Eliminare un AWS KMS keys - AWS Key Management Service
Informazioni sul periodo di attesaConsiderazioni speciali

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Eliminare un AWS KMS keys

L'eliminazione di un file AWS KMS key è distruttiva e potenzialmente pericolosa. Elimina il materiale chiave e tutti i metadati associati alla chiave ed è irreversibile. KMS Dopo l'eliminazione di una KMS chiave, non è più possibile decrittografare i dati crittografati con quella KMS chiave, il che significa che i dati diventano irrecuperabili. (Le uniche eccezioni sono le chiavi di replica multiregionali e asimmetriche e le chiavi con materiale chiave importato.) HMAC KMS Questo rischio è significativo per KMSle chiavi asimmetriche utilizzate per la crittografia in cui, senza avvisi o errori, gli utenti possono continuare a generare testi cifrati con la chiave pubblica che non possono essere decrittografati dopo l'eliminazione della chiave privata. AWS KMS

È consigliabile eliminare una KMS chiave solo quando si è certi di non averne più bisogno. Se non sei sicuro, valuta la possibilità di disabilitare la KMS chiave anziché eliminarla. È possibile riattivare una KMS chiave disabilitata e annullare l'eliminazione pianificata di una KMS chiave, ma non è possibile ripristinare una chiave eliminata. KMS

È possibile solamente pianificare l'eliminazione di una chiave gestita dal cliente. Non è possibile eliminare Chiavi gestite da AWS o Chiavi di proprietà di AWS.

Prima di eliminare una KMS chiave, potresti voler sapere quanti testi cifrati sono stati crittografati con quella chiave. KMS AWS KMS non memorizza queste informazioni e non memorizza nessuno dei testi cifrati. Per ottenere queste informazioni, è necessario determinare l'utilizzo passato di una KMS chiave. Per assistenza, vai a Determinare l'utilizzo passato di una KMS chiave.

AWS KMS non elimina mai le KMS chiavi a meno che non ne pianifichi esplicitamente l'eliminazione e che il periodo di attesa obbligatorio scada.

Tuttavia, potresti scegliere di eliminare una KMS chiave per uno o più dei seguenti motivi:

  • Per completare il ciclo di vita delle KMS chiavi che non ti servono più

  • Per evitare il sovraccarico di gestione e i costi associati alla manutenzione delle chiavi inutilizzate KMS

  • Per ridurre il numero di KMS chiavi che influiscono sulla quota di risorse KMSchiave

Nota

Se chiudi il tuo Account AWS, KMS le tue chiavi diventano inaccessibili e non ti vengono più addebitate le spese.

AWS KMS registra una voce nel AWS CloudTrail registro quando pianifichi l'eliminazione della KMS chiave e quando la KMSchiave viene effettivamente eliminata.

Informazioni sul periodo di attesa

Poiché eliminare una KMS chiave è distruttivo e potenzialmente pericoloso, è AWS KMS necessario impostare un periodo di attesa di 7-30 giorni. Il periodo di attesa predefinito è di 30 giorni.

Tuttavia, il periodo di attesa effettivo potrebbe essere fino a 24 ore più lungo di quello pianificato. Per ottenere la data e l'ora effettive in cui la KMS chiave verrà eliminata, utilizzare l'DescribeKeyoperazione. Oppure nella AWS KMS console, nella pagina dei dettagli della KMS chiave, nella sezione Configurazione generale, vedi la Data di eliminazione pianificata. Assicurati di segnare il fuso orario.

Durante il periodo di attesa, lo KMS stato e lo stato della chiave sono In attesa di eliminazione.

Al termine del periodo di attesa, AWS KMS elimina la KMS chiave, i relativi alias e tutti i metadati correlati. AWS KMS

La pianificazione dell'eliminazione di una KMS chiave potrebbe non influire immediatamente sulle chiavi dati crittografate dalla chiave. KMS Per informazioni dettagliate, consultare In che modo le chiavi inutilizzabili influiscono sulle chiavi dati KMS.

Usa il periodo di attesa per assicurarti di non aver bisogno della KMS chiave ora o in futuro. Puoi configurare un CloudWatch allarme Amazon per avvisarti se una persona o un'applicazione tenta di utilizzare la KMS chiave durante il periodo di attesa. Per recuperare la KMS chiave, puoi annullare l'eliminazione della chiave prima della fine del periodo di attesa. Al termine del periodo di attesa non è possibile annullare l'eliminazione della chiave e la KMS chiave AWS KMS viene eliminata.

