Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Comment les clés KMS inutilisables affectent les clés de données
Lorsqu'une clé KMS devient inutilisable, l'effet est presque immédiat (sous réserve d'une éventuelle cohérence). L'état de clé de la clé KMS change pour refléter son nouvel état, et toutes les requêtes d'utilisation de la clé KMS dans des opérations cryptographiques échouent.
Cependant, l'effet sur les clés de données chiffrées par la clé KMS, et sur les données chiffrées par la clé de données, est retardé jusqu'à ce que la clé KMS soit utilisée à nouveau, par exemple pour déchiffrer la clé de données.
Les clés KMS peuvent devenir inutilisables pour diverses raisons, notamment les actions suivantes que vous pourriez effectuer.
-
Supprimer les éléments de clé d'une clé KMS avec des éléments de clé importés, ou laisser les éléments de clé importés expirer
-
Déconnecter le magasin de AWS CloudHSM clés qui héberge la clé KMS ou supprimer la clé du AWS CloudHSM cluster qui sert de matériau clé pour la clé KMS.
-
Déconnecter le magasin de clés externe qui héberge la clé KMS, ou toute autre action qui interfère avec les requêtes de chiffrement et de déchiffrement adressées au proxy de magasin de clés externe, y compris la suppression de la clé externe de son gestionnaire de clés externe
Cet effet est particulièrement important pour les nombreuses personnes Services AWS qui utilisent des clés de données pour protéger les ressources gérées par le service. L'exemple suivant utilise Amazon Elastic Block Store (Amazon EBS) et Amazon Elastic Compute Cloud ( EC2Amazon). Les utilisateurs Services AWS utilisent les clés de données de différentes manières. Pour plus de détails, veuillez consulter la section Protection des données du chapitre Sécurité pour l' Service AWS.
Par exemple, envisagez le scénario suivant :
-
Vous créez un volume EBS chiffré et spécifiez une clé KMS pour le protéger. Amazon EBS demande à AWS KMS d'utiliser votre clé KMS pour générer une clé de données chiffrée pour le volume. Amazon EBS stocke la clé de données chiffrée avec les métadonnées du volume.
-
Lorsque vous attachez le volume EBS à une EC2 instance, Amazon EC2 utilise votre clé KMS pour déchiffrer la clé de données chiffrée du volume EBS. Amazon EC2 utilise la clé de données du matériel Nitro, qui est chargé de chiffrer toutes les E/S du disque sur le volume EBS. La clé de données est conservée dans le matériel Nitro tant que le volume EBS est attaché à l' EC2 instance.
-
Vous effectuez une action qui rend la clé KMS inutilisable. Cela n'a aucun effet immédiat sur l' EC2 instance ou le volume EBS. Amazon EC2 utilise la clé de données, et non la clé KMS, pour chiffrer toutes les E/S du disque lorsque le volume est attaché à l'instance.
-
Toutefois, lorsque le volume EBS chiffré est détaché de l' EC2 instance, Amazon EBS supprime la clé de données du matériel Nitro. La prochaine fois que le volume EBS chiffré est attaché à une EC2 instance, la pièce jointe échoue, car Amazon EBS ne peut pas utiliser la clé KMS pour déchiffrer la clé de données chiffrée du volume. Pour utiliser le volume EBS à nouveau, vous devez rendre la clé KMS à nouveau utilisable.
