Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Protezione del materiale della chiave importato
Il materiale della chiave importato è protetto durante il transito e a riposo. Prima di importare il materiale chiave, si crittografa (o «racchiude») il materiale chiave con la chiave pubblica di una coppia di chiavi RSA generata in moduli di sicurezza AWS KMS hardware (HSM) convalidati nell'ambito del programma di convalida del modulo crittografico FIPS 140-3
Al ricevimento, AWS KMS decrittografa il materiale chiave con la corrispondente chiave privata in un AWS KMS HSM e lo crittografa nuovamente con una chiave simmetrica AES che esiste solo nella memoria volatile dell'HSM. Il materiale della chiave non esce mai in testo normale dal modulo HSM. Viene decrittografato solo mentre è in uso e solo all'interno degli HSM. AWS KMS
L'uso della chiave KMS con il materiale della chiave importato è determinato esclusivamente dalle policy di controllo degli accessi che hai impostato sulla chiave KMS. Inoltre, puoi utilizzare alias e tag per identificare e controllare l'accesso alla chiave KMS. Puoi abilitare e disabilitare la chiave, visualizzarla e Monitor AWS KMS keys monitorarla utilizzando servizi come. AWS CloudTrail
Ciononostante, conserva solo la copia sicura del materiale della chiave. In cambio di questa ulteriore misura di controllo, siete responsabili della durabilità e della disponibilità complessiva del materiale chiave importato. AWS KMS è progettato per mantenere alta la disponibilità del materiale chiave importato. Ma AWS KMS non mantiene la durabilità del materiale chiave importato allo stesso livello del materiale chiave che lo AWS KMS genera.
Questa differenza di durabilità è significativa nei seguenti casi:
-
Quando si imposta una data di scadenza per il materiale chiave importato, AWS KMS elimina il materiale chiave dopo la scadenza. AWS KMS non elimina la chiave KMS o i relativi metadati. Puoi creare un CloudWatch allarme Amazon che ti avvisa quando il materiale chiave importato si avvicina alla data di scadenza.
Non puoi eliminare il materiale chiave AWS KMS generato per una chiave KMS e non puoi impostare la scadenza del materiale AWS KMS chiave.
-
Quando si elimina manualmente il materiale chiave importato, AWS KMS elimina il materiale chiave ma non elimina la chiave KMS o i relativi metadati. Al contrario, la pianificazione dell'eliminazione della chiave richiede un periodo di attesa compreso tra 7 e 30 giorni, dopodiché elimina AWS KMS definitivamente la chiave KMS, i relativi metadati e il relativo materiale chiave.
-
Nell'improbabile eventualità che si verifichino problemi a livello regionale AWS KMS (ad esempio una perdita totale di alimentazione), non è possibile ripristinare automaticamente il materiale chiave importato. AWS KMS Tuttavia, AWS KMS può ripristinare la chiave KMS e i relativi metadati.
È necessario conservare una copia del materiale chiave importato all'esterno di AWS un sistema che controlli. Ti consigliamo di archiviare una copia esportabile del materiale della chiave importato in un sistema di gestione delle chiavi, ad esempio un modulo HSM. Come procedura consigliata, è consigliabile memorizzare un riferimento all'ARN della chiave KMS e all'ID del materiale chiave generato da AWS KMS insieme alla copia esportabile del materiale chiave. Se il materiale della chiave importato viene eliminato o scade, la chiave KMS associata diventa inutilizzabile fino a quando non importi nuovamente lo stesso materiale della chiave. Se il materiale della chiave importato viene perso definitivamente, qualunque testo criptato crittografato con la chiave KMS è irrecuperabile.
Importante
Le chiavi di crittografia simmetriche possono essere associate a più materiali chiave. L'intera chiave KMS diventa inutilizzabile non appena si elimina uno di questi materiali chiave o se uno di questi materiali chiave scade (a meno che il materiale chiave eliminato o in scadenza non sia o). PENDING_ROTATION PENDING_MULTI_REGION_IMPORT_AND_ROTATION È necessario reimportare qualsiasi materiale chiave scaduto o eliminato associato a tale chiave prima che la chiave diventi utilizzabile per le operazioni crittografiche.