Considerazioni speciali

Prima di pianificare l'eliminazione delle chiavi, consulta le seguenti considerazioni speciali sull'eliminazione delle chiavi per scopi speciali. KMS

Eliminazione delle chiavi asimmetriche KMS

Gli utenti autorizzati possono eliminare chiavi simmetriche o asimmetriche. KMS La procedura per pianificare l'eliminazione di queste KMS chiavi è la stessa per entrambi i tipi di chiavi. Tuttavia, poiché la chiave pubblica di una chiave asimmetrica KMS può essere scaricata e utilizzata all'esterno AWS KMS, l'operazione comporta rischi aggiuntivi significativi, in particolare per le KMS chiavi asimmetriche utilizzate per la crittografia (l'utilizzo della chiave è). ENCRYPT_DECRYPT

  • Quando si pianifica l'eliminazione di una KMS chiave, lo stato della chiave cambia in In attesa di eliminazione e la KMS chiave non può essere utilizzata nelle operazioni KMS crittografiche. Tuttavia, la pianificazione dell'eliminazione non ha alcun effetto sulle chiavi pubbliche esterne a. AWS KMS Gli utenti che dispongono della chiave pubblica possono continuare a utilizzarle per crittografare i messaggi. Non ricevono alcuna notifica del cambiamento dello stato della chiave. A meno che l'eliminazione non venga annullata, il testo cifrato creato con la chiave pubblica non può essere decrittato.

  • Gli allarmi, i registri e altre strategie che rilevano il tentativo di utilizzo di una KMS chiave in attesa di eliminazione non possono rilevare l'uso della chiave pubblica all'esterno di. AWS KMS

  • Quando la KMS chiave viene eliminata, tutte le AWS KMS azioni che coinvolgono quella chiave falliscono. KMS Tuttavia, gli utenti che dispongono della chiave pubblica possono continuare a utilizzarla per crittografare i messaggi. Questi testi cifrati non possono essere decrittati.

Se è necessario eliminare una chiave asimmetrica che utilizza una KMS chiave diENCRYPT_DECRYPT, utilizza le voci di CloudTrail registro per determinare se la chiave pubblica è stata scaricata e condivisa. In caso affermativo, verifica che la chiave pubblica non venga utilizzata al di fuori di AWS KMS. Quindi, valuta la possibilità di disabilitare la KMS chiave anziché eliminarla.

Il rischio rappresentato dall'eliminazione di una chiave asimmetrica è mitigato per le chiavi asimmetriche con materiale KMS chiave importato. KMS Per informazioni dettagliate, consultare Deleting KMS keys with imported key material.

Eliminazione di chiavi multiregionali

Per eliminare una chiave primaria, è necessario pianificare l'eliminazione di tutte le chiavi di replica e quindi attendere l'eliminazione delle chiavi di replica. Il periodo di attesa richiesto per l'eliminazione di una chiave primaria inizia quando viene eliminata l'ultima delle relative chiavi di replica. Se è necessario eliminare una chiave primaria da una determinata Regione senza eliminarne le chiavi di replica, modificare la chiave primaria in una chiave di replica aggiornando la Regione principale.

Puoi eliminare una chiave di replica in qualsiasi momento. Non dipende dallo stato della chiave di nessun'altra KMS chiave. Se si elimina accidentalmente una chiave di replica, è possibile ricrearla replicando la stessa chiave primaria nella stessa regione. La nuova chiave di replica creata avrà le stesse proprietà condivise della chiave di replica originale.

Eliminazione di KMS chiavi con materiale chiave importato

L'eliminazione del materiale chiave di una KMS chiave con materiale chiave importato è temporanea e reversibile. Per ripristinare la chiave, reimporta il materiale della chiave.

Al contrario, l'eliminazione di una KMS chiave è irreversibile. Se si pianifica l'eliminazione di una chiave e il periodo di attesa richiesto scade, elimina AWS KMS in modo permanente e irreversibile la KMS chiave, il relativo materiale chiave e tutti i metadati associati alla chiave. KMS

Tuttavia, il rischio e le conseguenze dell'eliminazione di una KMS chiave con materiale chiave importato dipendono dal tipo («specifica chiave») della chiave. KMS

  • Chiavi di crittografia simmetriche: se si elimina una chiave di crittografia simmetrica, tutti i testi cifrati rimanenti crittografati da quella KMS chiave sono irrecuperabili. Non è possibile creare una nuova chiave di crittografia simmetrica in grado di decrittografare i testi cifrati di una KMS chiave di crittografia simmetrica eliminata, anche se si dispone dello stesso materiale di chiave. KMS I metadati univoci di ogni chiave sono associati crittograficamente a ogni KMS testo cifrato simmetrico. Questa funzionalità di sicurezza garantisce che solo la KMS chiave che ha crittografato il testo cifrato simmetrico possa decrittografarlo, ma impedisce di ricreare una chiave equivalente. KMS

