外部キーストアのプロパティの編集

既存の外部キーストアの選択したプロパティは、編集が可能です。

一部のプロパティは、外部キーストアが接続または切断されている間、編集することができます。それ以外のプロパティでは、先に、外部キーストアプロキシから外部キーストアを切断する必要があります。外部キーストアの接続ステータスは DISCONNECTED でなければなりません。外部キーストアが切断されている間はキーストアとその KMS キーを管理することはできますが、外部キーストアで KMS キーを作成または使用することはできません。外部キーストアの接続状態を確認するには、 DescribeCustomKeyStoresオペレーションを使用するか、外部キーストアの詳細ページの「一般的な設定」セクションを参照してください。

外部キーストアのプロパティを更新する前に、 は新しい値を使用して外部キーストアプロキシに GetHealthStatus リクエストAWS KMSを送信します。リクエストが成功すると、更新されたプロパティ値を使って外部キーストアプロキシに接続し、これを認証できることが示されます。リクエストが失敗すると、編集オペレーションは失敗し、エラーを特定する例外が生じます。

編集オペレーションが完了すると、外部キーストア用の更新されたプロパティ値が、AWS KMS コンソールと DescribeCustomKeyStores レスポンスに表示されます。ただし、変更が完全に有効になるまでに最大で 5 分かかります。

AWS KMS コンソールで外部キーストアを編集する場合は、プロキシ URI パスとプロキシ認証の認証情報を指定する、JSON ベースのプロキシ設定ファイルをアップロードすることができます。一部の外部キーストアプロキシでは、このファイルは自動的に生成されます。詳細については、外部キーストアプロキシか外部キーマネージャーのドキュメントを参照してください。

外部キーストアの次のプロパティは、変更が可能です。

編集可能な外部キーストアプロパティ	どの接続ステータスでも可	切断済み状態が必要
カスタムキーストア名 カスタムキーストアの必須フレンドリ名 重要 このフィールドには、機密情報や重要情報を含めないでください。このフィールドは、 CloudTrail ログやその他の出力にプレーンテキストで表示される場合があります。
プロキシ認証情報 (XksProxyAuthenticationCredential） (1 つの要素のみを変更する場合でも、アクセスキー ID とシークレットアクセスキーの両方を指定する必要がある)。
プロキシ URI パス (XksProxyUriPath）
プロキシ接続 (XksProxyConnectivity） (プロキシ URI エンドポイントも更新する必要がある。VPC エンドポイントサービス接続に変更する場合、プロキシ VPC エンドポイントサービス名を指定する)。
プロキシ URI エンドポイント (XksProxyUriEndpoint） プロキシエンドポイント URI を変更する場合、関連付けられた TLS 証明書の変更も必要になる場合がある。
プロキシ VPC エンドポイントサービス名 (XksProxyVpcEndpointServiceName） (このフィールドは VPC エンドポイントサービスの接続に必要)。

外部キーストアを編集する (コンソール)

キーストアを編集すると、編集可能な任意の値を変更できます。一部の変更では、外部キーストアを外部キーストアプロキシから切断することが必要になります。

プロキシ URI パスまたはプロキシ認証の認証情報を編集する場合は、新しい値を入力するか、新しい値を含む、外部キーストアのプロキシ設定ファイルをアップロードします。

外部キーストアを編集する (API)

外部キーストアのプロパティを変更するには、 UpdateCustomKeyStoreオペレーションを使用します。同じオペレーションで外部キーストアの複数のプロパティを変更できます。オペレーションが成功すると、AWS KMS は HTTP 200 レスポンスおよびプロパティなしの JSON オブジェクトを返します。

外部キーストアを識別するには CustomKeyStoreId パラメータを使用します。プロパティを変更するには他のパラメータを使用します。UpdateCustomKeyStore オペレーションでは、プロキシ設定ファイルを使用できません。プロキシ設定ファイルがサポートされているのは、AWS KMS コンソールのみです。ただし、プロキシ設定ファイルは、外部キーストアプロキシの正しいパラメータ値を決める際に役立ちます。

このセクションの例では AWS Command Line Interface (AWS CLI) を使用しますが、サポートされている任意のプログラミング言語を使用することができます。

