Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés. # Encuentre las claves y el material clave de KMS en un almacén de AWS CloudHSM claves Si administra un almacén de AWS CloudHSM claves, es posible que necesite identificar las claves de KMS en cada uno AWS CloudHSM de ellos. Por ejemplo, es probable que deba realizar algunas de las siguientes tareas. + Realice un seguimiento de las claves de KMS en el almacén de AWS CloudHSM claves de AWS CloudTrail los registros. + Prediga el efecto que tendrá en las claves de KMS la desconexión de un almacén de AWS CloudHSM claves. + Programa la eliminación de las claves de KMS antes de eliminar un almacén de AWS CloudHSM claves. Además, es posible que desee identificar las claves del AWS CloudHSM clúster que sirven como material clave para las claves de KMS. Aunque AWS KMS administra las claves de KMS y el material clave, usted sigue teniendo el control y la responsabilidad de la administración de su AWS CloudHSM clúster, así como de las copias de seguridad HSMs y las claves que contiene HSMs. Es posible que necesite identificar las claves para auditar el material clave, protegerlo de una eliminación accidental o eliminarlo de las copias de seguridad del clúster o de las copias de HSMs seguridad del clúster después de eliminar la clave de KMS. Todo el material clave de las claves de KMS de tu almacén de AWS CloudHSM claves es propiedad del [usuario `kmsuser` criptográfico](keystore-cloudhsm.md#concept-kmsuser) (CU). AWS KMS establece el atributo de etiqueta clave, que solo se puede ver en AWS CloudHSM, en el nombre de recurso de Amazon (ARN) de la clave de KMS. Para buscar las claves KMS y el material de claves, puede utilizar cualquiera de las técnicas siguientes. + [Busque las claves KMS en un almacén de AWS CloudHSM claves](find-cmk-in-keystore.md)— Cómo identificar las claves KMS en uno o todos sus almacenes de AWS CloudHSM claves. + [Busque todas las claves de un almacén de AWS CloudHSM claves](find-all-kmsuser-keys.md): cómo encontrar todas las claves en su clúster que actúan como material de claves para las claves de KMS en su almacén de claves de AWS CloudHSM . + [Busque la AWS CloudHSM clave de una clave KMS](find-handle-for-cmk-id.md)— Cómo encontrar la clave en su clúster que sirve como material clave para una clave de KMS concreta en su almacén de AWS CloudHSM claves. + [Busque la clave KMS de una AWS CloudHSM clave](find-label-for-key-handle.md): Cómo encontrar la clave KMS para una clave concreta en su clúster. # Busque las claves KMS en un almacén de AWS CloudHSM claves Si administra un almacén de AWS CloudHSM claves, es posible que necesite identificar las claves de KMS en cada uno AWS CloudHSM de ellos. Puede usar esta información para realizar un seguimiento de las operaciones de claves de KMS en AWS CloudTrail los registros, predecir el efecto de desconectar un almacén de claves personalizado en las claves de KMS o programar la eliminación de las claves de KMS antes de eliminar un almacén de AWS CloudHSM claves. ## Para buscar las claves de KMS en un almacén de AWS CloudHSM claves (consola) Para buscar las claves de KMS en un almacén de AWS CloudHSM claves concreto, en la página de **claves administradas por el cliente**, consulte los valores de los campos **Nombre del almacén de claves personalizado** **o ID del almacén de claves personalizado**. Para identificar las claves de KMS en cualquier almacén de AWS CloudHSM claves, busque las claves de KMS con un valor de **origen** de **AWS CloudHSM**. Para agregar columnas opcionales a la pantalla, elija el icono de engranaje en la esquina superior derecha de la página. ## Para encontrar las claves de KMS en un almacén de AWS CloudHSM claves (API) Para buscar las claves de KMS en un almacén de AWS CloudHSM claves, utilice las [DescribeKey](https://docs.aws.amazon.com/kms/latest/APIReference/API_DescribeKey.html)operaciones [ListKeys](https://docs.aws.amazon.com/kms/latest/APIReference/API_ListKeys.html)y y, a continuación, filtre por `CustomKeyStoreId` valor. Antes de ejecutar los siguientes ejemplos, reemplace los valores ficticios del ID del almacén de claves personalizado por un ID válido. ------ #### [ Bash ] Para encontrar las claves de KMS en un almacén de AWS CloudHSM claves concreto, obtén