Buat toko kunci eksternal

Anda dapat membuat satu atau banyak toko kunci eksternal di masing-masing Akun AWS dan Wilayah. Setiap penyimpanan kunci eksternal harus dikaitkan dengan pengelola kunci eksternal di luar AWS, dan proxy penyimpanan kunci eksternal (XKSproxy) yang memediasi komunikasi antara AWS KMS dan manajer kunci eksternal Anda. Untuk detailnya, lihat Pilih opsi konektivitas proxy penyimpanan kunci eksternal. Sebelum Anda mulai, konfirmasikan bahwa Anda memerlukan toko kunci eksternal. Sebagian besar pelanggan dapat menggunakan KMS kunci yang didukung oleh materi AWS KMS utama.

Sebelum Anda membuat toko kunci eksternal Anda, Anda perlu merakit prasyarat. Selama proses pembuatan, Anda menentukan properti penyimpanan kunci eksternal Anda. Yang paling penting, Anda menunjukkan apakah penyimpanan kunci eksternal Anda AWS KMS menggunakan titik akhir publik atau layanan VPC titik akhir untuk terhubung ke proxy penyimpanan kunci eksternalnya. Anda juga menentukan detail koneksi, termasuk URI titik akhir proxy dan jalur dalam titik akhir proxy tempat AWS KMS mengirim API permintaan ke proxy.

Pertimbangan tambahan:

Semua toko kunci eksternal baru dibuat dalam keadaan terputus. Sebelum Anda dapat membuat KMS kunci penyimpanan kunci eksternal Anda, Anda harus menghubungkannya ke proxy penyimpanan kunci eksternal. Untuk mengubah properti penyimpanan kunci eksternal Anda, edit pengaturan penyimpanan kunci eksternal Anda.

Memasang prasyarat

Sebelum Anda membuat penyimpanan kunci eksternal, Anda perlu merakit komponen yang diperlukan, termasuk pengelola kunci eksternal yang akan Anda gunakan untuk mendukung penyimpanan kunci eksternal dan proxy penyimpanan kunci eksternal yang menerjemahkan AWS KMS permintaan ke dalam format yang dapat dipahami oleh manajer kunci eksternal Anda.

Komponen berikut diperlukan untuk semua toko kunci eksternal. Selain komponen ini, Anda perlu menyediakan komponen untuk mendukung opsi konektivitas proxy penyimpanan kunci eksternal yang Anda pilih.

Manajer kunci eksternal

Setiap penyimpanan kunci eksternal memerlukan setidaknya satu instance pengelola kunci eksternal. Ini bisa berupa modul keamanan perangkat keras fisik atau virtual (HSM), atau perangkat lunak manajemen kunci.

Anda dapat menggunakan satu manajer kunci, tetapi kami merekomendasikan setidaknya dua contoh manajer kunci terkait yang berbagi kunci kriptografi untuk redundansi. Toko kunci eksternal tidak memerlukan penggunaan eksklusif manajer kunci eksternal. Namun, manajer kunci eksternal harus memiliki kapasitas untuk menangani frekuensi permintaan enkripsi dan dekripsi yang diharapkan dari AWS layanan yang menggunakan KMS kunci di penyimpanan kunci eksternal untuk melindungi sumber daya Anda. Manajer kunci eksternal Anda harus dikonfigurasi untuk menangani hingga 1800 permintaan per detik dan merespons dalam batas waktu 250 milidetik untuk setiap permintaan. Kami menyarankan Anda menemukan manajer kunci eksternal dekat dengan Wilayah AWS sehingga waktu pulang-pergi jaringan (RTT) adalah 35 milidetik atau kurang.