始める前に、必要に応じて、外部キーストアプロキシから外部キーストアを切断します。更新後、必要に応じて、外部キーストアプロキシに外部キーストアを再接続できます。外部キーストアは切断された状態にしておくことができますが、キーストアに新しい KMS キーを作成したり、暗号化オペレーションのためにキーストアで既存の KMS キーを使用したりするときは、先に接続しておく必要があります。

aws configure set cli_follow_urlparam false

Error parsing parameter '--xks-proxy-uri-endpoint': Unable to retrieve 
https:// : received non 200 status code of 404

外部キーストアの名前を変更する

最初の例では、 UpdateCustomKeyStoreオペレーションを使用して、外部キーストアのフレンドリ名を に変更しますXksKeyStore。このコマンドでは、CustomKeyStoreId パラメータを使用してカスタムキーストアを識別し、CustomKeyStoreName でカスタムキーストアの新しい名前を指定します。例にある値は、すべて外部キーストアの実際の値に置き換えます。

$ aws kms update-custom-key-store --custom-key-store-id cks-1234567890abcdef0 --new-custom-key-store-name XksKeyStore

プロキシ認証の認証情報を変更する

次の例では、AWS KMS が外部キーストアプロキシの認証に使用する、プロキシ認証の認証情報を更新します。認証情報を更新するとき、それがプロキシ上でローテーションされる場合は、このようなコマンドを使用できます。

まず、外部キーストアプロキシで認証情報を更新します。次に、この機能を使用して AWS KMS に変更を報告します。(プロキシは、ユーザーが AWS KMS で認証情報を更新できるよう一時的に新旧両方の認証情報をサポートします)。

変更する値が 1 つのみの場合でも、アクセスキー ID とシークレットアクセスキーの両方を認証情報で指定する必要があります。

最初の 2 つのコマンドは、認証情報値を保持する変数を設定します。UpdateCustomKeyStore オペレーションは CustomKeyStoreId パラメータを使って外部キーストアを識別します。XksProxyAuthenticationCredential パラメータをその AccessKeyId と RawSecretAccessKey フィールドで使用し、新しい認証情報を指定します。例にある値は、すべて外部キーストアの実際の値に置き換えます。

$ accessKeyID=access key id
$ secretAccessKey=secret access key

$ aws kms update-custom-key-store --custom-key-store-id cks-1234567890abcdef0 \
        --xks-proxy-authentication-credential \ 
            AccessKeyId=$accessKeyId,RawSecretAccessKey=$secretAccessKey

プロキシ URI パスを変更する

次の例では、プロキシ URI パス (XksProxyUriPath) を更新します。プロキシ URI エンドポイントとプロキシ URI パスを組み合わせた値は、AWS アカウント およびリージョン内で一意でなければなりません。例にある値は、すべて外部キーストアの実際の値に置き換えます。

$ aws kms update-custom-key-store --custom-key-store-id cks-1234567890abcdef0 \
            --xks-proxy-uri-path /kms/xks/v1

VPC エンドポイントサービス接続を変更する

次の例では、 UpdateCustomKeyStoreオペレーションを使用して、外部キーストアプロキシの接続タイプを に変更しますVPC_ENDPOINT_SERVICE。この変更を行うには、VPC エンドポイントサービスの接続に必要な値 (VPC エンドポイントサービス名 (XksProxyVpcEndpointServiceName)、VPC エンドポイントサービスのプライベート DNS 名を含むプロキシ URI エンドポイント (XksProxyUriEndpoint) 値など) を指定する必要があります。例にある値は、すべて外部キーストアの実際の値に置き換えます。

$ aws kms update-custom-key-store --custom-key-store-id cks-1234567890abcdef0 \
            --xks-proxy-connectivity "VPC_ENDPOINT_SERVICE" \
            --xks-proxy-uri-endpoint https://myproxy-private.xks.example.com \
            --xks-proxy-vpc-endpoint-service-name com.amazonaws.vpce.us-east-1.vpce-svc-example

パブリックエンドポイント接続の変更

次の例では、外部キーストアプロキシの接続タイプを PUBLIC_ENDPOINT に変更します。この変更を行うときは、プロキシ URI エンドポイント (XksProxyUriEndpoint) の値を更新する必要があります。例にある値は、すべて外部キーストアの実際の値に置き換えます。

$ aws kms update-custom-key-store --custom-key-store-id cks-1234567890abcdef0 \
            --xks-proxy-connectivity "PUBLIC_ENDPOINT" \
            --xks-proxy-uri-endpoint https://myproxy.xks.example.com