As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Em uma chave KMS assimétrica, a chave privada é criada AWS KMS e nunca sai sem criptografia. AWS KMS Para usar a chave privada, você deve ligar AWS KMS. Você pode usar a chave pública interna AWS KMS chamando as operações AWS KMS da API. Ou você pode baixar a chave pública e compartilhá-la para uso fora do AWS KMS.
Você pode compartilhar uma chave pública para permitir que outras pessoas criptografem dados além dos AWS KMS que você pode descriptografar somente com sua chave privada. Ou para permitir que outras pessoas verifiquem uma assinatura digital fora do AWS KMS que você gerou com a chave privada. Ou ainda para compartilhar sua chave pública com um par para obter um segredo compartilhado.
Ao usar a chave pública em sua chave KMS assimétrica AWS KMS, você se beneficia da autenticação, autorização e registro que fazem parte de cada operação. AWS KMS Você também reduz o risco de criptografar dados que não podem ser descriptografados. Esses recursos não são eficazes fora do AWS KMS. Para obter detalhes, consulte Considerações especiais sobre o download de chaves públicas.
dica
Está procurando por chaves de dados ou chaves SSH? Este tópico explica como gerenciar chaves assimétricas no AWS Key Management Service, onde a chave privada não é exportável. Para pares de chaves de dados exportáveis em que a chave privada é protegida por uma chave KMS de criptografia simétrica, consulte. GenerateDataKeyPair Para obter ajuda com o download da chave pública associada a uma EC2 instância da Amazon, consulte Recuperação da chave pública no Guia do usuário da Amazon e no Guia EC2 do EC2 usuário da Amazon.
Tópicos
Considerações especiais sobre o download de chaves públicas
Para proteger suas chaves KMS, AWS KMS fornece controles de acesso, criptografia autenticada e registros detalhados de cada operação. AWS KMS também permite impedir o uso de chaves KMS, temporária ou permanentemente. Por fim, AWS KMS as operações são projetadas para minimizar o risco de criptografar dados que não podem ser descriptografados. Esses recursos não estão disponíveis quando você usa chaves públicas baixadas fora do AWS KMS.
- Autorização
-
Políticas-chave e políticas do IAM que controlam o acesso à chave KMS interna AWS KMS não afetam as operações realizadas fora da AWS. Qualquer usuário que possa obter a chave pública pode usá-la externamente, AWS KMS mesmo que não tenha permissão para criptografar dados ou verificar assinaturas com a chave KMS.
- Restrições de uso da chave
-
As principais restrições de uso não são efetivas fora do AWS KMS. Se você chamar a operação Criptografar com uma chave KMS que tenha um
KeyUsageofSIGN_VERIFY, a AWS KMS operação falhará. Mas se você criptografar dados externos AWS KMS com uma chave pública de uma chave KMS com umKeyUsagedeSIGN_VERIFYouKEY_AGREEMENT, os dados não poderão ser descriptografados. - Restrições de algoritmo
-
Restrições nos algoritmos de criptografia e assinatura AWS KMS compatíveis não são efetivas fora do AWS KMS. Se você criptografar dados com a chave pública de uma chave KMS externa e usar um algoritmo de AWS KMS criptografia incompatível, os dados AWS KMS não poderão ser descriptografados.
- Desabilitar e excluir chaves do KMS
-
As ações que você pode tomar para impedir o uso da chave KMS em uma operação criptográfica interna AWS KMS não impedem que ninguém use a chave pública fora dela. AWS KMS Por exemplo, desabilitar uma chave do KMS, programar a exclusão de uma chave do KMS, excluir uma chave do KMS ou excluir o material de chave de uma chave do KMS não têm efeito em uma chave pública fora do AWS KMS. Se você excluir uma chave KMS assimétrica ou excluir ou perder seu material de chaves, os dados que você criptografa com uma chave pública externa não poderão ser recuperados. AWS KMS
- Registro em log
-
AWS CloudTrail registros que registram todas as AWS KMS operações, incluindo solicitação, resposta, data, hora e usuário autorizado, não registram o uso da chave pública fora do AWS KMS.
- Verificação off-line com pares de SM2 chaves (somente regiões da China)
-
Para verificar uma assinatura externa AWS KMS com uma chave SM2 pública, você deve especificar a ID distintiva. Por padrão, AWS KMS usa
1234567812345678como ID distintiva. Para obter mais informações, consulte Verificação off-line com pares de SM2 chaves (somente regiões da China).
