Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Melindungi bahan kunci impor
Materi utama yang Anda impor dilindungi saat transit dan saat istirahat. Sebelum mengimpor materi kunci, Anda mengenkripsi (atau “membungkus”) materi kunci dengan kunci publik dari key pair RSA yang dihasilkan dalam modul keamanan AWS KMS perangkat keras (HSMs) yang divalidasi di bawah Program Validasi Modul Kriptografi FIPS 140-3
Setelah diterima, AWS KMS dekripsi materi kunci dengan kunci pribadi yang sesuai di AWS KMS HSM dan mengenkripsi ulang di bawah kunci simetris AES yang hanya ada di memori volatile HSM. Materi kunci Anda tidak pernah meninggalkan HSM dalam teks biasa. Ini didekripsi hanya saat sedang digunakan dan hanya di dalam. AWS KMS HSMs
Penggunaan kunci KMS Anda dengan materi kunci impor ditentukan semata-mata oleh kebijakan kontrol akses yang Anda tetapkan pada kunci KMS. Selain itu, Anda dapat menggunakan alias dan tag untuk mengidentifikasi dan mengontrol akses ke kunci KMS. Anda dapat mengaktifkan dan menonaktifkan kunci, melihat, dan memantaunya menggunakan layanan seperti AWS CloudTrail.
Namun, Anda mempertahankan satu-satunya salinan failsafe dari materi kunci Anda. Sebagai imbalan atas ukuran kontrol ekstra ini, Anda bertanggung jawab atas daya tahan dan ketersediaan keseluruhan bahan kunci impor. AWS KMS dirancang untuk menjaga agar bahan kunci impor tetap tersedia. Tetapi AWS KMS tidak mempertahankan daya tahan bahan kunci impor pada tingkat yang sama dengan bahan utama yang AWS KMS menghasilkan.
Perbedaan daya tahan ini bermakna dalam kasus-kasus berikut:
-
Saat Anda menetapkan waktu kedaluwarsa untuk materi kunci impor Anda, AWS KMS hapus materi kunci setelah kedaluwarsa. AWS KMS tidak menghapus kunci KMS atau metadata-nya. Anda dapat membuat CloudWatch alarm Amazon yang memberi tahu Anda saat materi kunci yang diimpor mendekati tanggal kedaluwarsanya.
Anda tidak dapat menghapus materi kunci yang AWS KMS menghasilkan kunci KMS dan Anda tidak dapat mengatur materi AWS KMS kunci untuk kedaluwarsa.
-
Saat Anda menghapus materi kunci yang diimpor secara manual, AWS KMS menghapus materi kunci tetapi tidak menghapus kunci KMS atau metadatanya. Sebaliknya, penjadwalan penghapusan kunci memerlukan masa tunggu 7 hingga 30 hari, setelah itu AWS KMS secara permanen menghapus kunci KMS, metadatanya, dan materi utamanya.
-
Jika terjadi kegagalan di seluruh wilayah tertentu yang memengaruhi AWS KMS (seperti kehilangan daya total), AWS KMS tidak dapat secara otomatis mengembalikan materi kunci impor Anda. Namun, AWS KMS dapat mengembalikan kunci KMS dan metadata-nya.
Anda harus menyimpan salinan materi kunci yang diimpor di luar AWS dalam sistem yang Anda kontrol. Kami menyarankan Anda menyimpan salinan yang dapat diekspor dari bahan kunci yang diimpor dalam sistem manajemen kunci, seperti HSM. Sebagai praktik terbaik, Anda harus menyimpan referensi ke ARN kunci KMS dan ID material kunci yang dihasilkan bersama AWS KMS dengan salinan materi kunci yang dapat diekspor. Jika materi kunci impor Anda dihapus atau kedaluwarsa, kunci KMS yang terkait menjadi tidak dapat digunakan sampai Anda mengimpor ulang materi kunci yang sama. Jika materi kunci impor Anda hilang secara permanen, ciphertext apa pun yang dienkripsi di bawah kunci KMS tidak dapat dipulihkan.
penting
Single-Region, kunci enkripsi simetris dapat memiliki beberapa materi utama yang terkait dengannya. Seluruh kunci KMS menjadi tidak dapat digunakan segera setelah Anda menghapus salah satu materi utama tersebut atau jika salah satu dari materi utama tersebut kedaluwarsa (kecuali materi kunci yang dihapus atau kedaluwarsa). PENDING_ROTATION Anda harus mengimpor ulang materi kunci yang kedaluwarsa atau dihapus yang terkait dengan kunci tersebut sebelum kunci tersebut dapat digunakan untuk operasi kriptografi.
