使用 Amazon EventBridge 来监控 KMS 密钥 - AWS Key Management Service
KMS CMK 轮换KMS 导入的密钥材料过期KMS CMK 删除

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用 Amazon EventBridge 来监控 KMS 密钥

您可以使用 Amazon EventBridge（旧称 Amazon CloudWatch Events）提醒您注意 KMS 密钥生命周期中的以下重要事件。

  • KMS 密钥中的密钥材料已自动轮换。

  • KMS 密钥中已导入的密钥材料到期。

  • 计划删除的 KMS 密钥已被删除。

AWS KMS 与 Amazon EventBridge 集成，以通知您影响 KMS 密钥的重要事件。每个事件以 JSON（JavaScript 对象表示法）格式表示，包含事件名称、事件发生的日期和时间、受影响的对象等等。您可以收集这些事件，并设立将事件路由到一个或多个目标（如 AWS Lambda 函数、Amazon SNS 主题、Amazon SQS 队列、Amazon Kinesis Data Streams 中的流或内置目标）的规则。

有关将 EventBridge 与其他类型的事件（包括 AWS CloudTrail 在记录读/写 API 请求时发出的事件）结合使用的更多信息，请参阅 Amazon EventBridge 用户指南。

以下主题介绍 AWS KMS 生成的 EventBridge 事件。

KMS CMK 轮换

AWS KMS 支持自动轮换对称加密 KMS 密钥中的密钥材料。每年进行密钥材料轮换对于客户托管密钥是可选项。AWS 托管式密钥 的密钥材料每年自动轮换一次。

每当 AWS KMS 轮换密钥材料时，它会向 EventBridge 发送一个 KMS CMK Rotation 事件。AWS KMS 将尽力生成此事件。

以下是该事件的示例。

{
  "version": "0",
  "id": "6a7e8feb-b491-4cf7-a9f1-bf3703467718",
  "detail-type": "KMS CMK Rotation",
  "source": "aws.kms",
  "account": "111122223333",
  "time": "2022-08-10T16:37:50Z",
  "region": "us-west-2",
  "resources": [
    "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
  ],
  "detail": {
    "key-id": "1234abcd-12ab-34cd-56ef-1234567890ab"
  }
}

KMS 导入的密钥材料过期

当您将密钥材料导入 KMS 密钥中时，您可以选择性地指定密钥材料的过期时间。当关键材料过期时，AWS KMS 会删除密钥材料并发送相应的 KMS Imported Key Material Expiration 事件到 EventBridge。AWS KMS 将尽力生成此事件。

以下是该事件的示例。

{
  "version": "0",
  "id": "9da9af57-9253-4406-87cb-7cc400e43465",
  "detail-type": "KMS Imported Key Material Expiration",
  "source": "aws.kms",
  "account": "111122223333",
  "time": "2022-08-10T16:37:50Z",
  "region": "us-west-2",
  "resources": [
    "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
  ],
  "detail": {
    "key-id": "1234abcd-12ab-34cd-56ef-1234567890ab"
  }
}

KMS CMK 删除

当您为 KMS 密钥计划删除时，AWS KMS 会强制执行一段等待期，然后再删除 KMS 密钥。等待期结束后，AWS KMS 将删除 KMS 密钥并发送 KMS CMK Deletion 事件到 EventBridge。AWS KMS 将保证此 EventBridge 事件。由于重试，它可能会在几秒钟内生成多个删除同一 KMS 密钥的事件。

以下是该事件的示例。

{
  "version": "0",
  "id": "e9ce3425-7d22-412a-a699-e7a5fc3fbc9a",
  "detail-type": "KMS CMK Deletion",
  "source": "aws.kms",
  "account": "111122223333",
  "time": "2022-08-10T16:37:50Z",
  "region": "us-west-2",
  "resources": [
    "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
  ],
  "detail": {
    "key-id": "1234abcd-12ab-34cd-56ef-1234567890ab"
  }
}