gestionnaire de clés externe. AWS KMS recommande que votre proxy de stockage de clés externe soit configuré pour traiter jusqu'à 1 800 demandes par seconde et répondre dans le délai de 250 millisecondes pour chaque demande. Nous vous recommandons de placer le gestionnaire de clés externe à proximité et de Région AWS manière à ce que le temps d'aller-retour (RTT) du réseau soit inférieur ou égal à 35 millisecondes.

Vous pouvez utiliser un proxy de magasin de clés externe pour plusieurs magasins de clés externes, mais chaque magasin de clés externe doit disposer d'un point de terminaison et d'un chemin d'URI uniques au sein du proxy de magasin de clés externe pour ses requêtes.

Si vous utilisez la connectivité au service de point de terminaison d'un VPC, vous pouvez localiser le proxy de votre magasin de clés externe dans votre Amazon VPC, mais cela n'est pas obligatoire. Vous pouvez localiser votre proxy à l'extérieur AWS, par exemple dans votre centre de données privé, et utiliser le service de point de terminaison VPC uniquement pour communiquer avec le proxy.

Informations d'identification pour l'authentification du proxy

Pour créer un magasin de clés externe, vous devez spécifier vos informations d'identification pour l'authentification du proxy de magasin de clés externe (XksProxyAuthenticationCredential).

Vous devez établir un identifiant d'authentification (XksProxyAuthenticationCredential) pour votre proxy AWS KMS de magasin de clés externe. AWS KMS s'authentifie auprès de votre proxy en signant ses demandes à l'aide du processus Signature Version 4 (SigV4) avec les informations d'identification d'authentification du proxy de stockage de clés externe. Vous spécifiez les informations d'identification pour l'authentification lorsque vous créez votre magasin de clés externe et vous pouvez les modifier à tout moment. Si votre proxy effectue une rotation de vos informations d'identification, veillez à mettre à jour les valeurs d'informations d'identification de votre magasin de clés externe.

Les informations d'identification pour l'authentification du proxy comportent deux parties. Vous devez fournir les deux parties pour votre magasin de clés externe.

Les informations d'identification SigV4 AWS KMS utilisées pour signer les demandes adressées au proxy de stockage de clés externe ne sont pas liées aux informations d'identification Sigv4 associées aux AWS Identity and Access Management principaux de vos comptes. AWS Ne réutilisez aucune information d'identification IAM SigV4 pour votre proxy de magasin de clés externe.

Connectivité de proxy

Pour créer un magasin de clés externe, vous devez spécifier l'option de connectivité de proxy de votre magasin de clés externe (XksProxyConnectivity).

AWS KMS peut communiquer avec votre proxy de stockage de clés externe à l'aide d'un point de terminaison public ou d'un service de point de terminaison Amazon Virtual Private Cloud (Amazon VPC). Bien qu'un point de terminaison public soit plus simple à configurer et à gérer, il se peut qu'il ne réponde pas aux exigences de sécurité de chaque installation. Si vous choisissez l'option de connectivité au service de point de terminaison d'un Amazon VPC, vous devez créer et gérer les composants requis, notamment un Amazon VPC avec au moins deux sous-réseaux dans deux zones de disponibilité différentes, un service de point de terminaison d'un VPC avec un équilibreur de charge réseau et un groupe cible, ainsi qu'un nom DNS privé pour le service de point de terminaison d'un VPC.

Vous pouvez modifier l'option de connectivité de proxy pour votre magasin de clés externe. Toutefois, vous devez vous assurer de la disponibilité continue des éléments de clé associés aux clés KMS dans votre magasin de clés externe. Sinon, AWS KMS impossible de déchiffrer le texte chiffré avec ces clés KMS.

Pour savoir quelle option de connectivité de proxy convient le mieux à votre magasin de clés externe, veuillez consulter la rubrique Choisissez une option de connectivité proxy pour un magasin de clés externe. Pour obtenir de l'aide sur la création et la configuration de la connectivité au service de point de terminaison d'un VPC, veuillez consulter la rubrique Configurer la connectivité du service de point de terminaison VPC.

Point de terminaison d'URI de proxy

Pour créer un magasin de clés externe, vous devez spécifier le point de terminaison (XksProxyUriEndpoint) AWS KMS utilisé pour envoyer des demandes au proxy du magasin de clés externe.

Le protocole doit être HTTPS. AWS KMS communique sur le port 443. Ne spécifiez pas le port dans la valeur de point de terminaison d'URI de proxy.

Le certificat de serveur TLS configuré sur le proxy de magasin de clés externe doit correspondre au nom de domaine indiqué dans le point de terminaison de l'URI de proxy de magasin de clés externe et être émis par une autorité de certification prise en charge pour les magasins de clés externes. Pour obtenir une liste, veuillez consulter les Autorités de certification approuvées (langue française non garantie). Votre autorité de certification exigera une preuve de propriété du domaine avant de délivrer le certificat TLS.

Le nom commun (CN) du sujet sur le certificat TLS doit correspondre au nom DNS privé. Par exemple, si le nom DNS privé est myproxy-private.xks.example.com, le CN du certificat TLS doit être myproxy-private.xks.example.com ou *.xks.example.com.

Vous pouvez modifier le point de terminaison de l'URI de votre proxy, mais assurez-vous que le proxy de magasin de clés externe a accès aux éléments de clé associés aux clés KMS de votre magasin de clés externe. Sinon, AWS KMS impossible de déchiffrer le texte chiffré avec ces clés KMS.

