별칭 업데이트

별칭은 독립 리소스이므로 별칭과 연결된 KMS 키를 변경할 수 있습니다. 예를 들어 test-key별칭이 하나의 KMS 키와 연결된 경우 UpdateAlias 작업을 사용하여 다른 KMS 키와 연결할 수 있습니다. 이는 KMS 키 구성 요소를 변경하지 않고 키를 수동으로 교체하는 몇 가지 방법 중 하나입니다. 또한 새 리소스에 대해 하나의 KMS 키를 사용하던 애플리케이션이 이제 다른 KMS 키를 사용하도록 KMS 키를 업데이트할 수도 있습니다.

AWS KMS 콘솔에서는 별칭을 업데이트할 수 없습니다. 또한 UpdateAlias(또는 다른 작업)를 사용하여 별칭 이름을 변경할 수 없습니다. 별칭 이름을 변경하려면 현재 별칭을 삭제한 다음 KMS 키에 대한 새 별칭을 생성합니다.

별칭을 업데이트할 때 현재 KMS 키와 새 KMS 키는 동일한 유형(대칭 또는 비대칭 또는 모두)이어야 합니다HMAC. 또한 키 사용량이 동일해야 합니다(ENCRYPT_DECRYPT SIGN_VERIFY 또는 GENERATE_VERIFY_MAC). 이 제한은 별칭을 사용하는 코드에서 암호화 오류를 방지합니다.

다음 예제는 ListAliases 작업을 사용하여 test-key별칭이 현재 KMS 키 와 연결되어 있음을 보여주는 것으로 시작됩니다1234abcd-12ab-34cd-56ef-1234567890ab.

$ aws kms list-aliases --key-id 1234abcd-12ab-34cd-56ef-1234567890ab
{
    "Aliases": [
        {
            "AliasName": "alias/test-key",
            "AliasArn": "arn:aws:kms:us-west-2:111122223333:alias/test-key",
            "TargetKeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
            "CreationDate": 1593622000.191,
            "LastUpdatedDate": 1593622000.191
        }
    ]
}

다음으로 UpdateAlias 작업을 사용하여 test-key별칭과 연결된 KMS 키를 KMS 키 로 변경합니다0987dcba-09fe-87dc-65ba-ab0987654321. 현재 연결된 KMS 키는 지정할 필요가 없으며 새 키('대상')만 지정할 필요가 있습니다KMS. 별칭 이름은 대/소문자를 구분합니다.

$ aws kms update-alias --alias-name 'alias/test-key' --target-key-id 0987dcba-09fe-87dc-65ba-ab0987654321

별칭이 이제 대상 KMS 키와 연결되어 있는지 확인하려면 ListAliases 작업을 다시 사용합니다. 이 AWS CLI 명령은 --query 파라미터를 사용하여 test-key별칭만 가져옵니다. TargetKeyId 및 LastUpdatedDate 필드가 업데이트됩니다.

$ aws kms list-aliases --query 'Aliases[?AliasName==`alias/test-key`]'
[
    {
        "AliasName": "alias/test-key",
        "AliasArn": "arn:aws:kms:us-west-2:111122223333:alias/test-key",
        "TargetKeyId": "0987dcba-09fe-87dc-65ba-ab0987654321",
        "CreationDate": 1593622000.191,
        "LastUpdatedDate": 1604958290.154
    }
]