Jika proxy penyimpanan kunci eksternal Anda mengizinkannya, Anda dapat mengubah pengelola kunci eksternal yang Anda kaitkan dengan proxy penyimpanan kunci eksternal Anda, tetapi manajer kunci eksternal yang baru harus berupa cadangan atau snapshot dengan materi kunci yang sama. Jika kunci eksternal yang Anda kaitkan dengan KMS kunci tidak lagi tersedia untuk proxy penyimpanan kunci eksternal Anda, tidak AWS KMS dapat mendekripsi ciphertext yang dienkripsi dengan kunci tersebut. KMS

Manajer kunci eksternal harus dapat diakses oleh proxy penyimpanan kunci eksternal. Jika GetHealthStatusrespons dari proxy melaporkan bahwa semua instance pengelola kunci eksternal adalahUnavailable, semua upaya untuk membuat penyimpanan kunci eksternal gagal dengan file. XksProxyUriUnreachableException

Proksi penyimpanan kunci eksternal

Anda harus menentukan proxy penyimpanan kunci eksternal (XKSproxy) yang sesuai dengan persyaratan desain dalam APISpesifikasi Proxy Toko Kunci AWS KMS Eksternal. Anda dapat mengembangkan atau membeli proxy penyimpanan kunci eksternal, atau menggunakan proxy penyimpanan kunci eksternal yang disediakan oleh atau dibangun ke dalam manajer kunci eksternal Anda. AWS KMS merekomendasikan agar proxy penyimpanan kunci eksternal Anda dikonfigurasi untuk menangani hingga 1800 permintaan per detik dan merespons dalam batas waktu 250 milidetik untuk setiap permintaan. Kami menyarankan Anda menemukan manajer kunci eksternal dekat dengan Wilayah AWS sehingga waktu pulang-pergi jaringan (RTT) adalah 35 milidetik atau kurang.

Anda dapat menggunakan proxy penyimpanan kunci eksternal untuk lebih dari satu penyimpanan kunci eksternal, tetapi setiap penyimpanan kunci eksternal harus memiliki URI titik akhir dan jalur yang unik dalam proxy penyimpanan kunci eksternal untuk permintaannya.

Jika Anda menggunakan konektivitas layanan VPC endpoint, Anda dapat menemukan proxy penyimpanan kunci eksternal di Amazon AndaVPC, tetapi itu tidak diperlukan. Anda dapat menemukan proxy Anda di luar AWS, seperti di pusat data pribadi Anda, dan menggunakan layanan VPC endpoint hanya untuk berkomunikasi dengan proxy.

Kredensi otentikasi proxy

Untuk membuat penyimpanan kunci eksternal, Anda harus menentukan kredensi otentikasi proxy penyimpanan kunci eksternal Anda ()XksProxyAuthenticationCredential.

Anda harus membuat kredensi otentikasi (XksProxyAuthenticationCredential) untuk AWS KMS proxy penyimpanan kunci eksternal Anda. AWS KMS mengautentikasi proxy Anda dengan menandatangani permintaannya menggunakan proses Signature Version 4 (SigV4) dengan kredensi otentikasi proxy penyimpanan kunci eksternal. Anda menentukan kredensi otentikasi saat membuat penyimpanan kunci eksternal dan Anda dapat mengubahnya kapan saja. Jika proxy Anda memutar kredensi Anda, pastikan untuk memperbarui nilai kredensi untuk penyimpanan kunci eksternal Anda.

Kredensi otentikasi proxy memiliki dua bagian. Anda harus menyediakan kedua bagian untuk toko kunci eksternal Anda.

Kredensi SigV4 yang AWS KMS digunakan untuk menandatangani permintaan ke proxy penyimpanan kunci eksternal tidak terkait dengan kredensi SigV4 apa pun yang terkait dengan prinsip apa pun di akun Anda. AWS Identity and Access Management AWS Jangan gunakan kembali kredensi IAM SigV4 apa pun untuk proxy penyimpanan kunci eksternal Anda.

Konektivitas proxy

Untuk membuat penyimpanan kunci eksternal, Anda harus menentukan opsi konektivitas proxy penyimpanan kunci eksternal Anda (XksProxyConnectivity).

