Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Suppression des éléments de clé importés
Les éléments de clé que vous importez sont protégés pendant le transport et au repos. Avant d'importer le matériel clé, vous chiffrez (ou « enveloppez ») le contenu clé avec la clé publique d'une paire de clés RSA générée dans des modules de sécurité AWS KMS matériels (HSMs) validés dans le cadre du programme de validation des modules cryptographiques FIPS 140-3
À réception, AWS KMS déchiffre le contenu de la clé avec la clé privée correspondante dans un AWS KMS HSM et le chiffre à nouveau sous une clé symétrique AES qui n'existe que dans la mémoire volatile du HSM. Votre élément de clé ne quitte jamais le HSM en texte brut. Il est déchiffré uniquement lorsqu'il est utilisé et uniquement en cours d'utilisation. AWS KMS HSMs
L'utilisation de votre clé KMS avec l’élément de clé importé est déterminée uniquement par les politiques de contrôle d'accès que vous définissez sur la clé KMS. En outre, vous pouvez utiliser des alias et des balises pour identifier et contrôler l'accès à la clé KMS. Vous pouvez activer et désactiver la clé, la visualiser et la surveiller à l'aide de services tels que AWS CloudTrail.
Cependant, vous conservez la seule copie sûre de votre élément de clé. En échange de cette mesure de contrôle supplémentaire, vous êtes responsable de la durabilité et de la disponibilité globale du matériau clé importé. AWS KMS est conçu pour maintenir la haute disponibilité du matériel clé importé. Mais AWS KMS ne maintient pas la durabilité du matériau clé importé au même niveau que le matériau clé qui en AWS KMS génère.
Cette différence en durabilité est significative dans les cas suivants :
-
Lorsque vous définissez une date d'expiration pour votre matériel clé importé, le AWS KMS matériel clé est supprimé après son expiration. AWS KMS ne supprime pas la clé KMS ni ses métadonnées. Vous pouvez créer une CloudWatch alarme Amazon qui vous avertit lorsque le matériel clé importé approche de sa date d'expiration.
Vous ne pouvez pas supprimer le contenu clé AWS KMS généré pour une clé KMS et vous ne pouvez pas configurer le contenu AWS KMS clé pour qu'il expire.
-
Lorsque vous supprimez manuellement le contenu clé importé, il AWS KMS supprime le contenu clé mais ne supprime pas la clé KMS ni ses métadonnées. En revanche, la planification de la suppression des clés nécessite une période d'attente de 7 à 30 jours, après quoi la clé KMS, ses métadonnées et son contenu clé sont AWS KMS définitivement supprimés.
-
Dans le cas peu probable de certaines défaillances régionales susceptibles de l'affecter AWS KMS (comme une perte totale de courant), vous AWS KMS ne pourrez pas restaurer automatiquement le matériel clé importé. Cependant, AWS KMS vous pouvez restaurer la clé KMS et ses métadonnées.
Vous devez conserver une copie du matériel clé importé à l'extérieur d' AWS un système que vous contrôlez. Nous vous recommandons de stocker une copie exportable des éléments de clé importés dans un système de gestion des clés, tel qu'un module de sécurité matérielle (HSM). Il est recommandé de stocker une référence à l'ARN de la clé KMS et à l'ID du matériau clé généré par le AWS KMS biais de la copie exportable du contenu clé. Si l’élément de clé importé est supprimé ou expire, la clé KMS associée devient inutilisable tant que vous ne le réimportez pas. En cas de perte définitive des éléments de clé importés, tout texte chiffré au moyen de la clé KMS est irrécupérable.
Important
Les clés de chiffrement symétriques à région unique peuvent être associées à plusieurs éléments clés. La clé KMS dans son intégralité devient inutilisable dès que vous supprimez l'un de ces éléments clés ou si l'un de ces éléments clés expire (sauf si le matériel clé supprimé ou expirant le soitPENDING_ROTATION). Vous devez réimporter tous les éléments clés expirés ou supprimés associés à une telle clé avant que celle-ci ne soit utilisable pour des opérations cryptographiques.
