As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Conectar e desconectar um armazenamento de chaves do AWS CloudHSM

Os novos armazenamentos de chaves do AWS CloudHSM não são conectados. Antes de criar e usar AWS KMS keys no armazenamento de chaves do AWS CloudHSM, você precisa conectá-lo ao cluster do AWS CloudHSM associado. Você pode conectar e desconectar seu armazenamento de chaves do AWS CloudHSM a qualquer momento e visualizar o estado da conexão.

Não é necessário conectar seu armazenamento de chaves do AWS CloudHSM. Você pode deixar um armazenamento de chaves do AWS CloudHSM em estado desconectado indefinidamente e conectá-lo somente quando precisar usá-lo. No entanto, você pode desejar testar a conexão periodicamente para verificar se as configurações estão corretas e se ele pode ser conectado.

Conectar um armazenamento de chaves do AWS CloudHSM

Quando você conecta um armazenamento de chaves do AWS CloudHSM, o AWS KMS localiza o cluster do AWS CloudHSM associado, estabelece conexão com ele, faz login no cliente do AWS CloudHSM como o usuário de criptografia do kmsuser e alterna a senha de kmsuser. O AWS KMS permanecerá conectado ao cliente do AWS CloudHSM enquanto o armazenamento de chaves do AWS CloudHSM estiver conectado.

Para estabelecer a conexão, o AWS KMS cria grupos de segurança chamados kms-<custom key store ID> na virtual private cloud (VPC) do cluster. O grupo de segurança tem uma única regra que permite o tráfego de entrada dos grupos de segurança do cluster. O AWS KMS também cria uma interface de rede elástica (ENI) em cada zona de disponibilidade da sub-rede privada para o cluster. O AWS KMS adiciona as ENIs ao grupo de segurança kms-<cluster ID> e os grupos de segurança para o cluster. A descrição de cada ENI é KMS managed ENI for cluster <cluster-ID>.

O processo de conexão pode demorar um período prolongado para ser concluído; até 20 minutos.

Antes de conectar o armazenamento de chaves do AWS CloudHSM, verifique se ele atende aos requisitos.

Para obter ajuda com falhas de conexão, consulte Como corrigir uma falha de conexão.

Quando seu armazenamento de chaves do AWS CloudHSM está conectado, é possível criar chaves do KMS nele e usar chaves do KMS existentes em operações de criptografia.

Desconectar um armazenamento de chaves do AWS CloudHSM

Quando você desconecta um armazenamento de chaves do AWS CloudHSM, o AWS KMS faz logout do cliente do AWS CloudHSM, desconecta-se do cluster do AWS CloudHSM associado e remove a infraestrutura de rede que ele criou para oferecer suporte à conexão.

Enquanto um armazenamento de chaves do AWS CloudHSM está desconectado, é possível gerenciar o armazenamento de chaves do AWS CloudHSM e suas chaves do KMS, mas não é possível criar nem usar chaves do KMS no armazenamento de chaves do AWS CloudHSM. O estado da conexão do armazenamento de chaves é DISCONNECTED, e o estado da chave das chaves do KMS no armazenamento de chaves personalizado é Unavailable, a menos que elas estejam com PendingDeletion. Você pode reconectar o armazenamento de chaves do AWS CloudHSM a qualquer momento.

Quando você desconecta um armazenamento de chaves personalizado, as chaves do KMS do armazenamento de chaves tornam-se inutilizáveis imediatamente (sujeitas a consistência posterior). Porém, os recursos criptografados com chaves de dados protegidas pela chave do KMS não serão afetados até que a chave do KMS seja usada novamente, por exemplo, para descriptografar a chave de dados. Esse problema afeta os Serviços da AWS, pois muitos deles usam chaves de dados para proteger recursos. Para obter detalhes, consulte Como as chaves do KMS inutilizáveis afetam as chaves de dados.

Para avaliar melhor o efeito de desconectar o armazenamento de chaves personalizado, identifique as chaves do KMS no armazenamento de chaves personalizado e determine seu uso anterior.

Você pode desconectar o armazenamento de chaves do AWS CloudHSM por motivos como estes:

Conectar um armazenamento de chaves do AWS CloudHSM (console)

Para conectar um armazenamento de chaves do AWS CloudHSM ao AWS Management Console, comece selecionando o armazenamento de chaves do AWS CloudHSM na página Custom key stores (Armazenamentos de chaves personalizados). O processo de conexão pode levar até 20 minutos.

O AWS KMS inicia o processo de conexão do seu armazenamento de chaves personalizado. Ele localiza o cluster do AWS CloudHSM associado, cria a infraestrutura de rede necessária, se conecta, faz login no cluster do AWS CloudHSM como CU do kmsuser e muda a senha do kmsuser. Quando a operação é concluída, o estado de conexão é alterado para Connected (Conectado).

Se houver falha na operação, uma mensagem descrevendo o motivo da falha será exibida. Antes de tentar se conectar novamente, visualize o estado da conexão do armazenamento de chaves do AWS CloudHSM. Se for Failed (Falha), você deve desconectar o armazenamento de chaves personalizado antes de conectá-lo novamente. Se precisar de ajuda, consulte Solucionar problemas de um armazenamento de chaves personalizado.

Próximo: Criar chaves do KMS em um armazenamento de chaves do AWS CloudHSM.

