As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Este tópico explica como criar a chave KMS básica, uma chave KMS de criptografia simétrica para uma única região com material de chaves de. AWS KMS Você pode usar essa chave do KMS para proteger seus recursos em um AWS service (Serviço da AWS).
Você pode criar chaves KMS de criptografia simétrica no AWS KMS console, usando a CreateKeyAPI ou usando o AWS::KMS::Key AWS CloudFormation modelo.
A especificação de chave padrão, SYMMETRIC_DEFAULT, é a especificação de chave para chaves do KMS de criptografia simétrica. Quando você seleciona o tipo de chave simétrica e o uso da chave de criptografia e descriptografia no AWS KMS console, ele seleciona a especificação da chave. SYMMETRIC_DEFAULT Na CreateKeyoperação, se você não especificar um KeySpec valor, SYMMETRIC_DEFAULT será selecionado. Se você não tiver um motivo para usar uma especificação de chave diferente, SYMMETRIC_DEFAULT é uma boa escolha.
Para obter informações sobre cotas que se aplicam a chaves do KMS, consulte Cotas.
Você pode usar o AWS Management Console para criar AWS KMS keys (chaves KMS).
Importante
Não inclua informações confidenciais ou sigilosas no alias, na descrição ou nas tags. Esses campos podem aparecer em texto simples em CloudTrail registros e outras saídas.
-
Faça login no console AWS Management Console e abra o AWS Key Management Service (AWS KMS) em https://console.aws.amazon.com/kms
. -
Para alterar o Região da AWS, use o seletor de região no canto superior direito da página.
-
No painel de navegação, escolha Chaves gerenciadas pelo cliente.
-
Escolha Criar chave.
-
Para criar uma chave do KMS de criptografia simétrica, em Key type (Tipo de chave), selecione Symmetric (Simétrica).
-
Em Uso da chave, a opção Criptografar e descriptografar é selecionada para você.
-
Escolha Próximo.
-
Digite um alias para a chave do KMS. O nome do alias não pode começar com
aws/. Oaws/prefixo é reservado pela Amazon Web Services para representar Chaves gerenciadas pela AWS em sua conta.nota
Adicionar, excluir ou atualizar um alias pode conceder ou negar uma permissão à chave do KMS. Para obter mais detalhes, consulte ABAC para AWS KMS e Usar aliases para controlar o acesso a chaves do KMS.
Um alias é um nome de exibição que identifica a chave do KMS. Recomendamos que você escolha um alias que indique o tipo de dados que pretende proteger ou a aplicação a ser usada com a chave do KMS.
Aliases são necessários ao criar uma chave do KMS no AWS Management Console. Eles são opcionais quando você usa a CreateKeyoperação.
-
(Opcional) Digite uma descrição para a chave do KMS.
Você pode adicionar uma descrição agora ou atualizá-la a qualquer momento, a não ser que o estado da chave seja
Pending DeletionouPending Replica Deletion. Para adicionar, alterar ou excluir a descrição de uma chave gerenciada pelo cliente existente, edite a descrição na página de detalhes da chave KMS na AWS Management Console ou use a UpdateKeyDescriptionoperação. -
(Opcional) Digite uma chave de tag e um valor de tag opcional. Para adicionar mais de uma etiqueta à chave do KMS, selecione Adicionar tag.
nota
Marcar ou desmarcar uma chave do KMS pode conceder ou negar uma permissão a essa chave do KMS. Para obter mais detalhes, consulte ABAC para AWS KMS e Usar tags para controlar o acesso a chaves do KMS.
Quando você adiciona tags aos seus AWS recursos, AWS gera um relatório de alocação de custos com uso e custos agregados por tags. Etiquetas também podem ser utilizadas para controlar o acesso a uma chave do KMS. Para informações sobre marcação de chaves do KMS, consulte Etiquetas em AWS KMS e ABAC para AWS KMS.
-
Escolha Próximo.
-
Selecione os usuários e as funções do IAM que podem administrar a chave do KMS.
Observações
Essa política de chaves dá o controle Conta da AWS total dessa chave KMS. Ela permite que os administradores de conta usem políticas do IAM para conceder a outras entidades principais a permissão para gerenciar a chave do KMS. Para obter detalhes, consulte Política de chaves padrão.
As práticas recomendadas do IAM não encorajam o uso de usuários do IAM com credenciais de longo prazo. Sempre que possível, use os perfis do IAM, por fornecerem credenciais temporárias. Para obter detalhes, consulte Práticas recomendadas de segurança no IAM no Guia do usuário do IAM.
O AWS KMS console adiciona administradores de chaves à política de chaves sob o identificador
"Allow access for Key Administrators"de instrução. A modificação desse identificador de declaração pode afetar a forma como o console exibe as atualizações que você faz na declaração. -
(Opcional) Para evitar que os usuários e funções do IAM selecionados excluam essa chave do KMS, na seção Exclusão de chaves na parte inferior da página, desmarque a caixa de seleção Permitir que os administradores de chaves excluam essa chave.
