Criar um repositório de chaves externo

Você pode criar um ou vários armazenamentos de chaves externas em cada região da Conta da AWS. Cada armazenamento de chaves externas deve estar associado a um gerenciador de chaves externas fora da AWS e a um proxy de armazenamento de chaves externas (proxy XKS) que é intermediário na comunicação entre o AWS KMS e o gerenciador de chaves externas. Para obter detalhes, consulte Escolher uma opção de conectividade de proxy de um repositório de chaves externo. Antes de começar, confirme se você precisa de um armazenamento de chaves externas. A maioria dos clientes pode usar chaves do KMS baseadas em material de chave do AWS KMS.

Antes de criar o armazenamento de chaves externas, você precisa organizar os pré-requisitos. Durante o processo de criação, especifique as propriedades do armazenamento de chaves externas. Mais importante ainda, indique se o armazenamento de chaves externas no AWS KMS usa um endpoint público ou um serviço de endpoint da VPC para se conectar ao proxy de armazenamento de chaves externas. Especifique também os detalhes da conexão, inclusive o endpoint de URI do proxy e o caminho dentro desse endpoint de proxy em que o AWS KMS envia solicitações de API ao proxy.

Considerações adicionais:

Todos os novos armazenamentos de chaves externas são criados no estado desconectado. Antes de criar chaves do KMS em seu armazenamento de chaves externas, é necessário conectá-lo ao proxy de armazenamento de chaves externas. Para alterar as propriedades do armazenamento de chaves externas, edite as configurações de armazenamento de chaves externas.

Organizar os pré-requisitos

Antes de criar um armazenamento de chaves externas, é necessário organizar os componentes obrigatórios, incluindo o gerenciador de chaves externas que você usará para dar suporte ao armazenamento de chaves externas e o proxy do armazenamento de chaves externas que converte as solicitações do AWS KMS para um formato que o gerenciador de chaves externas entenda.

Os componentes a seguir são obrigatórios para todos os armazenamentos de chaves externas. Além desses componentes, é necessário fornecer os componentes que ofereçam suporte à opção de conectividade do proxy de armazenamento de chaves externas que você escolher.

Gerenciador de chaves externas

Cada armazenamento de chaves externas requer pelo menos uma instância do gerenciador de chaves externas. Pode ser um módulo de segurança de hardware (HSM) físico ou virtual ou um software de gerenciamento de chaves.

Você pode usar um único gerenciador de chaves, mas recomendamos pelo menos duas instâncias de gerenciador de chaves relacionadas que compartilhem chaves de criptografia para redundância. O armazenamento de chaves externas não exige o uso exclusivo do gerenciador de chaves externas. Porém, o gerenciador de chaves externas deve ter a capacidade de lidar com a frequência esperada de solicitações de criptografia e descriptografia dos serviços da AWS que usam chaves do KMS no armazenamento de chaves externas para proteger seus recursos. O gerenciador de chaves externas deve ser configurado para lidar com até 1.800 solicitações por segundo e responder dentro do tempo limite de 250 milissegundos para cada solicitação. Recomendamos localizar o gerenciador de chaves externas próximo a uma Região da AWS para que o tempo de resposta (RTT) da rede seja de 35 milissegundos ou menos.

Se o proxy de armazenamento de chaves externas permitir, será possível alterar o gerenciador de chaves externas que você associa ao proxy de armazenamento de chaves externas, mas o novo gerenciador de chaves externas deve ser um backup ou snapshot com o mesmo material de chave. Se a chave externa que você associa a uma chave do KMS não estiver mais disponível para seu proxy de armazenamento de chaves externas, o AWS KMS não poderá descriptografar o texto cifrado criptografado com a chave do KMS.

O gerenciador de chaves externas deve estar acessível ao proxy de armazenamento de chaves externas. Se a resposta de GetHealthStatus do proxy informar que todas as instâncias do gerenciador de chaves externas estão Unavailable, todas as tentativas de criar um armazenamento de chaves externas falharão com XksProxyUriUnreachableException.

Proxy de armazenamento de chaves externas

É necessário especificar um proxy de armazenamento de chaves externas (proxy XKS) que esteja em conformidade com os requisitos de design em AWS KMS External Key Store Proxy API Specification (Especificação da API de proxy de armazenamento de chaves externas do ). Você pode desenvolver ou comprar um proxy de armazenamento de chaves externas ou usar um proxy de armazenamento de chaves externas fornecido ou incorporado ao gerenciador de chaves externas. O AWS KMS recomenda que o proxy de armazenamento de chaves externas seja configurado para lidar com até 1.800 solicitações por segundo e responder dentro do tempo limite de 250 milissegundos para cada solicitação. Recomendamos localizar o gerenciador de chaves externas próximo a uma Região da AWS para que o tempo de resposta (RTT) da rede seja de 35 milissegundos ou menos.

