Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Planifier la suppression des clés KMS à partir d'un magasin de clés AWS CloudHSM
Lorsque vous avez la certitude que vous n'aurez pas besoin d'utiliser une AWS KMS key pour les opérations de chiffrement, vous pouvez planifier la suppression de la clé KMS. Utilisez la même procédure que vous utilisez pour planifier la suppression d'une clé KMS à partir de AWS KMS. En outre, gardez votre magasin de clés AWS CloudHSM connecté afin qu'AWS KMS puisse supprimer les éléments de clé correspondants du cluster AWS CloudHSM associé lorsque la période d'attente arrive à expiration.
Vous pouvez contrôler la planification, l'annulation et la suppression de la clé KMS dans vos journaux AWS CloudTrail.
Avertissement
La suppression d'une clé KMS est une opération destructrice et potentiellement dangereuse, qui vous empêche de récupérer toutes les données chiffrées à l'aide de la clé KMS. Avant de planifier la suppression de la clé KMS, examinez l'utilisation passée de la clé KMS et créez une CloudWatch alarme Amazon qui vous avertit lorsque quelqu'un essaie d'utiliser la clé KMS alors qu'elle est en attente de suppression. Chaque fois que possible, désactivez la clé KMS, au lieu de la supprimer.
Lorsque vous planifiez la suppression d'une clé KMS d'un magasin de clés AWS CloudHSM, son état passe à Pending deletion (Suppression en attente). La clé KMS reste à l'état Pending deletion (En attente de suppression) tout au long de la période d'attente, même si la clé KMS n'est pas disponible parce que vous avez déconnecté la clé personnalisée. Cela vous permet d'annuler la suppression de la clé KMS à tout moment au cours de la période d'attente.
Lorsque la période d'attente expire, AWS KMS supprime la clé KMS depuis AWS KMS. Ensuite, AWS KMS met tout en œuvre pour supprimer les éléments de clé du cluster AWS CloudHSM associé. Si AWS KMS ne peut pas supprimer les clés, comme lorsque, par exemple, le magasin de clés est déconnecté de AWS KMS, il se peut que vous ayez besoin de supprimer manuellement les clé orphelines du cluster.
AWS KMS ne supprime pas la clé des sauvegardes de clusters. Même si vous supprimez la clé KMS de AWS KMS et supprimez ses éléments de clé de votre cluster AWS CloudHSM, les clusters créés à partir des sauvegardes peuvent contenir la clé supprimée. Pour supprimer définitivement les éléments de clé, affichez la date de création de la clé KMS. Ensuite, supprimez toutes les sauvegardes de cluster qui peuvent contenir la clé.
Lorsque vous planifiez la suppression d'une clé KMS d'un magasin de clés AWS CloudHSM, la clé KMS devient immédiatement inutilisable (sous réserve d'une éventuelle cohérence). Toutefois, les ressources chiffrées à l'aide de clés de données protégées par la clé KMS ne sont pas affectées tant que la clé KMS n'est pas réutilisée, par exemple pour déchiffrer la clé de données. Ce problème affecte les AWS services, dont beaucoup utilisent des clés de données pour protéger vos ressources. Pour plus d'informations, consultez Comment les clés KMS inutilisables affectent les clés de données.
