使用 Amazon EventBridge 監控 KMS 金鑰

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

您可以使用 Amazon EventBridge (原稱為 Amazon CloudWatch Events)，提醒您注意 KMS 金鑰生命週期中的下列重要事件。

AWS KMS 與 Amazon EventBridge 整合，以通知您影響 KMS 金鑰的重要事件。每個事件以 JSON (JavaScript 物件標記法) 來表示，並包含事件名稱、事件的發生日期和時間，以及受影響的項目。您可以收集這些事件並建立規則，將它們路由到一或多個目標，例如 AWS Lambda 函數、Amazon SNS 主題、Amazon SQS 佇列、Amazon Kinesis Data Streams 中的串流或內建目標。

如需將 EventBridge 與其他類型的事件搭配使用的詳細資訊，包括當記錄讀取/寫入 API 請求 AWS CloudTrail 時由 發出的事件，請參閱 Amazon EventBridge 使用者指南。

下列主題說明 AWS KMS 產生的 EventBridge 事件。

KMS CMK Rotation (KMS CMK 輪換)

AWS KMS 支援在對稱加密 KMS 金鑰中自動輪換金鑰材料。對於客戶受管金鑰而言，年度金鑰資料輪換是選用功能。AWS 受管金鑰 的金鑰資料每年會自動輪換。

每當輪 AWS KMS 換金鑰材料時，就會傳送KMS CMK Rotation事件至 EventBridge。 會盡最大努力 AWS KMS 產生此事件。

以下為此事件的範例。

{
  "version": "0",
  "id": "6a7e8feb-b491-4cf7-a9f1-bf3703467718",
  "detail-type": "KMS CMK Rotation",
  "source": "aws.kms",
  "account": "111122223333",
  "time": "2022-08-10T16:37:50Z",
  "region": "us-west-2",
  "resources": [
    "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
  ],
  "detail": {
    "key-id": "1234abcd-12ab-34cd-56ef-1234567890ab"
  }
}

KMS Imported Key Material Expiration (KMS 匯入的金鑰資料過期)

當您匯入金鑰材料至 KMS 金鑰時，您可以選擇指定該金鑰材料的過期時間。當金鑰材料過期時， 會 AWS KMS 刪除金鑰材料，並將對應的KMS Imported Key Material Expiration事件傳送至 EventBridge。 會盡最大努力 AWS KMS 產生此事件。

以下為此事件的範例。

{
  "version": "0",
  "id": "9da9af57-9253-4406-87cb-7cc400e43465",
  "detail-type": "KMS Imported Key Material Expiration",
  "source": "aws.kms",
  "account": "111122223333",
  "time": "2022-08-10T16:37:50Z",
  "region": "us-west-2",
  "resources": [
    "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
  ],
  "detail": {
    "key-id": "1234abcd-12ab-34cd-56ef-1234567890ab"
  }
}

KMS CMK Deletion (KMS CMK 的刪除)

當您排程刪除 KMS 金鑰時， AWS KMS 會在刪除 KMS 金鑰之前強制執行等待期間。等待期間結束後， AWS KMS 會刪除 KMS 金鑰，並傳送 KMS CMK Deletion 事件至 EventBridge。 AWS KMS 會確保此 EventBridge 事件。由於重試，它可能會在幾秒鐘內產生多個刪除相同 KMS 金鑰的事件。

以下為此事件的範例。

{
  "version": "0",
  "id": "e9ce3425-7d22-412a-a699-e7a5fc3fbc9a",
  "detail-type": "KMS CMK Deletion",
  "source": "aws.kms",
  "account": "111122223333",
  "time": "2022-08-10T16:37:50Z",
  "region": "us-west-2",
  "resources": [
    "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
  ],
  "detail": {
    "key-id": "1234abcd-12ab-34cd-56ef-1234567890ab"
  }
}