Você pode usar um proxy de armazenamento de chaves externas para mais de um armazenamento de chaves externas, mas cada armazenamento de chaves externas deve ter um endpoint de URI e um caminho exclusivo dentro do proxy de armazenamento de chaves externas para as solicitações.

Se você estiver usando a conectividade do serviço de endpoint da VPC, poderá localizar o proxy de armazenamento de chaves externas na Amazon VPC, mas isso não é necessário. Você pode localizar seu proxy fora da AWS, como em seu data center privado, e usar o serviço de endpoint da VPC somente para se comunicar com o proxy.

Credencial de autenticação de proxy

Para criar um armazenamento de chaves externas, é necessário especificar sua credencial de autenticação de proxy de armazenamento de chaves externas (XksProxyAuthenticationCredential).

É necessário estabelecer uma credencial de autenticação (XksProxyAuthenticationCredential) para o AWS KMS em seu proxy de armazenamento de chaves externas. O AWS KMS autentica seu proxy assinando suas solicitações usando o processo Signature Version 4 (SigV4) com a credencial de autenticação de proxy do armazenamento de chaves externas. Você especifica a credencial de autenticação ao criar seu armazenamento de chaves externas e pode alterá-la a qualquer momento. Se o proxy alternar sua credencial, certifique-se de atualizar os valores da credencial para seu armazenamento de chaves externas.

A credencial de autenticação do proxy tem duas partes. É necessário fornecer as duas partes para o armazenamento de chaves externas.

A credencial SigV4 que o AWS KMS usa para assinar solicitações ao proxy de armazenamento de chaves externas não está relacionada a credenciais SigV4 associadas às entidades principais do AWS Identity and Access Management de suas contas da AWS. Não reutilize nenhuma credencial SigV4 do IAM para seu proxy de armazenamento de chaves externas.

Conectividade do proxy

Para criar um armazenamento de chaves externas, é necessário especificar sua opção de conectividade do proxy de armazenamento de chaves externas (XksProxyConnectivity).

O AWS KMS pode se comunicar com seu proxy de armazenamento de chaves externas usando um endpoint público ou um serviço de endpoint da Amazon Virtual Private Cloud (Amazon VPC). Embora seja mais simples de configurar e manter, um endpoint público pode não atender aos requisitos de segurança de todas as instalações. Se você escolher a opção de conectividade do serviço de endpoint da Amazon VPC, deverá criar e manter os componentes obrigatórios, inclusive uma Amazon VPC com pelo menos duas sub-redes em duas zonas de disponibilidade diferentes, um serviço de endpoint da VPC com um balanceador de carga de rede e grupo de destino e um nome DNS privado para o serviço de endpoint da VPC.

Você pode alterar a opção de conectividade de proxy para seu armazenamento de chaves externas. No entanto, você deve garantir a disponibilidade contínua do material de chave associado às chaves do KMS em seu armazenamento de chaves externas. Caso contrário, o AWS KMS não conseguirá descriptografar nenhum texto cifrado criptografado com essas chaves do KMS.

Para obter ajuda para decidir qual opção de conectividade de proxy é melhor para seu armazenamento de chaves externas, consulte Escolher uma opção de conectividade de proxy de um repositório de chaves externo. Para obter ajuda para criar uma configuração da conectividade do serviço de endpoint da VPC, consulte Configurar a conectividade do serviço de endpoint da VPC.

Endpoint de URI do proxy

Para criar um armazenamento de chaves externas, você deve especificar o endpoint (XksProxyUriEndpoint) que o AWS KMS usa para enviar solicitações ao proxy de armazenamento de chaves externas.

O protocolo deve ser o HTTPS. O AWS KMS se comunica na porta 443. Não especifique a porta no valor do endpoint do URI do proxy.

O certificado do servidor TLS configurado no proxy do armazenamento de chaves externas deve corresponder ao nome do domínio no endpoint de URI do proxy de armazenamento de chaves externas e ser emitido por uma autoridade de certificação com suporte para armazenamentos de chaves externas. Para obter uma lista, consulte Trusted Certificate Authorities (Autoridades de certificação confiáveis). A autoridade de certificação exigirá prova de propriedade do domínio antes de emitir o certificado TLS.

O nome comum (CN) da entidade no certificado TLS deve corresponder ao nome DNS privado. Por exemplo, se o nome DNS privado for myproxy-private.xks.example.com, o CN no certificado TLS deverá ser myproxy-private.xks.example.com ou *.xks.example.com.

Você pode alterar seu endpoint do URI do proxy, mas certifique-se de que o proxy do armazenamento de chaves externas tenha acesso ao material de chave associado às chaves do KMS de seu armazenamento de chaves externas. Caso contrário, o AWS KMS não conseguirá descriptografar nenhum texto cifrado criptografado com essas chaves do KMS.