-
Escolha Próximo.
-
Selecione os usuários e as funções do IAM que podem usar a chave em operações de criptografia.
Observações
As práticas recomendadas do IAM não encorajam o uso de usuários do IAM com credenciais de longo prazo. Sempre que possível, use os perfis do IAM, por fornecerem credenciais temporárias. Para obter detalhes, consulte Práticas recomendadas de segurança no IAM no Guia do usuário do IAM.
O AWS KMS console adiciona os principais usuários à política de chaves sob os identificadores de declaração
"Allow use of the key"e."Allow attachment of persistent resources"A modificação desses identificadores de declaração pode afetar a forma como o console exibe as atualizações que você faz na declaração. -
(Opcional) Você pode permitir que outras Contas da AWS pessoas usem essa chave KMS para operações criptográficas. Para fazer isso, na Contas da AWS seção Outros na parte inferior da página, escolha Adicionar outro Conta da AWS e insira o número de Conta da AWS identificação de uma conta externa. Para adicionar várias contas externas, repita essa etapa.
nota
Para permitir que as entidades principais de contas externas usem a chave do KMS, os administradores da conta externa devem criar políticas do IAM que forneçam essas permissões. Para obter mais informações, consulte Permitir que usuários de outras contas usem uma chave do KMS.
-
Escolha Próximo.
-
Analise as principais declarações de política para obter a chave. Para fazer alterações na política de chaves, selecione Editar.
-
Escolha Próximo.
-
Revise as configurações que você escolheu. Ainda é possível voltar e alterar todas as configurações.
-
Selecione Finish (Concluir) para criar a chave do KMS.
Você pode usar a CreateKeyoperação para criar AWS KMS keys de todos os tipos. Estes exemplos usam a AWS Command Line Interface (AWS CLI)
Importante
Não inclua informações confidenciais ou sigilosas nos campos Description ou Tags. Esses campos podem aparecer em texto simples em CloudTrail registros e outras saídas.
A operação a seguir cria uma chave de criptografia simétrica em uma única região com o suporte de material de chave gerado pelo AWS KMS. Essa operação não tem os parâmetros obrigatórios. No entanto, você também pode usar o parâmetro Policy para especificar uma política de chaves. Você pode alterar a política de chaves (PutKeyPolicy) e adicionar elementos opcionais, como uma descrição e tags, a qualquer momento. Você também pode criar chaves assimétricas, chaves de várias Regiões, chaves com material de chave importado, e chaves em armazenamentos de chaves personalizados. Para criar chaves de dados para criptografia do lado do cliente, use a GenerateDataKeyoperação.
A CreateKey operação não permite que você especifique um alias, mas você pode usar a CreateAliasoperação para criar um alias para sua nova chave KMS.
Veja a seguir um exemplo de uma chamada para a operação CreateKey sem parâmetros. Esse comando usa todos os valores padrão. Ele cria uma chave do KMS de criptografia simétrica com o material de chave gerado pelo AWS KMS.
$ aws kms create-key
{
"KeyMetadata": {
"Origin": "AWS_KMS",
"KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
"Description": "",
"KeyManager": "CUSTOMER",
"Enabled": true,
"KeySpec": "SYMMETRIC_DEFAULT",
"CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
"KeyUsage": "ENCRYPT_DECRYPT",
"KeyState": "Enabled",
"CreationDate": 1502910355.475,
"Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
"AWSAccountId": "111122223333",
"MultiRegion": false
"EncryptionAlgorithms": [
"SYMMETRIC_DEFAULT"
],
}
}Se você não especificar uma política de chaves para sua nova chave do KMS, a política de chave padrão aplicada por CreateKey será diferente da política de chaves padrão que o console aplica quando você o usa para criar uma nova chave do KMS.
Por exemplo, essa chamada para a GetKeyPolicyoperação retorna a política de chaves que CreateKey se aplica. Ele dá Conta da AWS acesso à chave KMS e permite criar políticas AWS Identity and Access Management (IAM) para a chave KMS. Para obter informações detalhadas sobre as políticas do IAM e as políticas de chaves para chaves do KMS, consulte Acesso e permissões de chave do KMS
$ aws kms get-key-policy --key-id 1234abcd-12ab-34cd-56ef-1234567890ab --policy-name default --output text
{
"Version" : "2012-10-17",
"Id" : "key-default-1",
"Statement" : [ {
"Sid" : "Enable IAM User Permissions",
"Effect" : "Allow",
"Principal" : {
"AWS" : "arn:aws:iam::111122223333:root"
},
"Action" : "kms:*",
"Resource" : "*"
} ]
}