View a markdown version of this page

删除 密钥 - AWS Payment Cryptography
关于等待期限

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

删除 密钥

删除 AWS 支付加密密钥会删除密钥材料和与该密钥相关的所有元数据，除非在 AWS 支付加密之外有密钥的副本，否则该密钥是不可逆的。删除密钥后，您不能再解密用该密钥加密的数据，这意味着该数据将无法恢复。只有当您确定不再需要使用密钥且其他任何当事方不在使用此密钥时，才能将其删除。如果您不确定，可以考虑停止使用密钥，而不是将其删除。如果以后需要再次使用已禁用的密钥，则可以重新启用该密钥，但是除非能够从其他来源重新导入已删除的 AWS 付款加密密钥，否则无法恢复该密钥。

在删除密钥之前，应确保不再需要该密钥。 AWS Payment Cryptography 不存储 CVV2 等加密操作的结果，也无法确定任何持久加密材料是否需要密钥。

AWS Payment Cryptography 永远不会删除属于活跃 AWS 账户的密钥，除非您明确安排删除密钥，并且强制等待期到期。

但是，您可以出于以下一个或多个原因选择删除 AWS 支付加密密钥：

  • 完成不再需要的密钥的密钥生命周期

  • 避免与维护未使用的 AWS 支付加密密钥相关的管理开销

注意

如果您关闭或删除您的 AWS 账户，您的 AWS 支付加密密钥将无法访问。除了关闭账户之外，您无需安排删除 AWS 支付加密密钥。

AWS 当您计划删除支付加密密钥以及实际删除支付加密密钥时， AWS 付款加密会在您的AWS CloudTrail日志中 AWS 记录一个条目。

使用 Multi-Region 密钥复制时，删除作为主区域密钥 (PRK) 的支付加密密钥，副本区域密钥 (RRK) 也将自动删除。无法像 PRK 那样删除 RRK。如果您想删除 RRK，则需要修改 PR K 的复制区域。

关于等待期限

由于删除密钥是不可逆的，因此 AWS 支付密码学要求您将等待期设置为 3—180 天。默认的等待期限为七天。

但是，实际等待期限可能最多比您计划的时间长 24 小时。要获取删除 AWS 支付加密密钥的实际日期和时间，请使用这些 GetKey 操作。请务必记下时区。

在等待期间， AWS 支付加密密钥状态和密钥状态为 “待删除”。

注意

待删除的 AWS 支付加密密钥不能用于任何加密操作。

等待期结束后， AWS 支付密码学会删除 AWS 支付加密密钥、其别名和所有相关的 AWS 支付加密元数据。

利用等待期确保您现在或将来不需要 AWS 支付加密密钥。如果您在等待期内发现确实需要密钥，可以在等待期限结束前取消密钥删除。等待期限结束后，将无法取消密钥删除， 将删除密钥。

示例
    例

    在此示例中，请求删除密钥。除了基本的密钥信息外，还有两个相关字段是密钥状态已更改为 DELETE_PENDING，删除PendingTimestamp 表示当前计划删除密钥的时间。

    $ aws payment-cryptography delete-key \
                    --key-identifier arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h
                  
    

  {
    "Key": {
        "KeyArn": "arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h",
        "KeyAttributes": {
            "KeyUsage": "TR31_V2_VISA_PIN_VERIFICATION_KEY",
            "KeyClass": "SYMMETRIC_KEY",
            "KeyAlgorithm": "TDES_3KEY",
            "KeyModesOfUse": {
                "Encrypt": false,
                "Decrypt": false,
                "Wrap": false,
                "Unwrap": false,
                "Generate": true,
                "Sign": false,
                "Verify": true,
                "DeriveKey": false,
                "NoRestrictions": false
            }
        },
        "KeyCheckValue": "0A3674",
        "KeyCheckValueAlgorithm": "ANSI_X9_24",
        "Enabled": false,
        "Exportable": true,
        "KeyState": "DELETE_PENDING",
        "KeyOrigin": "AWS_PAYMENT_CRYPTOGRAPHY",
        "CreateTimestamp": "2023-06-05T12:01:29.969000-07:00",
        "UsageStopTimestamp": "2023-06-05T14:31:13.399000-07:00",
        "DeletePendingTimestamp": "2023-06-12T14:58:32.865000-07:00"
    }
}
    例

    在此示例中，待处理的删除被取消。成功完成后，密钥将不再按照之前的时间表被删除。响应包含基本的密钥信息；此外，两个相关字段已更改 - KeyState 和 deletePendingTimestamp。KeyState 返回到 CREATE_COMPLETE 的值，同时 DeletePendingTimestamp 被移除。

    $ aws payment-cryptography restore-key --key-identifier arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h
                    
    {
    "Key": {
        "KeyArn": "arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h",
        "KeyAttributes": {
            "KeyUsage": "TR31_V2_VISA_PIN_VERIFICATION_KEY",
            "KeyClass": "SYMMETRIC_KEY",
            "KeyAlgorithm": "TDES_3KEY",
            "KeyModesOfUse": {
                "Encrypt": false,
                "Decrypt": false,
                "Wrap": false,
                "Unwrap": false,
                "Generate": true,
                "Sign": false,
                "Verify": true,
                "DeriveKey": false,
                "NoRestrictions": false
            }
        },
        "KeyCheckValue": "0A3674",
        "KeyCheckValueAlgorithm": "ANSI_X9_24",
        "Enabled": false,
        "Exportable": true,
        "KeyState": "CREATE_COMPLETE",
        "KeyOrigin": "AWS_PAYMENT_CRYPTOGRAPHY",
        "CreateTimestamp": "2023-06-08T12:01:29.969000-07:00",
        "UsageStopTimestamp": "2023-06-08T14:31:13.399000-07:00"
    }
}