todas las claves de KMS de la cuenta y la región. A continuación, filtre por el ID del almacén de claves personalizado. ``` for key in $(aws kms list-keys --query 'Keys[*].KeyId' --output text) ; do aws kms describe-key --key-id $key | grep '"CustomKeyStoreId": "cks-1234567890abcdef0"' --context 100; done ``` Para obtener las claves de KMS en cualquier almacén de AWS CloudHSM claves de la cuenta y la región, busca `CustomKeyStoreType` con un valor de`AWS_CloudHSM`. ``` for key in $(aws kms list-keys --query 'Keys[*].KeyId' --output text) ; do aws kms describe-key --key-id $key | grep '"CustomKeyStoreType": "AWS_CloudHSM"' --context 100; done ``` ------ #### [ PowerShell ] [Para buscar las claves de KMS en un almacén de AWS CloudHSM claves concreto, usa los KmsKey cmdlets [Get KmsKeyList y Get](https://docs.aws.amazon.com/powershell/latest/reference/items/Get-KMSKey.html) para obtener todas las claves de KMS de la cuenta y la región.](https://docs.aws.amazon.com/powershell/latest/reference/items/Get-KMSKeyList.html) A continuación, filtre por el ID del almacén de claves personalizado. ``` PS C:\> Get-KMSKeyList | Get-KMSKey | where CustomKeyStoreId -eq 'cks-1234567890abcdef0' ``` Para obtener las claves de KMS en cualquier almacén de AWS CloudHSM claves de la cuenta y la región, filtra por el CustomKeyStoreType valor de. `AWS_CLOUDHSM` ``` PS C:\> Get-KMSKeyList | Get-KMSKey | where CustomKeyStoreType -eq 'AWS_CLOUDHSM' ``` ------ # Busque todas las claves de un almacén de AWS CloudHSM claves Puede identificar las claves de su AWS CloudHSM clúster que sirven como material clave para su almacén de AWS CloudHSM claves. Para ello, utilice el comando [key list](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html) en la CLI de CloudHSM. También puede usar el comando **key list** para buscar la AWS KMS clave de una AWS CloudHSM clave. Cuando AWS KMS crea el material clave para una clave de KMS en el AWS CloudHSM clúster, escribe el nombre de recurso de Amazon (ARN) de la clave de KMS en la etiqueta de la clave. El comando **key list** devuelve el `key-reference` y el `label`. **Notas** Los siguientes procedimientos utilizan la herramienta de línea de comandos AWS CloudHSM Client SDK 5, [CloudHSM CLI](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli.html). La CLI de CloudHSM reemplaza `key-handle` por `key-reference`. El 1 de enero de 2025, AWS CloudHSM dejará de ser compatible con las herramientas de línea de comandos Client SDK 3, la utilidad de administración CloudHSM (CMU) y la utilidad de administración de claves (KMU). Para obtener más información sobre las diferencias entre las herramientas de línea de comandos Client SDK 3 y Client SDK 5, consulte [Migrate from Client SDK 3 CMU and KMU to Client SDK 5 CloudHSM CLI](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-migrate-from-kmu-cmu.html) en la *Guía del usuario de AWS CloudHSM *. Para ejecutar este procedimiento, debe desconectar temporalmente el almacén de AWS CloudHSM claves para poder iniciar sesión como CU. `kmsuser` 1. Desconecte el almacén de AWS CloudHSM claves, si aún no está desconectado, inicie sesión como se explica en[Cómo desconectar e iniciar sesión](fix-keystore.md#login-kmsuser-1). `kmsuser` **nota** Mientras un almacén de claves personalizado esté desconectado, todos los intentos de crear claves KMS en el almacén de claves personalizado o de usar claves KMS existentes en operaciones criptográficas fallarán. Esta acción puede impedir que los usuarios almacenen y accedan a datos confidenciales. 1. Utilice el comando [https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html) de la CLI de CloudHSM para buscar todas las claves del usuario actual presentes AWS CloudHSM en el clúster. De forma predeterminada, solo se muestran 10 claves del usuario que ha iniciado sesión y solo se muestran las `key-reference` y `label`. Para obtener más opciones, consulte la [lista de claves](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html#chsm-cli-key-list-syntax) en la *Guía del usuario de AWS CloudHSM *. ``` aws-cloudhsm > key list { "error_code": 0, "data": { "matched_keys": [ { "key-reference": "0x0000000000000123", "attributes": { "label": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab" } }, { "key-reference": "0x0000000000000456", "attributes": { "label": "arn:aws:kms:us-west-2:111122223333:key/0987dcba-09fe-87dc-65ba-ab0987654321" } },. ...8 