AWS KMS dapat berkomunikasi dengan proxy penyimpanan kunci eksternal Anda dengan menggunakan titik akhir publik atau layanan titik akhir Amazon Virtual Private Cloud (AmazonVPC). Meskipun titik akhir publik lebih mudah untuk dikonfigurasi dan dipelihara, itu mungkin tidak memenuhi persyaratan keamanan untuk setiap instalasi. Jika Anda memilih opsi konektivitas layanan VPC titik akhir Amazon, Anda harus membuat dan memelihara komponen yang diperlukan, termasuk Amazon VPC dengan setidaknya dua subnet di dua Availability Zone yang berbeda, layanan VPC endpoint dengan penyeimbang beban jaringan dan grup target, dan DNS nama pribadi untuk layanan endpoint. VPC

Anda dapat mengubah opsi konektivitas proxy untuk penyimpanan kunci eksternal Anda. Namun, Anda harus memastikan bahwa ketersediaan berkelanjutan dari materi utama yang terkait dengan KMS kunci di toko kunci eksternal Anda. Jika tidak, AWS KMS tidak dapat mendekripsi ciphertext apa pun yang dienkripsi dengan kunci tersebut. KMS

Untuk bantuan menentukan opsi konektivitas proxy mana yang terbaik untuk penyimpanan kunci eksternal Anda, lihatPilih opsi konektivitas proxy penyimpanan kunci eksternal. Untuk bantuan membuat konfigurasi konektivitas layanan VPC titik akhir, lihat. Konfigurasikan VPC konektivitas layanan titik akhir

Titik URI akhir proxy

Untuk membuat penyimpanan kunci eksternal, Anda harus menentukan endpoint (XksProxyUriEndpoint) yang AWS KMS digunakan untuk mengirim permintaan ke proxy penyimpanan kunci eksternal.

Protokolnya HTTPS harus AWS KMS berkomunikasi di port 443. Jangan tentukan port dalam nilai URI titik akhir proxy.

Sertifikat TLS server yang dikonfigurasi pada proxy penyimpanan kunci eksternal harus cocok dengan nama domain di URI titik akhir proxy penyimpanan kunci eksternal dan dikeluarkan oleh otoritas sertifikat yang didukung untuk penyimpanan kunci eksternal. Untuk daftar, lihat Otoritas Sertifikat Tepercaya. Otoritas sertifikat Anda akan memerlukan bukti kepemilikan domain sebelum menerbitkan TLS sertifikat.

Nama umum subjek (CN) pada TLS sertifikat harus cocok dengan DNS nama pribadi. Misalnya, jika DNS nama pribadinyamyproxy-private.xks.example.com, CN pada TLS sertifikat harus myproxy-private.xks.example.com atau*.xks.example.com.

Anda dapat mengubah URI titik akhir proxy Anda, tetapi pastikan bahwa proxy penyimpanan kunci eksternal memiliki akses ke materi kunci yang terkait dengan KMS kunci di toko kunci eksternal Anda. Jika tidak, AWS KMS tidak dapat mendekripsi ciphertext apa pun yang dienkripsi dengan kunci tersebut. KMS

Persyaratan keunikan

URIJalur proxy

Untuk membuat penyimpanan kunci eksternal, Anda harus menentukan jalur dasar di proxy penyimpanan kunci eksternal Anda ke proxy yang diperlukan APIs. Nilai harus dimulai dengan / dan harus diakhiri dengan/kms/xks/v1 di mana v1 mewakili versi AWS KMS API untuk proxy penyimpanan kunci eksternal. Jalur ini dapat menyertakan awalan opsional antara elemen yang diperlukan seperti/example-prefix/kms/xks/v1. Untuk menemukan nilai ini, lihat dokumentasi untuk proxy penyimpanan kunci eksternal Anda.

AWS KMS mengirimkan permintaan proxy ke alamat yang ditentukan oleh penggabungan URI titik akhir proxy dan jalur proxy. URI Misalnya, jika URI titik akhir proxy https://myproxy.xks.example.com dan URI jalur proxy adalah/kms/xks/v1, AWS KMS kirimkan API permintaan proksi kehttps://myproxy.xks.example.com/kms/xks/v1.

