View a markdown version of this page

Criar uma chave do KMS com material de chave importado - AWS Key Management Service
Permissões para importar material de chaveRequisitos para material de chave importada

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Criar uma chave do KMS com material de chave importado

O material de chave importado permite que você proteja seus AWS recursos com as chaves criptográficas que você gera. A visão geral a seguir explica o processo para importar seu material de chaves para o AWS KMS. Para obter mais detalhes sobre cada etapa no processo, consulte o tópico correspondente.

  1. Crie uma chave do KMS sem material de chave - A origem deve ser EXTERNAL. A origem da chave EXTERNAL indica que a chave foi projetada para material de chave importado e AWS KMS impede a geração de material de chave para a chave KMS. Em uma etapa posterior, você importará seu próprio material de chave para essa chave do KMS.

    O material da chave que você importa deve ser compatível com a especificação da AWS KMS chave associada. Para obter mais informações sobre compatibilidade, consulte Requisitos para material de chave importada.

  2. Baixar a chave pública de empacotamento e o token de importação – depois de concluir a etapa 1, baixe uma chave publica de empacotamento e um token de importação. Esses itens protegem seu material principal enquanto ele é importado para AWS KMS.

    Nesta etapa, você escolhe o tipo (“especificação de chave”) para a chave de empacotamento RSA e o algoritmo de empacotamento que você usará para criptografar os dados em trânsito para o AWS KMS. É possível escolher uma especificação de chave de empacotamento e um algoritmo de chave de empacotamento diferentes sempre que importar ou reimportar o mesmo material de chave.

  3. Criptografar o material de chaves – use a chave pública de empacotamento baixada na etapa 2 para criptografar o material de chaves que você criou no seu próprio sistema.

  4. Importar o material de chaves – carregue o material de chave criptografado que você criou na etapa 3 e o token de importação que você baixou na etapa 2.

    Nessa etapa, é possível definir um prazo de validade opcional. Quando o material da chave importada expira, AWS KMS exclui-o e a chave KMS se torna inutilizável. Para continuar usando a chave do KMS, você deve reimportar o mesmo material de chave.

    Quando a operação de importação é concluída com êxito, o estado da chave KMS muda de PendingImport para Enabled. Agora, você pode usar suas chaves do KMS em operações de criptografia.

AWS KMS registra uma entrada em seu AWS CloudTrail registro quando você cria a chave KMS, baixa a chave pública de empacotamento e o token de importação e importa o material da chave. AWS KMS também registra uma entrada quando você exclui material de chave importado ou quando AWS KMS exclui material de chave expirado.

Permissões para importar material de chave

Para criar e gerenciar chaves do KMS com material de chave importado, o usuário precisa de permissão para as operações nesse processo. Você pode fornecer as permissões kms:GetParametersForImport, kms:ImportKeyMaterial e kms:DeleteImportedKeyMaterial na política de chaves ao criar a chave do KMS. No AWS KMS console, essas permissões são adicionadas automaticamente para administradores de chaves quando você cria uma chave com uma origem de material de chave externa.

Para criar chaves do KMS com material de chave importado, a entidade principal precisa das permissões a seguir.

  • kms: CreateKey (política do IAM)

    • Para limitar essa permissão às chaves KMS com material de chave importado, use a condição kms: KeyOrigin política com um valor de. EXTERNAL

      {
  "Sid": "CreateKMSKeysWithoutKeyMaterial",
  "Effect": "Allow",
  "Resource": "*",
  "Action": "kms:CreateKey",
  "Condition": {
    "StringEquals": {
      "kms:KeyOrigin": "EXTERNAL"
    }
  }
}

  • kms: GetParametersForImport (política de chave ou política de IAM)

  • kms: ImportKeyMaterial (política de chave ou política de IAM)

Para reimportar o material de chave importado, o diretor precisa das permissões kms: GetParametersForImport e kms:. ImportKeyMaterial

Para excluir o material de chave importado, o diretor precisa da DeleteImportedKeyMaterial permissão kms:.