keys later... ], "total_key_count": 56, "returned_key_count": 10, "next_token": "10" } } ``` 1. Cierre sesión y vuelva a conectar el almacén de AWS CloudHSM claves como se describe en. [Cómo cerrar sesión y volver a conectar](fix-keystore.md#login-kmsuser-2) # Busque la clave KMS de una AWS CloudHSM clave Si conoce la referencia clave o el ID de una clave que `kmsuser` posee en el clúster, puede usar ese valor para identificar la clave de KMS asociada en su almacén de AWS CloudHSM claves. Cuando AWS KMS crea el material clave para una clave de KMS en el AWS CloudHSM clúster, escribe el nombre de recurso de Amazon (ARN) de la clave de KMS en la etiqueta de la clave. A menos que haya cambiado el valor de la etiqueta, puede utilizar el comando [key list](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html) en la CLI de CloudHSM para identificar la clave KMS asociada a la clave de AWS CloudHSM . **Notas** Los siguientes procedimientos utilizan la herramienta de línea de comandos AWS CloudHSM Client SDK 5, [CloudHSM CLI](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli.html). La CLI de CloudHSM reemplaza `key-handle` por `key-reference`. El 1 de enero de 2025, AWS CloudHSM dejará de ser compatible con las herramientas de línea de comandos Client SDK 3, la utilidad de administración CloudHSM (CMU) y la utilidad de administración de claves (KMU). Para obtener más información sobre las diferencias entre las herramientas de línea de comandos Client SDK 3 y Client SDK 5, consulte [Migrate from Client SDK 3 CMU and KMU to Client SDK 5 CloudHSM CLI](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-migrate-from-kmu-cmu.html) en la *Guía del usuario de AWS CloudHSM *. Para ejecutar estos procedimientos, debe desconectar temporalmente el almacén de AWS CloudHSM claves para poder iniciar sesión como CU. `kmsuser` **nota** Mientras un almacén de claves personalizado esté desconectado, todos los intentos de crear claves KMS en el almacén de claves personalizado o de usar claves KMS existentes en operaciones criptográficas fallarán. Esta acción puede impedir que los usuarios almacenen y accedan a datos confidenciales. **Topics** + [Identificación de la clave KMS asociada a una clave de referencia](#key-reference-filter) + [Identificación de la clave de KMS asociada a un ID de clave de respaldo](#backing-key-id-filter) ## Identificación de la clave KMS asociada a una clave de referencia Los siguientes procedimientos muestran cómo utilizar el comando [https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html) en la CLI de CloudHSM con el filtro de atributos `key-reference` para encontrar la clave en el clúster que actúa como material de claves para una clave KMS en particular en su almacén de claves de AWS CloudHSM . 1. Desconecte el almacén de AWS CloudHSM claves, si aún no está desconectado, inicie sesión como se explica en[Cómo desconectar e iniciar sesión](fix-keystore.md#login-kmsuser-1). `kmsuser` 1. Utilice el comando [https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html) en la CLI de CloudHSM para filtrar por el atributo `key-reference`. Especifique el argumento `verbose` para incluir todos los atributos y la información de claves de la clave coincidente. Si no especifica el argumento `verbose`, la operación **key list** solo devuelve la referencia de clave y el atributo de etiqueta de la clave coincidente. Antes de ejecutar este comando, reemplace el `key-reference` de ejemplo por uno válido de su cuenta. ``` aws-cloudhsm > key list --filter attr.key-reference="0x0000000000120034" --verbose { "error_code": 0, "data": { "matched_keys": [ { "key-reference": "0x0000000000120034", "key-info": { "key-owners": [ { "username": "kmsuser", "key-coverage": "full" } ], "shared-users": [], "cluster-coverage": "full" }, "attributes": { "key-type": "aes", "label": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab", "id": "0xbacking-key-id", "check-value": "0x29bbd1", "class": "my_test_key", "encrypt": true, "decrypt": true, "token": true, "always-sensitive": true, "derive": false, "destroyable": true, "extractable": false, "local": true, "modifiable": true, "never-extractable": false, "private": true, "sensitive": true, "sign": false, "trusted": false, "unwrap": true, "verify": false, "wrap": true, "wrap-with-trusted": false, "key-length-bytes": 