Conectar um armazenamento de chaves personalizado (API)

Para conectar um armazenamento de AWS CloudHSM chaves desconectado, use a ConnectCustomKeyStoreoperação. O cluster do AWS CloudHSM associado deve conter pelo menos um HSM ativo, e o estado da conexão não pode ser FAILED.

O processo de conexão demora um período prolongado para ser concluído; até 20 minutos. A menos que se antecipe à falha, a operação retornará uma resposta HTTP 200 e um objeto JSON sem propriedades. No entanto, essa resposta inicial não indica que a conexão foi bem-sucedida. Para determinar o estado da conexão do armazenamento de chaves personalizadas, veja a DescribeCustomKeyStoresresposta.

Os exemplos nesta seção usam a AWS Command Line Interface (AWS CLI), mas você pode usar qualquer linguagem de programação compatível.

Para identificar o armazenamento de chaves do AWS CloudHSM, use o ID do armazenamento de chaves personalizado. Você pode encontrar o ID na página Armazenamentos de chaves personalizadas no console ou usando a DescribeCustomKeyStoresoperação sem parâmetros. Antes de executar esse exemplo, substitua o ID de exemplo por um válido.

$ aws kms connect-custom-key-store --custom-key-store-id cks-1234567890abcdef0

Para verificar se o armazenamento de AWS CloudHSM chaves está conectado, use a DescribeCustomKeyStoresoperação. Por padrão, essa operação retorna todos os armazenamentos de chaves personalizados em sua conta e região. No entanto, você pode usar o parâmetro CustomKeyStoreId ou CustomKeyStoreName (mas não ambos) para limitar a resposta para determinados armazenamentos de chaves personalizados. O valor ConnectionState CONNECTED indica que o armazenamento de chaves personalizado está conectado ao cluster do AWS CloudHSM.

$ aws kms describe-custom-key-stores --custom-key-store-id cks-1234567890abcdef0
{
   "CustomKeyStores": [
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleCloudHSMKeyStore",
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "CustomKeyStoreType": "AWS_CLOUDHSM",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "CONNECTED"
   ],
}

Se ocorrer falha no valor ConnectionState, o elemento ConnectionErrorCode indica o motivo da falha. Nesse caso, o AWS KMS não conseguiu encontrar um cluster do AWS CloudHSM em sua conta com o ID do cluster cluster-1a23b4cdefg. Se você excluiu o cluster, você pode restaurá-lo a partir de um backup do cluster original e editar o ID do cluster para o armazenamento de chaves personalizado. Para obter ajuda para responder a um código de erro de conexão, consulte Como corrigir uma falha de conexão.

$ aws kms describe-custom-key-stores --custom-key-store-id cks-1234567890abcdef0
{
   "CustomKeyStores": [
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "CustomKeyStoreType": "AWS_CLOUDHSM",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
      "ConnectionErrorCode": "CLUSTER_NOT_FOUND"
   ],
}

Próximo: Criar chaves do KMS em um armazenamento de chaves do AWS CloudHSM.

Desconectar um armazenamento de chaves do AWS CloudHSM (console)

Para desconectar um armazenamento de chaves do AWS CloudHSM no AWS Management Console, comece escolhendo o armazenamento de chaves do AWS CloudHSM na página Custom key stores (Armazenamentos de chaves personalizados).

Quando a operação é concluída, o estado de conexão é alterado de Disconnecting (Desconectando) para Disconnected (Desconectado). Se ocorrer falha na operação, será exibida uma mensagem de erro descrevendo o problema e fornecendo ajuda para corrigi-lo. Se precisar de ajuda adicional, consulte Solucionar problemas de um armazenamento de chaves personalizado.

Desconectar um armazenamento de chaves do AWS CloudHSM (API)

Para desconectar um armazenamento de AWS CloudHSM chaves conectado, use a DisconnectCustomKeyStoreoperação. Se a operação tiver êxito, o AWS KMS retornará uma resposta HTTP 200 e um objeto JSON sem propriedades.

Os exemplos nesta seção usam a AWS Command Line Interface (AWS CLI), mas você pode usar qualquer linguagem de programação compatível.

Esse exemplo desconecta um armazenamento de chaves do AWS CloudHSM. Antes de executar esse exemplo, substitua o ID de exemplo por um válido.

$ aws kms disconnect-custom-key-store --custom-key-store-id cks-1234567890abcdef0

Para verificar se o armazenamento de AWS CloudHSM chaves está desconectado, use a DescribeCustomKeyStoresoperação. Por padrão, essa operação retorna todos os armazenamentos de chaves personalizados em sua conta e região. No entanto, você pode usar o parâmetro CustomKeyStoreId e CustomKeyStoreName (mas não ambos) para limitar a resposta para determinados armazenamentos de chaves personalizados. O valor ConnectionState DISCONNECTED indica que o armazenamento de chaves do AWS CloudHSM de exemplo não está conectado ao cluster do AWS CloudHSM.

$ aws kms describe-custom-key-stores --custom-key-store-id cks-1234567890abcdef0
{
   "CustomKeyStores": [
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "ConnectionState": "DISCONNECTED",
      "CreationDate": "1.499288695918E9",
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "CustomKeyStoreType": "AWS_CLOUDHSM",
      "TrustAnchorCertificate": "<certificate string appears here>"
   ],
}