  • Asimmetrico e HMAC chiavi: se disponi del materiale chiave originale, puoi creare una nuova chiave con le stesse proprietà crittografiche di una KMS chiave asimmetrica o eliminata. HMAC KMS AWS KMS genera RSA testi e firme cifrati standard, ECC firme e tag, che non includono funzionalità di sicurezza uniche. HMAC Inoltre, puoi utilizzare una HMAC chiave o la chiave privata di una coppia di chiavi asimmetrica all'esterno di. AWS

    Una nuova KMS chiave creata con lo stesso materiale asimmetrico o HMAC chiave avrà un identificatore di chiave diverso. Dovrai creare una nuova politica chiave, ricreare eventuali alias e aggiornare le IAM politiche e le sovvenzioni esistenti in modo che facciano riferimento alla nuova chiave.

Eliminazione delle chiavi da qualsiasi archivio di KMS chiavi AWS CloudHSM

Quando si pianifica l'eliminazione di una KMS chiave da un archivio AWS CloudHSM chiavi, lo stato della chiave cambia in In sospeso di eliminazione. La KMS chiave rimane nello stato In sospeso di eliminazione per tutto il periodo di attesa, anche se non è più disponibile perché è stato disconnesso l'archivio KMS chiavi personalizzato. Ciò consente di annullare l'eliminazione della KMS chiave in qualsiasi momento durante il periodo di attesa.

Allo scadere del periodo di attesa, AWS KMS elimina la KMS chiave da. AWS KMS Quindi AWS KMS fa del suo meglio per eliminare il materiale chiave dal cluster associato AWS CloudHSM . Se AWS KMS non riesce a eliminare tale materiale, ad esempio quando lo store delle chiavi personalizzate è disconnesso da AWS KMS, è possibile che tu debba eliminare manualmente il materiale della chiave orfano dal cluster.

AWS KMS non elimina il materiale chiave dai backup del cluster. Anche se elimini la KMS chiave dal cluster AWS KMS e ne elimini il materiale chiave, i AWS CloudHSM cluster creati dai backup potrebbero contenere il materiale chiave eliminato. Per eliminare definitivamente il materiale chiave, utilizzate l'DescribeKeyoperazione per identificare la data di creazione della KMS chiave. Quindi elimina tutti i backup del cluster che potrebbero contenere quel materiale.

Quando si pianifica l'eliminazione di una KMS chiave da un archivio AWS CloudHSM chiavi, la KMS chiave diventa immediatamente inutilizzabile (fatta salva l'eventuale coerenza). Tuttavia, le risorse crittografate con chiavi dati protette dalla KMS chiave non vengono influenzate fino a quando la KMS chiave non viene riutilizzata, ad esempio per decrittografare la chiave dati. Questo problema riguarda Servizi AWS molti dei quali utilizzano chiavi dati per proteggere le risorse. Per informazioni dettagliate, consultare In che modo le chiavi inutilizzabili influiscono sulle chiavi dati KMS.

Eliminazione delle KMS chiavi da un archivio di chiavi esterno

L'eliminazione di una KMS chiave da un archivio di chiavi esterno non ha alcun effetto sulla chiave esterna utilizzata come materiale chiave.

Quando si pianifica l'eliminazione di una KMS chiave da un archivio di chiavi esterno, lo stato della chiave cambia in In sospeso di eliminazione. La KMS chiave rimane nello stato In sospeso di eliminazione per tutto il periodo di attesa, anche se non è più disponibile perché è stato disconnesso l'archivio KMS chiavi esterno. Ciò consente di annullare l'eliminazione della KMS chiave in qualsiasi momento durante il periodo di attesa. Allo scadere del periodo di attesa, AWS KMS elimina la KMS chiave da. AWS KMS

Quando si pianifica l'eliminazione di una KMS chiave da un archivio chiavi esterno, la KMS chiave diventa immediatamente inutilizzabile (a seconda della coerenza finale). Tuttavia, le risorse crittografate con chiavi dati protette dalla KMS chiave non vengono influenzate fino a quando la KMS chiave non viene riutilizzata, ad esempio per decrittografare la chiave dati. Questo problema riguarda i Servizi AWS, molti dei quali proteggono le risorse tramite le chiavi dati. Per informazioni dettagliate, consultare In che modo le chiavi inutilizzabili influiscono sulle chiavi dati KMS.