Alias in AWS KMS

Un alias non è una proprietà di una chiave KMS. Le operazioni eseguite sull'alias non influiscono sulla relativa chiave KMS associata. Puoi creare un alias per una chiave KMS e quindi aggiornare l'alias in modo che venga associato a un'altra chiave KMS. È anche possibile eliminare l'alias senza alcun effetto sulla chiave KMS associata. Tuttavia, se si elimina una chiave KMS, vengono eliminati tutti gli alias associati a tale chiave KMS.

Se si specifica un alias come risorsa in una policy IAM, la policy fa riferimento all'alias e non alla chiave KMS associata.

Quando si crea un alias, si specifica il nome dell'alias. AWS KMS crea l'alias ARN per te.

Gli alias possono essere visualizzati in testo semplice nei log e in CloudTrail altri output. Non includere informazioni riservate o sensibili nel nome dell'alias.

L'alias e la relativa chiave KMS devono trovarsi nello stesso account e nella stessa regione.

È possibile associare un alias a qualsiasi chiave gestita dal cliente nella stessa regione. Account AWS Tuttavia, non hai l'autorizzazione per associare un alias a una Chiave gestita da AWS.

Ad esempio, questo ListAliasesoutput mostra che l'test-keyalias è associato esattamente a una chiave KMS di destinazione, rappresentata dalla proprietà. TargetKeyId

{
     "AliasName": "alias/test-key",
     "AliasArn": "arn:aws:kms:us-west-2:111122223333:alias/test-key",
     "TargetKeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
     "CreationDate": 1593622000.191,
     "LastUpdatedDate": 1593622000.191
}

Ad esempio, puoi associare gli alias test-key e project-key alla stessa chiave KMS.

{
     "AliasName": "alias/test-key",
     "AliasArn": "arn:aws:kms:us-west-2:111122223333:alias/test-key",
     "TargetKeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
     "CreationDate": 1593622000.191,
     "LastUpdatedDate": 1593622000.191
},
{
     "AliasName": "alias/project-key",
     "AliasArn": "arn:aws:kms:us-west-2:111122223333:alias/project-key",
     "TargetKeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
     "CreationDate": 1516435200.399,
     "LastUpdatedDate": 1516435200.399
}

Ad esempio, è possibile avere un solo alias test-key in ogni account e regione. Gli alias rispettano la distinzione tra maiuscole e minuscole, ma gli alias che differiscono solo nella la distinzione tra maiuscole e minuscole sono molto inclini all'errore. Non è possibile modificare un nome alias. Tuttavia, puoi eliminare l'alias e creare un nuovo alias con il nome desiderato.

Ad esempio, puoi avere un alias finance-key negli Stati Uniti orientali (Virginia settentrionale) e un alias finance-key in Europa (Francoforte). Ogni alias verrebbe associato a una chiave KMS nella rispettiva regione. Se il tuo codice fa riferimento a un nome alias come alias/finance-key, puoi eseguirlo in più regioni. In ogni regione utilizza una diversa chiave KMS. Per informazioni dettagliate, consultare Scopri come utilizzare gli alias nelle tue applicazioni.

È possibile utilizzare l'UpdateAliasoperazione per associare un alias a una chiave KMS diversa. Ad esempio, se l'alias finance-key è associato alla chiave KMS 1234abcd-12ab-34cd-56ef-1234567890ab puoi aggiornarlo in modo che sia associato alla chiave KMS 0987dcba-09fe-87dc-65ba-ab0987654321.

Tuttavia, le chiavi KMS correnti e nuove devono essere dello stesso tipo (entrambe simmetriche, asimmetriche o HMAC) e devono avere lo stesso utilizzo della chiave (ENCRYPT_DECRYPT, SIGN_VERIFY o GENERATE_VERIFY_MAC). Questa restrizione impedisce errori nel codice che utilizza alias. Se è necessario associare un alias a un tipo di chiave diverso e sono stati attenuati i rischi, puoi eliminare e ricreare l'alias.

Quando crei una chiave KMS nella AWS KMS console, devi assegnarle un nuovo alias. Ma non è necessario un alias quando si utilizza l'CreateKeyoperazione per creare una chiave KMS. Inoltre, è possibile utilizzare l'UpdateAliasoperazione per modificare la chiave KMS associata a un alias e l'DeleteAliasoperazione per eliminare un alias. Di conseguenza, alcune chiavi KMS potrebbero avere diversi alias e altre potrebbero non averne alcuno.

AWS crea alias nel tuo account per. Chiavi gestite da AWS Questi alias hanno i nomi del modulo alias/aws/<service-name>, ad esempio alias/aws/s3.

Alcuni AWS alias non hanno una chiave KMS. Questi alias predefiniti sono generalmente associati a un messaggio Chiave gestita da AWS quando si inizia a utilizzare il servizio.

È possibile utilizzare un nome alias o un alias ARN per identificare una chiave KMS nelle operazioni crittografiche e. DescribeKeyGetPublicKey (Se l'opzione La chiave KMS è in un Account AWS diverso, è necessario utilizzare il suo ARN della chiave o ARN dell'alias.) Gli alias non sono identificatori validi per le chiavi KMS in altre operazioni AWS KMS . Per informazioni sugli identificatori di chiave validi per ogni operazione AWS KMS API, consulta le descrizioni dei parametri nell'API Reference. KeyIdAWS Key Management Service

Non puoi utilizzare un nome alias o un ARN di alias per identificare una chiave KMS in una policy IAM. Per controllare l'accesso a una chiave KMS in base ai relativi alias, usa le chiavi di condizione kms: RequestAlias o kms:. ResourceAliases Per informazioni dettagliate, consultare ABAC per AWS KMS.