Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

# Considerazioni sulle chiavi KMS gestite dal cliente e sulle politiche chiave KMS avanzate
<a name="considerations-for-customer-managed-kms-keys-advanced"></a>

Quando implementi chiavi KMS gestite dal cliente con IAM Identity Center, considera questi fattori che influiscono sulla configurazione, sulla sicurezza e sulla manutenzione continua della configurazione di crittografia.

## Considerazioni sulla scelta delle dichiarazioni politiche chiave del KMS di base rispetto a quelle avanzate
<a name="kms-policy-considerations-advanced-vs-baseline"></a>

Nel decidere se rendere più specifiche le autorizzazioni chiave del KMS[Dichiarazioni politiche chiave di Advanced KMS](advanced-kms-policy.md), considerate il sovraccarico di gestione e le esigenze di sicurezza della vostra organizzazione. Dichiarazioni politiche più specifiche forniscono un controllo più dettagliato su chi può utilizzare la chiave e per quali scopi; tuttavia, richiedono una manutenzione continua man mano che la configurazione dello IAM Identity Center si evolve. Ad esempio, se si limita l'uso della chiave KMS a specifiche distribuzioni di applicazioni AWS gestite, sarà necessario aggiornare la policy chiave ogni volta che l'organizzazione desidera distribuire o annullare la distribuzione di un'applicazione. Le policy meno restrittive riducono gli oneri amministrativi ma possono concedere autorizzazioni più ampie di quelle necessarie per i requisiti di sicurezza.

## Considerazioni sull'abilitazione di una nuova istanza di IAM Identity Center con una chiave KMS gestita dal cliente
<a name="considerations-for-enabling-new-instance"></a>

 Le considerazioni qui riportate valgono se si utilizza il contesto di crittografia descritto in [Dichiarazioni politiche chiave di Advanced KMS](advanced-kms-policy.md) per limitare l'uso della chiave KMS a una specifica istanza di IAM Identity Center. 

 Quando si abilita una nuova istanza di IAM Identity Center con una chiave KMS gestita dal cliente, gli ARN di IAM Identity Center e Identity Store sono disponibili solo dopo la configurazione. Sono disponibili le seguenti opzioni: 
+  Utilizza temporaneamente modelli ARN generici e sostituiscili con ARN completi dopo aver abilitato l'istanza. Ricordati di passare da un StringLike operatore all'altro in StringEquals base alle necessità.
  +  Per IAM Identity Center SPN: «arn: $ {Partition} :sso: ::instance/\*». 
  +  Per Identity Store SPN: «arn: $ {Partition} :identitystore: :$ {Account} :identitystore/\*». 
+  Usa temporaneamente «Purpose:KEY\_CONFIGURATION» nell'ARN. Funziona solo per l'abilitazione degli esempi e deve essere sostituito con l'ARN effettivo affinché l'istanza di IAM Identity Center funzioni normalmente. Il vantaggio di questo approccio è che non puoi dimenticare di sostituirlo dopo aver abilitato l'istanza. 
  +  Per IAM Identity Center SPN, usa: «arn: $ {Partition} :sso: :::KEY\_CONFIGURATION» instance/purpose 
  +  Per Identity Store SPN, usa: «arn: $ {Partition} :identitystore: :$ {Account} ::KEY\_CONFIGURATION» identitystore/purpose 
**Importante**  
 Non applicare questa configurazione a una chiave KMS già in uso in un'istanza IAM Identity Center esistente, poiché potrebbe interromperne le normali operazioni. 
+  Ometti la condizione del contesto di crittografia dalla policy delle chiavi KMS fino a quando l'istanza non è abilitata.