32 } } ], "total_key_count": 1, "returned_key_count": 1 } } ``` 1. Cierre la sesión y vuelva a conectar el almacén de AWS CloudHSM claves como se describe en[Cómo cerrar sesión y volver a conectar](fix-keystore.md#login-kmsuser-2). ## Identificación de la clave de KMS asociada a un ID de clave de respaldo Todas las entradas de CloudTrail registro de operaciones criptográficas con una clave KMS en un almacén de AWS CloudHSM claves incluyen un `additionalEventData` campo con la `customKeyStoreId` letra y. `backingKeyId` El valor devuelto en el campo `backingKeyId` se correlaciona con el atributo `id` de clave de CloudHSM. Puede filtrar la operación [https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html) por el atributo `id` para identificar la clave KMS asociada a un `backingKeyId` específico. 1. Desconecte el almacén de AWS CloudHSM claves, si aún no está desconectado, e inicie sesión como `kmsuser` se explica en[Cómo desconectar e iniciar sesión](fix-keystore.md#login-kmsuser-1). 1. Utilice el comando [https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html) en la CLI de CloudHSM con el filtro de atributo para encontrar la clave en el clúster que actúa como material de claves para una clave KMS en particular en su almacén de claves de AWS CloudHSM . En el siguiente ejemplo se muestra cómo filtrar por atributo `id`. AWS CloudHSM reconoce el valor de `id` como un valor hexadecimal. Para filtrar la operación de la **lista de claves** por `id` atributo, primero debe convertir el `backingKeyId` valor que identificó en la entrada de CloudTrail registro a un formato que AWS CloudHSM reconozca. 1. Utilice el siguiente comando de Linux para convertir `backingKeyId` en una representación hexadecimal. ``` echo backingKeyId | tr -d '\n' | xxd -p ``` El siguiente ejemplo muestra cómo convertir la matriz de bytes de `backingKeyId` en una representación hexadecimal. ``` echo 5890723622dc15f699aa9ab2387a9f744b2b884c18b2186ee8ada4f556a2eb9d | tr -d '\n' | xxd -p 35383930373233363232646331356636393961613961623233383761396637343462326238383463313862323138366565386164613466353536613265623964 ``` 1. Anexe la representación hexadecimal del `backingKeyId` con `0x`. ``` 0x35383930373233363232646331356636393961613961623233383761396637343462326238383463313862323138366565386164613466353536613265623964 ``` 1. Utilice el valor de `backingKeyId` convertido para filtrar por atributo `id`. Especifique el argumento `verbose` para incluir todos los atributos y la información de claves de la clave coincidente. Si no especifica el argumento `verbose`, la operación **key list** solo devuelve la referencia de clave y el atributo de etiqueta de la clave coincidente. ``` aws-cloudhsm > key list --filter attr.id="0x35383930373233363232646331356636393961613961623233383761396637343462326238383463313862323138366565386164613466353536613265623964" --verbose { "error_code": 0, "data": { "matched_keys": [ { "key-reference": "0x0000000000120034", "key-info": { "key-owners": [ { "username": "kmsuser", "key-coverage": "full" } ], "shared-users": [], "cluster-coverage": "full" }, "attributes": { "key-type": "aes", "label": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab", "id": "0x35383930373233363232646331356636393961613961623233383761396637343462326238383463313862323138366565386164613466353536613265623964", "check-value": "0x29bbd1", "class": "my_test_key", "encrypt": true, "decrypt": true, "token": true, "always-sensitive": true, "derive": false, "destroyable": true, "extractable": false, "local": true, "modifiable": true, "never-extractable": false, "private": true, "sensitive": true, "sign": false, "trusted": false, "unwrap": true, "verify": false, "wrap": true, "wrap-with-trusted": false, "key-length-bytes": 32 } } ], "total_key_count": 1, "returned_key_count": 1 } } ``` 1. Cierre la sesión y vuelva a conectar el almacén de AWS CloudHSM claves como se describe en[Cómo cerrar sesión y volver a conectar](fix-keystore.md#login-kmsuser-2). # Busque la AWS CloudHSM clave de una clave KMS Puede usar el ID de clave de KMS de una clave de KMS de