Suppression de clés multi-régions

Lorsque vous n'utilisez plus de clé multi-région principale ou de réplica, vous pouvez planifier sa suppression.

Bien que la suppression de clés KMS soit toujours effectuée avec prudence, la suppression d'un réplica d'une clé multi-région est moins risquée, à condition que la clé principale existe toujours dans AWS KMS. Si vous supprimez une clé de réplica de sa région, mais que vous découvrez un texte chiffré qui a été chiffré sous la clé supprimée, vous pouvez déchiffrer ce texte chiffré avec n'importe quelle clé multi-région associée. Vous pouvez également recréer la clé de réplica en répliquant la clé principale dans la région de la clé de réplica.

Toutefois, la suppression d'une clé principale et de toutes ses clés de réplica est une opération très dangereuse, équivalente à la suppression d'une clé à région unique.

Pour supprimer une clé principale, vous devez d'abord supprimer toutes ses clés de réplica. Si vous devez supprimer une clé principale d'une région particulière sans supprimer ses clés de réplica, transformez la clé principale en clé de réplica en mettant à jour la région principale.

Avant de planifier la suppression d'une clé KMS, consultez les mises en garde présentées dans cette Suppression de AWS KMS keys rubrique et les rubriques qui expliquent comment déterminer l'utilisation passée d'une clé KMS et comment configurer une CloudWatch alarme vous avertissant de l'utilisation de la clé KMS pendant la période d'attente. Avant de supprimer la clé principale d'une clé multi-région asymétrique, veuillez consulter la rubrique Suppression de clés asymétriques.

Autorisations de suppression de clés multi-région

Pour planifier la suppression d'une clé multi-région, vous avez besoin uniquement de l'autorisation suivante.

Nous vous recommandons également vivement de disposer des autorisations associées suivantes.

Vous pouvez également inclure l'autorisation de répliquer et de modifier la clé principale.

Vous pouvez inclure ces autorisations dans une politique IAM, mais la bonne pratique consiste à les placer dans une politique de clé où elles s'appliquent uniquement à la clé KMS que vous devez gérer.

Comment supprimer une clé de réplica

Vous pouvez utiliser la console AWS KMS ou l'API AWS KMS pour supprimer une clé de réplica. Vous pouvez supprimer une clé de réplica à tout moment. Cela ne dépend pas de l'état de clé d'une autre clé KMS.

Si vous supprimez par erreur une clé de réplica, vous pouvez la recréer en répliquant la même clé primaire dans la même région. La nouvelle clé de réplica que vous allez créer aura les mêmes propriétés partagées que la clé de réplica d'origine.

La procédure de suppression d'une clé de réplica multi-région est identique à celle de la suppression d'une clé à région unique.

Vous pouvez afficher un enregistrement de vos actions dans votre journal AWS CloudTrail. AWS KMS enregistre les opérations qui planifient la suppression de la clé KMS et l'action qui supprime la clé KMS.

Suppression d'une clé de réplica (console)

Pour planifier la suppression d'une clé de réplica multi-région, utilisez la même procédure que vous utilisez pour planifier la suppression d'une clé à région unique.

Puisque les clés de réplica associées sont dans différentes Régions AWS, vous ne pouvez pas planifier la suppression de plusieurs clés de réplica à la fois. Pour supprimer toutes les clés de réplica associées, utilisez un modèle semblable au suivant.

Suppression d'une clé de réplica (API AWS KMS)

Pour planifier la suppression d'une clé de réplique multirégionale, utilisez l'ScheduleKeyDeletionopération. Pour spécifier la clé KMS, utilisez son ID de clé ou son ARN de clé. Lorsque vous travaillez avec des clés multi-région, vous pouvez réduire l'incidence des erreurs en utilisant l'ARN de clé avec sa valeur de région explicite.

Par exemple, cette commande supprime une clé de réplica de la région us-west-2 (USA Ouest (Oregon)). Étant donné que la commande ne spécifie pas de période d'attente, la période d'attente est définie sur la valeur par défaut de 30 jours.

$ aws kms schedule-key-deletion \
    --region us-west-2 \
    --key-id arn:aws:kms:us-west-2:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab

Lorsque la commande aboutit, elle renvoie l'ARN de clé (KeyId), la période d'attente (PendingWindowInDays), la date de suppression (DeletionDate) et l'état actuel de la clé (KeyState), qui devrait être PendingDeletion.

Lorsque vous supprimez une clé de réplica multi-région, assurez-vous de vérifier que les valeurs d'ID de clé et de région dans l'ARN de clé sont celles que vous attendez.

{
    "KeyId": "arn:aws:kms:us-west-2:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab",
    "DeletionDate": 1599523200.0,
    "KeyState": "PendingDeletion",
    "PendingWindowInDays": 30
}

Pour supprimer tous les réplicas d'une clé principale multi-région par programmation, créez une liste des régions qui contiennent des clés de réplica. Ensuite, pour chaque région de la liste, appelez l'opération ScheduleKeyDeletion, comme indiqué ci-dessus.

Contrairement à une clé à région unique qui est définitivement supprimée, vous pouvez restaurer une clé de réplica en répliquant la clé principale dans la région où se trouvait la clé de réplica supprimée.

