Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Étape 2 : Téléchargement de la clé publique d’encapsulage et du jeton d'importation

Après avoir créé un élément AWS KMS key sans clé, téléchargez une clé publique encapsulée et un jeton d'importation pour cette KMS clé à l'aide de la AWS KMS console ou du GetParametersForImportAPI. La clé publique d'encapsulage et le jeton d'importation constituent un ensemble indivisible qui doit être utilisé ensemble.

Vous utiliserez la clé publique d'encapsulage pour chiffrer votre élément de clé pour le transport. Avant de télécharger une paire de clés RSA d'encapsulation, vous sélectionnez la longueur (spécification de clé) de la paire de clés RSA d'encapsulation et l'algorithme d'encapsulation que vous utiliserez pour chiffrer le matériel clé importé en vue de son transport à l'étape 3. AWS KMS prend également en charge la spécification de la clé d'SM2emballage (régions chinoises uniquement).

Chaque ensemble de clés publiques d'encapsulage et de jetons d'importation est valide pendant 24 heures. Si vous ne les utilisez pas pour importer les éléments de clé dans les 24 heures après les avoir téléchargés, vous devez en télécharger de nouveaux. Vous pouvez télécharger de nouvelles clés publiques d'encapsulage et importer des ensembles de jetons à tout moment. Cela vous permet de modifier la longueur de votre clé RSA d'emballage (« spécification clé ») ou de remplacer un ensemble perdu.

Vous pouvez également télécharger un ensemble de clés publiques d'encapsulage et de jetons d'importation pour réimporter le même contenu clé dans une KMS clé. Vous pouvez le faire pour définir ou modifier le délai d'expiration des éléments de clé ou pour restaurer des éléments de clé expirés ou supprimés. Vous devez télécharger et rechiffrer votre contenu clé chaque fois que vous l'importez dans. AWS KMS

Sélectionnez une spécification de clé publique d'encapsulage

Pour protéger votre contenu clé lors de l'importation, vous le chiffrez à l'aide de la clé publique d'encapsulage à partir de AWS KMS laquelle vous le téléchargez et d'un algorithme d'encapsulage pris en charge. Vous sélectionnez une spécification de clé avant de télécharger votre clé publique d'encapsulage et votre jeton d'importation. Toutes les paires de clés d'encapsulage sont générées dans les modules de sécurité AWS KMS matériels (HSMs). La clé privée ne le laisse jamais HSM en texte brut.

Sélectionner un algorithme d'encapsulage

Pour protéger vos éléments de clé pendant l'importation, vous les chiffrez à l'aide de la clé publique d’encapsulage téléchargée et d'un algorithme d'enveloppement pris en charge.

AWS KMS prend en charge plusieurs algorithmes RSA d'encapsulation standard et un algorithme d'encapsulation hybride en deux étapes. En général, nous vous recommandons d'utiliser l'algorithme d'encapsulage le plus sécurisé qui soit compatible avec l’élément de clé importé et les spécifications de clé d’encapsulage. En général, vous choisissez un algorithme pris en charge par le module de sécurité matériel (HSM) ou le système de gestion des clés qui protège le contenu de vos clés.

Le tableau suivant présente les algorithmes d'encapsulation pris en charge pour chaque type de matériau clé et de KMS clé. Les algorithmes sont répertoriés dans l'ordre de préférence.

Téléchargement de la clé publique d’encapsulage et du jeton d'importation (console)

Vous pouvez utiliser la AWS KMS console pour télécharger la clé publique d'encapsulage et le jeton d'importation.

Téléchargement de la clé publique d'encapsulage et du jeton d'importation (AWS KMS API)

Pour télécharger la clé publique et le jeton d'importation, utilisez le GetParametersForImportAPI. Spécifiez la KMS clé qui sera associée au matériau clé importé. Cette KMS clé doit avoir une valeur d'origine deEXTERNAL.

Cet exemple indique l'algorithme RSA_AES_KEY_WRAP_SHA_256 d'encapsulage, la spécification de clé publique d'encapsulage RSA _3072 et un exemple d'ID de clé. Remplacez ces exemples de valeurs par des valeurs valides pour votre téléchargement. Pour l'ID de clé, vous pouvez utiliser un ID de clé ou une clé ARN, mais vous ne pouvez pas utiliser de nom d'alias ou d'alias ARN dans cette opération.

$ aws kms get-parameters-for-import \
    --key-id 1234abcd-12ab-34cd-56ef-1234567890ab \
    --wrapping-algorithm RSA_AES_KEY_WRAP_SHA_256 \
    --wrapping-key-spec RSA_3072

Lorsque la commande s'exécute correctement, vous obtenez une sortie similaire à ce qui suit :

{
    "ParametersValidTo": 1568290320.0,
    "PublicKey": "public key (base64 encoded)",
    "KeyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "ImportToken": "import token (base64 encoded)"
}

Pour préparer les données pour l'étape suivante, base64 décode la clé publique, importe le jeton et enregistre les valeurs décodées dans des fichiers.

Passez à Étape 3 : Chiffrement des éléments de clé.