外部キーストアプロパティの編集

キーストアを編集すると、編集可能な任意の値を変更できます。一部の変更では、外部キーストアを外部キーストアプロキシから切断することが必要になります。

プロキシ URI パスまたはプロキシ認証の認証情報を編集する場合は、新しい値を入力するか、新しい値を含む、外部キーストアのプロキシ設定ファイルをアップロードします。

外部キーストアのプロパティを変更するには、UpdateCustomKeyStore オペレーションを使用します。同じオペレーションで外部キーストアの複数のプロパティを変更できます。オペレーションが成功すると、AWS KMS は HTTP 200 レスポンスおよびプロパティなしの JSON オブジェクトを返します。

外部キーストアを識別するには CustomKeyStoreId パラメータを使用します。プロパティを変更するには他のパラメータを使用します。UpdateCustomKeyStore オペレーションでは、プロキシ設定ファイルを使用できません。プロキシ設定ファイルがサポートされているのは、AWS KMS コンソールのみです。ただし、プロキシ設定ファイルは、外部キーストアプロキシの正しいパラメータ値を決める際に役立ちます。

このセクションの例では AWS Command Line Interface (AWS CLI) を使用しますが、サポートされている任意のプログラミング言語を使用することができます。

始める前に、必要に応じて、外部キーストアプロキシから外部キーストアを切断します。更新後、必要に応じて、外部キーストアプロキシに外部キーストアを再接続できます。外部キーストアは切断された状態にしておくことができますが、キーストアに新しい KMS キーを作成したり、暗号化オペレーションのためにキーストアで既存の KMS キーを使用したりするときは、先に接続しておく必要があります。

aws configure set cli_follow_urlparam false

Error parsing parameter '--xks-proxy-uri-endpoint': Unable to retrieve 
https:// : received non 200 status code of 404

外部キーストアの名前を変更する

最初の例では、UpdateCustomKeyStore オペレーションを使用して、カスタムキーストアのフレンドリ名を XksKeyStore に変更します。このコマンドでは、CustomKeyStoreId パラメータを使用してカスタムキーストアを識別し、CustomKeyStoreName でカスタムキーストアの新しい名前を指定します。例にある値は、すべて外部キーストアの実際の値に置き換えます。

$ aws kms update-custom-key-store --custom-key-store-id cks-1234567890abcdef0 --new-custom-key-store-name XksKeyStore

プロキシ認証の認証情報を変更する

次の例では、AWS KMS が外部キーストアプロキシの認証に使用する、プロキシ認証の認証情報を更新します。認証情報を更新するとき、それがプロキシ上でローテーションされる場合は、このようなコマンドを使用できます。

まず、外部キーストアプロキシで認証情報を更新します。次に、この機能を使用して AWS KMS に変更を報告します。(プロキシは、ユーザーが AWS KMS で認証情報を更新できるよう一時的に新旧両方の認証情報をサポートします)。

変更する値が 1 つのみの場合でも、アクセスキー ID とシークレットアクセスキーの両方を認証情報で指定する必要があります。

最初の 2 つのコマンドは、認証情報値を保持する変数を設定します。UpdateCustomKeyStore オペレーションは CustomKeyStoreId パラメータを使って外部キーストアを識別します。XksProxyAuthenticationCredential パラメータをその AccessKeyId と RawSecretAccessKey フィールドで使用し、新しい認証情報を指定します。例にある値は、すべて外部キーストアの実際の値に置き換えます。

$ accessKeyID=access key id
$ secretAccessKey=secret access key

$ aws kms update-custom-key-store --custom-key-store-id cks-1234567890abcdef0 \
        --xks-proxy-authentication-credential \ 
            AccessKeyId=$accessKeyId,RawSecretAccessKey=$secretAccessKey

プロキシ URI パスを変更する

次の例では、プロキシ URI パス (XksProxyUriPath) を更新します。プロキシ URI エンドポイントとプロキシ URI パスを組み合わせた値は、AWS アカウント およびリージョン内で一意でなければなりません。例にある値は、すべて外部キーストアの実際の値に置き換えます。

$ aws kms update-custom-key-store --custom-key-store-id cks-1234567890abcdef0 \
            --xks-proxy-uri-path /kms/xks/v1

VPC エンドポイントサービス接続を変更する

次の例では、UpdateCustomKeyStore オペレーションを使用して、外部キーストアのプロキシ接続タイプを VPC_ENDPOINT_SERVICE に変更します。この変更を行うには、VPC エンドポイントサービスの接続に必要な値 (VPC エンドポイントサービス名 (XksProxyVpcEndpointServiceName)、VPC エンドポイントサービスのプライベート DNS 名を含むプロキシ URI エンドポイント (XksProxyUriEndpoint) 値など) を指定する必要があります。例にある値は、すべて外部キーストアの実際の値に置き換えます。

$ aws kms update-custom-key-store --custom-key-store-id cks-1234567890abcdef0 \
            --xks-proxy-connectivity "VPC_ENDPOINT_SERVICE" \
            --xks-proxy-uri-endpoint https://myproxy-private.xks.example.com \
            --xks-proxy-vpc-endpoint-service-name com.amazonaws.vpce.us-east-1.vpce-svc-example

パブリックエンドポイント接続の変更

次の例では、外部キーストアプロキシの接続タイプを PUBLIC_ENDPOINT に変更します。この変更を行うときは、プロキシ URI エンドポイント (XksProxyUriEndpoint) の値を更新する必要があります。例にある値は、すべて外部キーストアの実際の値に置き換えます。

$ aws kms update-custom-key-store --custom-key-store-id cks-1234567890abcdef0 \
            --xks-proxy-connectivity "PUBLIC_ENDPOINT" \
            --xks-proxy-uri-endpoint https://myproxy.xks.example.com