EnableKeyRotation 搭配 a AWS SDK 或 CLI 使用

啟用 KMS 金鑰的自動輪換

下列enable-key-rotation範例可自動輪換客戶受管 KMS 金鑰，輪換期間為 180 天。KMS 金鑰將從此命令完成之日起一年 （大約 365 天） 輪換，之後每年輪換一次。

--key-id 參數會識別 KMS 金鑰。此範例使用金鑰 ARN 值，但您可以使用金鑰 ID 或 ARN 金鑰的 KMS。 --rotation-period-in-days 參數會指定每個輪換日期之間的天數。指定介於 90 到 2560 天之間的值。如果未指定值，則預設值為 365 天。

aws kms enable-key-rotation \
    --key-id arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab \
    --rotation-period-in-days 180

此命令不會產生輸出。若要確認 KMS 金鑰已啟用，請使用 get-key-rotation-status命令。

如需詳細資訊，請參閱 AWS Key Management Service 開發人員指南中的輪換金鑰。

class KeyManager:
    def __init__(self, kms_client):
        self.kms_client = kms_client
        self.created_keys = []

    @classmethod
    def from_client(cls) -> "KeyManager":
        """
        Creates a KeyManager instance with a default KMS client.

        :return: An instance of KeyManager initialized with the default KMS client.
        """
        kms_client = boto3.client("kms")
        return cls(kms_client)


    def enable_key_rotation(self, key_id: str) -> None:
        """
        Enables rotation for a key.

        :param key_id: The ARN or ID of the key to enable rotation for.
        """
        try:
            self.kms_client.enable_key_rotation(KeyId=key_id)
        except ClientError as err:
            logging.error(
                "Couldn't enable rotation for key '%s'. Here's why: %s",
                key_id,
                err.response["Error"]["Message"],
            )
            raise