Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Crea una KMS chiave con materiale chiave importato
Il materiale chiave importato consente di proteggere le AWS risorse con le chiavi crittografiche generate dall'utente. Il materiale chiave importato è associato a una KMS chiave particolare. È possibile reimportare lo stesso materiale chiave nella stessa KMS chiave, ma non è possibile importare materiale chiave diverso nella KMS chiave e non è possibile convertire una KMS chiave progettata per il materiale chiave importato in una KMS chiave con materiale AWS KMS chiave.
La seguente panoramica illustra come importare il materiale della chiave in AWS KMS. Per ulteriori dettagli su ogni fase del processo, consulta l'argomento corrispondente.
-
Create una KMS chiave senza materiale chiave: l'origine deve essere
EXTERNAL. Un'origine chiave diEXTERNALindica che la chiave è progettata per il materiale chiave importato e AWS KMS impedisce la generazione di materiale chiave per la KMS chiave. In una fase successiva importerai il tuo materiale chiave in questa KMS chiave.Il materiale chiave che importate deve essere compatibile con le specifiche chiave della chiave associata AWS KMS . Per ulteriori informazioni sulla compatibilità, consulta Requisiti per il materiale della chiave importato.
-
Scarica la chiave pubblica di wrapping e il token di importazione: dopo aver completato la fase 1, scarica una chiave pubblica di wrapping e un token di importazione. Questi elementi proteggono il tuo materiale della chiave mentre viene importato in AWS KMS.
In questo passaggio, scegli il tipo («specifica chiave») della chiave di RSA wrapping e l'algoritmo di wrapping che utilizzerai per crittografare i dati in transito. AWS KMS Puoi scegliere una specifica della chiave di wrapping e un algoritmo della chiave di wrapping diversi ogni volta che importi o reimporti lo stesso materiale della chiave.
-
Decripta il materiale della chiave: usa la chiave pubblica di wrapping che hai scaricato nella fase 2 per crittografare il materiale della chiave che hai creato sul tuo sistema.
-
Importa il materiale chiave – Carica il materiale della chiave crittografato che hai creato nella fase 3 e il token di importazione che hai scaricato nella fase 2.
In questa fase, puoi impostare una scadenza facoltativa. Quando il materiale chiave importato scade, lo AWS KMS elimina e la chiave diventa inutilizzabile. KMS Per continuare a utilizzare la KMS chiave, è necessario reimportare lo stesso materiale chiave.
Quando l'operazione di importazione viene completata correttamente, lo stato della KMS chiave cambia da a
PendingImport.EnabledÈ ora possibile utilizzare la KMS chiave nelle operazioni crittografiche.
AWS KMS registra una voce nel AWS CloudTrail registro quando si crea la KMS chiave, si scarica la chiave pubblica di wrapping e si importa il token e si importa il materiale chiave. AWS KMS registra anche una voce quando si elimina materiale chiave importato o quando si AWS KMS elimina materiale chiave scaduto.
Autorizzazioni per l'importazione del materiale della chiave
Per creare e gestire KMS chiavi con materiale chiave importato, l'utente deve disporre dell'autorizzazione per le operazioni di questo processo. È possibile fornire le kms:GetParametersForImport autorizzazioni e kms:DeleteImportedKeyMaterial le autorizzazioni nella politica chiave al momento della creazione della KMS chiave. kms:ImportKeyMaterial Nella AWS KMS console, queste autorizzazioni vengono aggiunte automaticamente per gli amministratori chiave quando si crea una chiave con un'origine materiale esterna.
Per creare KMS chiavi con materiale chiave importato, il principale necessita delle seguenti autorizzazioni.
-
-
Per limitare questa autorizzazione alle KMS chiavi con materiale chiave importato, usa la condizione kms: KeyOrigin policy con un valore di.
EXTERNAL{ "Sid": "CreateKMSKeysWithoutKeyMaterial", "Effect": "Allow", "Resource": "*", "Action": "kms:CreateKey", "Condition": { "StringEquals": { "kms:KeyOrigin": "EXTERNAL" } } }
-
-
kms: GetParametersForImport (Politica o IAM politica chiave)
-
kms: ImportKeyMaterial (Politica o politica chiave) IAM
-
Per consentire o vietare la scadenza del materiale chiave e controllare la data di scadenza, utilizza le condizioni delle politiche kms: ExpirationModel e kms:. ValidTo
-
Per reimportare il materiale chiave importato, il principale necessita delle autorizzazioni kms: e kms:. GetParametersForImport ImportKeyMaterial
Ad esempio, per KMSAdminRole autorizzare l'esempio a gestire tutti gli aspetti di una KMS chiave con materiale chiave importato, includi una dichiarazione politica chiave come la seguente nella politica chiave della KMS chiave.
{ "Sid": "Manage KMS keys with imported key material", "Effect": "Allow", "Resource": "*", "Principal": { "AWS": "arn:aws:iam::111122223333:role/KMSAdminRole" }, "Action": [ "kms:GetParametersForImport", "kms:ImportKeyMaterial", "kms:DeleteImportedKeyMaterial" ] }
Requisiti per il materiale della chiave importato
Il materiale chiave che importate deve essere compatibile con le specifiche chiave della KMS chiave associata. Per le coppie di chiavi asimmetriche, importate solo la chiave privata della coppia. AWS KMS ricava la chiave pubblica dalla chiave privata.
AWS KMS supporta le seguenti specifiche chiave per KMS le chiavi con materiale chiave importato.