un AWS CloudHSM almacén de claves para identificar la clave del AWS CloudHSM clúster que sirve como material clave. Cuando AWS KMS crea el material clave para una clave de KMS en el AWS CloudHSM clúster, escribe el nombre de recurso de Amazon (ARN) de la clave de KMS en la etiqueta de la clave. A menos que haya cambiado el valor de la etiqueta, puede usar el comando [https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html) en la CLI de CloudHSM para encontrar el identificador y el recurso de clave del material de claves para la clave KMS. Todas las entradas de CloudTrail registro para operaciones criptográficas con una clave KMS en un almacén de AWS CloudHSM claves incluyen un `additionalEventData` campo con la `customKeyStoreId` letra y. `backingKeyId` El valor devuelto en el `backingKeyId` campo es el atributo `id` AWS CloudHSM clave. Puede filtrar la operación AWS CloudHSM CLI de la **lista de claves** por el ARN de la clave de KMS para identificar el `id` atributo de clave de CloudHSM asociado a una clave de KMS específica. Para ejecutar este procedimiento, debe desconectar temporalmente el almacén de AWS CloudHSM claves para poder iniciar sesión como CU. `kmsuser` **Notas** Los siguientes procedimientos utilizan la herramienta de línea de comandos AWS CloudHSM Client SDK 5, [CloudHSM CLI](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli.html). La CLI de CloudHSM reemplaza `key-handle` por `key-reference`. El 1 de enero de 2025, AWS CloudHSM dejará de ser compatible con las herramientas de línea de comandos Client SDK 3, la utilidad de administración CloudHSM (CMU) y la utilidad de administración de claves (KMU). Para obtener más información sobre las diferencias entre las herramientas de línea de comandos Client SDK 3 y Client SDK 5, consulte [Migrate from Client SDK 3 CMU and KMU to Client SDK 5 CloudHSM CLI](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-migrate-from-kmu-cmu.html) en la *Guía del usuario de AWS CloudHSM *. 1. Desconecte el almacén de AWS CloudHSM claves, si aún no está desconectado, e inicie sesión como `kmsuser` se explica en. [Cómo desconectar e iniciar sesión](fix-keystore.md#login-kmsuser-1) **nota** Mientras un almacén de claves personalizado esté desconectado, todos los intentos de crear claves KMS en el almacén de claves personalizado o de usar claves KMS existentes en operaciones criptográficas fallarán. Esta acción puede impedir que los usuarios almacenen y accedan a datos confidenciales. 1. Utilice el comando [https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html) de la CLI de CloudHSM y `label` filtre para encontrar la clave de KMS de una clave AWS CloudHSM concreta del clúster. Especifique el argumento `verbose` para incluir todos los atributos y la información de claves de la clave coincidente. Si no especifica el argumento `verbose`, la operación **key list** solo devuelve la referencia de clave y los atributos de etiqueta de la clave coincidente. En el siguiente ejemplo se muestra cómo filtrar por el atributo `label` que almacena el ARN de clave KMS. Antes de ejecutar este comando, reemplace el ARN de clave KMS de ejemplo por uno válido de su cuenta. ``` aws-cloudhsm > key list --filter attr.label="arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab" --verbose { "error_code": 0, "data": { "matched_keys": [ { "key-reference": "0x0000000000120034", "key-info": { "key-owners": [ { "username": "kmsuser", "key-coverage": "full" } ], "shared-users": [], "cluster-coverage": "full" }, "attributes": { "key-type": "aes", "label": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab", "id": "0xbacking-key-id", "check-value": "0x29bbd1", "class": "my_test_key", "encrypt": true, "decrypt": true, "token": true, "always-sensitive": true, "derive": false, "destroyable": true, "extractable": false, "local": true, "modifiable": true, "never-extractable": false, "private": true, "sensitive": true, "sign": false, "trusted": false, "unwrap": true, "verify": false, "wrap": true, "wrap-with-trusted": false, "key-length-bytes": 32 } } ], "total_key_count": 1, "returned_key_count": 1 } } ``` 1. Cierre sesión y vuelva a conectar el almacén de AWS CloudHSM claves como se describe en. [Cómo cerrar sesión y volver a conectar](fix-keystore.md#login-kmsuser-2)