Requisitos de exclusividade

Caminho do URI do proxy

Para criar um armazenamento de chaves externas, é necessário especificar o caminho base em seu proxy de armazenamento de chaves externas para as APIs de proxy necessárias. O valor deve começar com / e terminar com /kms/xks/v1, em que v1 representa a versão da API do AWS KMS para o proxy de armazenamento de chaves externas. Esse caminho pode incluir um prefixo opcional entre os elementos obrigatórios, como /example-prefix/kms/xks/v1. Para encontrar esse valor, consulte a documentação do proxy de armazenamento de chaves externas.

O AWS KMS envia solicitações de proxy ao endereço especificado pela concatenação do endpoint do URI do proxy e do caminho do URI do proxy. Por exemplo, se o endpoint do URI do proxy for https://myproxy.xks.example.com e o caminho do URI do proxy for /kms/xks/v1, o AWS KMS enviará suas solicitações de API de proxy para https://myproxy.xks.example.com/kms/xks/v1.

Você pode alterar o caminho do URI do proxy, mas certifique-se de que o proxy do armazenamento de chaves externas tenha acesso ao material de chave associado às chaves do KMS de seu armazenamento de chaves externas. Caso contrário, o AWS KMS não conseguirá descriptografar nenhum texto cifrado criptografado com essas chaves do KMS.

Requisitos de exclusividade

Serviço de VPC endpoint

Especifica o nome do serviço de endpoint da Amazon VPC usado para se comunicar com o proxy de armazenamento de chaves externas. Esse componente é obrigatório somente para armazenamentos de chaves externas que usam conectividade de serviços de endpoint da VPC. Para obter ajuda para instalar e configurar seu serviço de endpoint da VPC para um armazenamento de chaves externas, consulte Configurar a conectividade do serviço de endpoint da VPC.

O serviço de endpoint da VPC deve ter as seguintes propriedades:

Requisitos de exclusividade

Arquivo de configuração do proxy

Um arquivo de configuração de proxy é um arquivo opcional baseado em JSON que contém valores para o caminho do URI do proxy e as propriedades da credencial de autenticação do proxy do armazenamento de chaves externas. Ao criar ou editar um armazenamento de chaves externas no console do AWS KMS, é possível carregar um arquivo de configuração de proxy para fornecer valores de configuração para o armazenamento de chaves externas. Usar esse arquivo evita erros de digitação e colagem e garante que os valores do armazenamento de chaves externas correspondam aos valores do proxy de armazenamento de chaves externas.

Os arquivos de configuração do proxy são gerados pelo proxy de armazenamento de chaves externas. Para saber se o proxy de armazenamento de chaves externas oferece um arquivo de configuração de proxy, consulte a documentação do proxy de armazenamento de chaves externas.

Veja a seguir o exemplo de um arquivo de configuração de proxy bem formado com valores fictícios.

{
  "XksProxyUriPath": "/example-prefix/kms/xks/v1",
  "XksProxyAuthenticationCredential": {
    "AccessKeyId": "ABCDE12345670EXAMPLE",
    "RawSecretAccessKey": "0000EXAMPLEFA5FT0mCc3DrGUe2sti527BitkQ0Zr9MO9+vE="
  }
}

Você pode carregar um arquivo de configuração de proxy somente ao criar ou editar um armazenamento de chaves externas no console do AWS KMS. Não é possível usá-lo com as operações CreateCustomKeyStore ou UpdateCustomKeyStore, mas você pode usar os valores no arquivo de configuração do proxy para garantir que os valores dos parâmetros estejam corretos.

Criar um novo repositório de chaves externo

Após reunir os pré-requisitos necessários, você pode criar um novo repositório de chaves externo no console do AWS KMS ou usar a operação CreateCustomKeyStore.

aws configure set cli_follow_urlparam false

Error parsing parameter '--xks-proxy-uri-endpoint': Unable to retrieve 
https:// : received non 200 status code of 404

$ aws kms create-custom-key-store
        --custom-key-store-name ExampleExternalKeyStorePublic \
        --custom-key-store-type EXTERNAL_KEY_STORE \
        --xks-proxy-connectivity PUBLIC_ENDPOINT \
        --xks-proxy-uri-endpoint https://myproxy.xks.example.com \
        --xks-proxy-uri-path /kms/xks/v1 \
        --xks-proxy-authentication-credential AccessKeyId=<value>,RawSecretAccessKey=<value>  

$ aws kms create-custom-key-store
        --custom-key-store-name ExampleExternalKeyStoreVPC \
        --custom-key-store-type EXTERNAL_KEY_STORE \
        --xks-proxy-connectivity VPC_ENDPOINT_SERVICE \
        --xks-proxy-vpc-endpoint-service-name com.amazonaws.vpce.us-east-1.vpce-svc-example \
        --xks-proxy-uri-endpoint https://myproxy-private.xks.example.com \
        --xks-proxy-uri-path /kms/xks/v1 \
        --xks-proxy-authentication-credential AccessKeyId=<value>,RawSecretAccessKey=<value>

{
    "CustomKeyStoreId": cks-1234567890abcdef0
}