Pour vérifier l'état de la clé de réplique et afficher la clé primaire et les clés de réplique d'une clé multirégionale, utilisez l'DescribeKeyopération.

Comment supprimer une clé principale

Vous pouvez planifier la suppression d'une clé principale multi-région à tout moment. Toutefois, AWS KMS ne supprimera pas une clé principale multi-région qui possède des clés de réplica, même si leur suppression est planifiée.

Pour supprimer une clé principale, vous devez planifier la suppression de toutes ses clés de réplica, puis attendre que celles-ci soient supprimées. Le délai d'attente requis pour la suppression d'une clé principale commence lorsque la dernière de ses clés de réplica est supprimée. Si vous devez supprimer une clé principale d'une région particulière sans supprimer ses clés de réplica, transformez la clé principale en clé de réplica en mettant à jour la région principale.

Si une clé principale n'a pas de clés de réplica, le processus est identique à la suppression d'une clé de réplica ou d'une clé KMS régionale.

Lorsqu'une clé principale est programmée pour la suppression, vous ne pouvez pas l'utiliser dans les opérations cryptographiques et vous ne pouvez pas la répliquer. Toutefois, à moins que leur suppression ne soit également planifiée, ses clés de réplica ne sont pas affectées.

Vous pouvez utiliser la console AWS KMS ou l'API AWS KMS pour planifier la suppression des clés principales et de réplica. Vous pouvez planifier la suppression de la clé principale avant, après ou pendant que vous planifiez la suppression des clés de réplica. Le processus peut alors se présenter comme suit.

Le délai minimal pour supprimer une clé primaire avec des réplicas est de 14 jours.

Si vous planifiez la suppression de la clé principale et de toutes les clés de réplica avec un délai d'attente de 7 jours, les clés de réplica sont supprimées au bout de 7 jours. La clé principale est supprimée le 14e jour.

Vous pouvez afficher un registre de vos actions dans votre journal AWS CloudTrail. AWS KMS enregistre les opérations qui planifient la suppression de chaque clé KMS et l'action qui supprime la clé KMS.

Suppression d'une clé principale (console)

Pour supprimer une clé principale multi-région, procédez comme suit.

Suppression d'une clé principale (API AWS KMS)

Pour supprimer une clé de réplique multirégionale, utilisez l'ScheduleKeyDeletionopération. Pour spécifier la clé KMS, utilisez son ID de clé ou son ARN de clé. Lorsque vous travaillez avec des clés multi-région, vous pouvez réduire l'incidence des erreurs en utilisant l'ARN de clé avec sa valeur de région explicite.

$ aws kms schedule-key-deletion \
    --key-id arn:aws:kms:us-east-1:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab

{
    "KeyId": "arn:aws:kms:us-east-1:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab",
    "KeyState": "PendingReplicaDeletion",
    "PendingWindowInDays": 30
}

$ aws kms describe-key \
    --key-id arn:aws:kms:us-east-1:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab

{
    "KeyMetadata": {
        "AWSAccountId": "111122223333",
        "KeyId": "mrk-1234abcd12ab34cd56ef1234567890ab",
        "Arn": "arn:aws:kms:us-east-1:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab",
        "CreationDate": 1597902361.481,
        "Enabled": false,
        "Description": "",
        "KeySpec": "SYMMETRIC_DEFAULT",        
        "KeyState": "PendingReplicaDeletion",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "Origin": "AWS_KMS",
        "KeyManager": "CUSTOMER",
        "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
        "EncryptionAlgorithms": [
            "SYMMETRIC_DEFAULT"
        ],
        "MultiRegion": true,
        "MultiRegionConfiguration": {
            "MultiRegionKeyType": "PRIMARY",
            "PrimaryKey": {
                "Arn": "arn:aws:kms:us-east-1:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab",
                "Region": "us-east-1"
            },
            "ReplicaKeys": [
                {
                    "Arn": "arn:aws:kms:us-west-2:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab",
                    "Region": "us-west-2"
                },
{
                    "Arn": "arn:aws:kms:eu-west-1:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab",
                    "Region": "eu-west-1"
                },
                {
                    "Arn": "arn:aws:kms:ap-southeast-2:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab",
                    "Region": "ap-southeast-2"
                }
            ]
        },
        "PendingDeletionWindowInDays": 30
    }
}

$ aws kms describe-key \
    --key-id arn:aws:kms:us-east-1:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab

{
    "KeyMetadata": {
        "AWSAccountId": "111122223333",
        "KeyId": "mrk-1234abcd12ab34cd56ef1234567890ab",
        "Arn": "",
        "CreationDate": 1597902361.481,
        "Enabled": false,
        "Description": "",
        "KeySpec": "SYMMETRIC_DEFAULT",
        "KeyState": "PendingDeletion",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "DeletionDate": 1597968000.0,
        "Origin": "AWS_KMS",
        "KeyManager": "CUSTOMER",
        "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
        "EncryptionAlgorithms": [
            "SYMMETRIC_DEFAULT"
        ],
        "MultiRegion": true,
        "MultiRegionConfiguration": {
            "MultiRegionKeyType": "PRIMARY",
            "PrimaryKey": {
                "Arn": "arn:aws:kms:us-east-1:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab",
                "Region": "us-east-1"
            },
            "ReplicaKeys": []
        }
    }
}