Exigences relatives à l'unicité

Chemin d'URI de proxy

Pour créer un magasin de clés externe, vous devez spécifier le chemin de base dans votre proxy de magasin de clés externe vers le proxy requis APIs. La valeur doit commencer par / et se terminer par/kms/xks/v1, qui v1 représente la version de l' AWS KMS API pour le proxy de stockage de clés externe. Ce chemin peut inclure un préfixe facultatif entre les éléments requis tels que /example-prefix/kms/xks/v1. Pour trouver cette valeur, veuillez consulter la documentation de votre proxy de magasin de clés externe.

AWS KMS envoie des demandes de proxy à l'adresse spécifiée par la concaténation du point de terminaison de l'URI du proxy et du chemin de l'URI du proxy. Par exemple, si le point de terminaison de l'URI du proxy est https://myproxy.xks.example.com et que le chemin de l'URI du proxy est/kms/xks/v1, AWS KMS envoie ses demandes d'API proxy àhttps://myproxy.xks.example.com/kms/xks/v1.

Vous pouvez modifier le chemin d'URI de votre proxy, mais assurez-vous que le proxy de magasin de clés externe a accès aux éléments de clé associés aux clés KMS de votre magasin de clés externe. Sinon, AWS KMS impossible de déchiffrer le texte chiffré avec ces clés KMS.

Exigences relatives à l'unicité

Service de point de terminaison d’un VPC

Spécifie le nom du service de point de terminaison d'un Amazon VPC utilisé pour communiquer avec le proxy de votre magasin de clés externe. Ce composant n'est requis que pour les magasins de clés externes qui utilisent la connectivité au service de point de terminaison d'un VPC. Pour obtenir de l'aide sur la configuration de votre service de point de terminaison d'un VPC pour un magasin de clés externe, veuillez consulter la rubrique Configurer la connectivité du service de point de terminaison VPC.

Le service de point de terminaison d'un VPC doit posséder les propriétés suivantes :

Exigences relatives à l'unicité

Fichier de configuration du proxy

Un fichier de configuration de proxy est un fichier JSON facultatif qui contient des valeurs pour le chemin d'URI de proxy et les propriétés d'informations d'identification pour l'authentification du proxy de votre magasin de clés externe. Lorsque vous créez ou modifiez un magasin de clés externe dans la console AWS KMS , vous pouvez télécharger un fichier de configuration de proxy pour fournir des valeurs de configuration pour votre magasin de clés externe. L'utilisation de ce fichier évite les erreurs de saisie et de collage et garantit que les valeurs de votre magasin de clés externe correspondent à celles de votre proxy de magasin de clés externe.

Les fichiers de configuration du proxy sont générés par le proxy de magasin de clés externe. Pour savoir si votre proxy de magasin de clés externe propose un fichier de configuration de proxy, veuillez consulter la documentation relative à votre proxy de magasin de clés externe.

Voici un exemple de fichier de configuration de proxy correctement formaté avec des valeurs fictives.

{
  "XksProxyUriPath": "/example-prefix/kms/xks/v1",
  "XksProxyAuthenticationCredential": {
    "AccessKeyId": "ABCDE12345670EXAMPLE",
    "RawSecretAccessKey": "0000EXAMPLEFA5FT0mCc3DrGUe2sti527BitkQ0Zr9MO9+vE="
  }
}

Vous pouvez télécharger un fichier de configuration de proxy uniquement lors de la création ou de la modification d'un magasin de clés externe dans la AWS KMS console. Vous ne pouvez pas l'utiliser avec les UpdateCustomKeyStoreopérations CreateCustomKeyStoreor, mais vous pouvez utiliser les valeurs du fichier de configuration du proxy pour vous assurer que les valeurs de vos paramètres sont correctes.

Création d'un nouveau magasin de clés externe

Une fois que vous avez réuni les prérequis nécessaires, vous pouvez créer un nouveau magasin de clés externe dans la AWS KMS console ou en utilisant l'CreateCustomKeyStoreopération.

aws configure set cli_follow_urlparam false

Error parsing parameter '--xks-proxy-uri-endpoint': Unable to retrieve 
https:// : received non 200 status code of 404

$ aws kms create-custom-key-store
        --custom-key-store-name ExampleExternalKeyStorePublic \
        --custom-key-store-type EXTERNAL_KEY_STORE \
        --xks-proxy-connectivity PUBLIC_ENDPOINT \
        --xks-proxy-uri-endpoint https://myproxy.xks.example.com \
        --xks-proxy-uri-path /kms/xks/v1 \
        --xks-proxy-authentication-credential AccessKeyId=<value>,RawSecretAccessKey=<value>  

$ aws kms create-custom-key-store
        --custom-key-store-name ExampleExternalKeyStoreVPC \
        --custom-key-store-type EXTERNAL_KEY_STORE \
        --xks-proxy-connectivity VPC_ENDPOINT_SERVICE \
        --xks-proxy-vpc-endpoint-service-name com.amazonaws.vpce.us-east-1.vpce-svc-example \
        --xks-proxy-uri-endpoint https://myproxy-private.xks.example.com \
        --xks-proxy-uri-path /kms/xks/v1 \
        --xks-proxy-authentication-credential AccessKeyId=<value>,RawSecretAccessKey=<value>

{
    "CustomKeyStoreId": cks-1234567890abcdef0
}