Por exemplo, para permitir que o exemplo KMSAdminRole gerencie todos os aspectos de uma chave do KMS com material de chave importado, inclua uma declaração de política de chaves como a seguinte na política de chaves da chave do KMS.

{
  "Sid": "Manage KMS keys with imported key material",
  "Effect": "Allow",
  "Resource": "*",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/KMSAdminRole"
  },
  "Action": [
    "kms:GetParametersForImport",
    "kms:ImportKeyMaterial",
    "kms:DeleteImportedKeyMaterial"
  ]  
}

Requisitos para material de chave importada

O material da chave que você importa deve ser compatível com a especificação de chave da chave do KMS correspondente. Para pares de chaves assimétricas, importe somente a chave privada do par. AWS KMS deriva a chave pública da chave privada.

AWS KMS suporta as seguintes especificações principais para chaves KMS com material de chave importado.

  • Chaves de criptografia simétrica

    • Especificação de chave:

      • SYMMETRIC_DEFAULT.

    • Requisitos:

      • 256 bits (32 bytes) de dados binários.

      • Nas regiões da China, elas devem ter 128 bits (16 bytes) de dados binários.

  • Chaves de HMAC

    • Especificações de chave:

      • HMAC_224

      • HMAC_256

      • HMAC_384

      • HMAC_512

    • Requisitos:

      • O material da chave de HMAC deve estar em conformidade com a RFC 2104.

      • O tamanho da chave deve corresponder ao especificado pela especificação de chave. O tamanho máximo da chave é de 1024 bits.

      • Se o material da chave exceder 1024 bits, você poderá fazer o hash do material da chave e importar a saída do hash. O algoritmo de hash deve corresponder à especificação de chave do KMS HMAC que você está criando.

    • Exemplo:

      • Para importar 2048 bits de material de chave em uma chave HMAC_256, primeiro calcule o hash do material de chave de 2048 bits e, em seguida, importe a saída de SHA-256 hash de 256 bits resultante para a chave KMS.

    • Comprimentos de chave válidos:

      • HMAC_224: 224 a 1024 bits

      • HMAC_256: 256 a 1024 bits

      • HMAC_384: 384 a 1024 bits

      • HMAC_512: 512 a 1024 bits

  • Chave privada assimétrica RSA

  • Chave privada assimétrica de curva elíptica

    • Especificações de chave:

      • ECC_NIST_P256 (secp256r1)

      • ECC_NIST_P384 (secp384r1)

      • ECC_NIST_P521 (secp521r1)

      • ECC_SECG_P256K1 (secp256k1)

      • ECC_NIST_EDWARDS25519 (ed25519)

    • Requisitos:

      • A chave privada assimétrica ECC que você importa deve fazer parte de um par de chaves que esteja em conformidade com a RFC 5915.

      • Curva: NIST P-256, NIST, NIST P-384, SECP256k1 P-521, NIST Ed25519.

      • Parâmetros: somente curvas nomeadas (chaves ECC com parâmetros explícitos são rejeitadas).

      • Coordenadas de ponto público: podem ser compactadas, não compactadas ou projetivas.

      • O material da chave assimétrica deve estar BER-encoded ou DER-encoded no formato Padrões de Public-Key Criptografia (PKCS) #8 que esteja em conformidade com a RFC 5208. https://datatracker.ietf.org/doc/html/rfc5208

  • Chave privada SM2 assimétrica (somente em regiões da China)

    • Requisitos:

      • A chave privada assimétrica SM2 que você importa deve fazer parte de um par de chaves em conformidade com 0003. GM/T

      • Curva: SM2.

      • Parâmetros: somente curva nomeada (chaves SM2 com parâmetros explícitos são rejeitadas).

      • Coordenadas de ponto público: podem ser compactadas, não compactadas ou projetivas.

      • O material da chave assimétrica deve estar BER-encoded ou DER-encoded no formato Padrões de Public-Key Criptografia (PKCS) #8 que esteja em conformidade com a RFC 5208. https://datatracker.ietf.org/doc/html/rfc5208