Anda dapat mengubah URI jalur proxy Anda, tetapi pastikan bahwa proxy penyimpanan kunci eksternal memiliki akses ke materi kunci yang terkait dengan KMS kunci di toko kunci eksternal Anda. Jika tidak, AWS KMS tidak dapat mendekripsi ciphertext apa pun yang dienkripsi dengan kunci tersebut. KMS

Persyaratan keunikan

VPClayanan endpoint

Menentukan nama layanan VPC endpoint Amazon yang digunakan untuk berkomunikasi dengan proxy penyimpanan kunci eksternal Anda. Komponen ini hanya diperlukan untuk penyimpanan kunci eksternal yang menggunakan konektivitas layanan VPC endpoint. Untuk bantuan menyiapkan dan mengonfigurasi layanan VPC titik akhir Anda untuk penyimpanan kunci eksternal, lihat. Konfigurasikan VPC konektivitas layanan titik akhir

Layanan VPC endpoint harus memiliki properti berikut:

Persyaratan keunikan

File konfigurasi proxy

File konfigurasi proxy adalah file JSON berbasis opsional yang berisi nilai untuk URIjalur proxy dan properti kredensi otentikasi proxy dari penyimpanan kunci eksternal Anda. Saat membuat atau mengedit penyimpanan kunci eksternal di AWS KMS konsol, Anda dapat mengunggah file konfigurasi proxy untuk menyediakan nilai konfigurasi untuk penyimpanan kunci eksternal Anda. Menggunakan file ini menghindari kesalahan pengetikan dan penyisipan, dan memastikan bahwa nilai di penyimpanan kunci eksternal Anda cocok dengan nilai di proxy penyimpanan kunci eksternal Anda.

File konfigurasi proxy dihasilkan oleh proxy penyimpanan kunci eksternal. Untuk mengetahui apakah proxy penyimpanan kunci eksternal Anda menawarkan file konfigurasi proxy, lihat dokumentasi proxy penyimpanan kunci eksternal Anda.

Berikut ini adalah contoh file konfigurasi proxy yang terbentuk dengan baik dengan nilai fiktif.

{
  "XksProxyUriPath": "/example-prefix/kms/xks/v1",
  "XksProxyAuthenticationCredential": {
    "AccessKeyId": "ABCDE12345670EXAMPLE",
    "RawSecretAccessKey": "0000EXAMPLEFA5FT0mCc3DrGUe2sti527BitkQ0Zr9MO9+vE="
  }
}

Anda dapat mengunggah file konfigurasi proxy hanya saat membuat atau mengedit penyimpanan kunci eksternal di AWS KMS konsol. Anda tidak dapat menggunakannya dengan UpdateCustomKeyStoreoperasi CreateCustomKeyStoreatau, tetapi Anda dapat menggunakan nilai dalam file konfigurasi proxy untuk memastikan bahwa nilai parameter Anda benar.

Buat toko kunci eksternal baru

Setelah Anda mengumpulkan prasyarat yang diperlukan, Anda dapat membuat toko kunci eksternal baru di AWS KMS konsol atau dengan menggunakan operasi. CreateCustomKeyStore

aws configure set cli_follow_urlparam false

Error parsing parameter '--xks-proxy-uri-endpoint': Unable to retrieve 
https:// : received non 200 status code of 404

$ aws kms create-custom-key-store
        --custom-key-store-name ExampleExternalKeyStorePublic \
        --custom-key-store-type EXTERNAL_KEY_STORE \
        --xks-proxy-connectivity PUBLIC_ENDPOINT \
        --xks-proxy-uri-endpoint https://myproxy.xks.example.com \
        --xks-proxy-uri-path /kms/xks/v1 \
        --xks-proxy-authentication-credential AccessKeyId=<value>,RawSecretAccessKey=<value>  

$ aws kms create-custom-key-store
        --custom-key-store-name ExampleExternalKeyStoreVPC \
        --custom-key-store-type EXTERNAL_KEY_STORE \
        --xks-proxy-connectivity VPC_ENDPOINT_SERVICE \
        --xks-proxy-vpc-endpoint-service-name com.amazonaws.vpce.us-east-1.vpce-svc-example \
        --xks-proxy-uri-endpoint https://myproxy-private.xks.example.com \
        --xks-proxy-uri-path /kms/xks/v1 \
        --xks-proxy-authentication-credential AccessKeyId=<value>,RawSecretAccessKey=<value>

{
    "CustomKeyStoreId": cks-1234567890abcdef0
}