Suppression des éléments de clé importés - AWS Key Management Service

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Suppression des éléments de clé importés

Les éléments de clé que vous importez sont protégés pendant le transport et au repos. Avant d'importer le matériel clé, vous chiffrez (ou « enveloppez ») le contenu clé avec la clé publique d'une paire de clés RSA générée dans des modules de sécurité AWS KMS matériels (HSMs) validés dans le cadre du programme de validation des modules cryptographiques FIPS 140-3. Vous pouvez chiffrer l’élément de clé directement avec la clé publique d’enveloppement, ou chiffrer l’élément de clé avec une clé symétrique AES, puis chiffrer la clé symétrique AES avec la clé publique RSA.

À réception, AWS KMS déchiffre le contenu de la clé avec la clé privée correspondante dans un AWS KMS HSM et le chiffre à nouveau sous une clé symétrique AES qui n'existe que dans la mémoire volatile du HSM. Votre élément de clé ne quitte jamais le HSM en texte brut. Il est déchiffré uniquement pendant son utilisation et uniquement pendant son utilisation. AWS KMS HSMs

L'utilisation de votre clé KMS avec l’élément de clé importé est déterminée uniquement par les politiques de contrôle d'accès que vous définissez sur la clé KMS. En outre, vous pouvez utiliser des alias et des balises pour identifier et contrôler l'accès à la clé KMS. Vous pouvez activer et désactiver la clé, la visualiser et la surveiller à l'aide de services tels que AWS CloudTrail.

Cependant, vous conservez la seule copie sûre de votre élément de clé. En échange de cette mesure de contrôle supplémentaire, vous êtes responsable de la durabilité et de la disponibilité globale du matériau clé importé. AWS KMS est conçu pour maintenir la haute disponibilité du matériel clé importé. Mais AWS KMS ne maintient pas la durabilité du matériau clé importé au même niveau que le matériau clé qui en AWS KMS génère.

Cette différence en durabilité est significative dans les cas suivants :

  • Lorsque vous définissez une date d'expiration pour votre matériel clé importé, le AWS KMS matériel clé est supprimé après son expiration. AWS KMS ne supprime pas la clé KMS ni ses métadonnées. Vous pouvez créer une CloudWatch alarme Amazon qui vous avertit lorsque le matériel clé importé approche de sa date d'expiration.

    Vous ne pouvez pas supprimer le contenu clé AWS KMS généré pour une clé KMS et vous ne pouvez pas le définir AWS KMS comme expirant, bien que vous puissiez le faire pivoter.

  • Lorsque vous supprimez manuellement le contenu clé importé, il AWS KMS supprime le contenu clé mais ne supprime pas la clé KMS ni ses métadonnées. En revanche, la planification de la suppression des clés nécessite une période d'attente de 7 à 30 jours, après quoi la clé KMS, ses métadonnées et son contenu clé sont AWS KMS définitivement supprimés.

  • Dans le cas peu probable de certaines défaillances régionales susceptibles de l'affecter AWS KMS (comme une perte totale de courant), vous AWS KMS ne pourrez pas restaurer automatiquement le matériel clé importé. Cependant, AWS KMS vous pouvez restaurer la clé KMS et ses métadonnées.

Vous devez conserver une copie du matériel clé importé à l'extérieur d' AWS un système que vous contrôlez. Nous vous recommandons de stocker une copie exportable des éléments de clé importés dans un système de gestion des clés, tel qu'un module de sécurité matérielle (HSM). Si l’élément de clé importé est supprimé ou expire, la clé KMS associée devient inutilisable tant que vous ne le réimportez pas. En cas de perte définitive des éléments de clé importés, tout texte chiffré au moyen de la clé KMS est irrécupérable.