Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Protezione del materiale della chiave importato
Il materiale della chiave importato è protetto durante il transito e a riposo. Prima di importare il materiale chiave, si crittografa (o «avvolge») il materiale chiave con la chiave pubblica di una coppia di chiavi RSA generata nei moduli di sicurezza AWS KMS hardware (HSMs) convalidati secondo il programma di convalida dei moduli crittografici FIPS 140-3
Al ricevimento, AWS KMS decripta il materiale chiave con la chiave privata corrispondente in un AWS KMS HSM e lo cripta nuovamente con una chiave simmetrica AES che esiste solo nella memoria volatile dell'HSM. Il materiale della chiave non esce mai in testo normale dal modulo HSM. Viene decrittografato solo mentre è in uso e solo all'interno. AWS KMS HSMs
L'uso della chiave KMS con il materiale della chiave importato è determinato esclusivamente dalle policy di controllo degli accessi che hai impostato sulla chiave KMS. Inoltre, puoi utilizzare alias e tag per identificare e controllare l'accesso alla chiave KMS. È possibile abilitare e disabilitare la chiave, visualizzarla e monitorarla utilizzando servizi come. AWS CloudTrail
Ciononostante, conserva solo la copia sicura del materiale della chiave. In cambio di questa ulteriore misura di controllo, sei responsabile della durabilità e della disponibilità complessiva del materiale chiave importato. AWS KMS è progettato per garantire un'elevata disponibilità del materiale chiave importato. Tuttavia, AWS KMS non mantiene la durabilità del materiale chiave importato allo stesso livello del materiale chiave che AWS KMS genera.
Questa differenza di durabilità è significativa nei seguenti casi:
-
Quando impostate una scadenza per il materiale chiave importato, AWS KMS elimina il materiale chiave dopo la sua scadenza. AWS KMS non elimina la chiave KMS o i relativi metadati. Puoi creare un CloudWatch allarme Amazon che ti avvisa quando il materiale chiave importato si avvicina alla data di scadenza.
Non puoi eliminare il materiale chiave AWS KMS generato per una chiave KMS e non puoi impostare la scadenza del materiale AWS KMS chiave.
-
Quando elimini manualmente il materiale chiave importato, AWS KMS elimina il materiale chiave ma non elimina la chiave KMS o i relativi metadati. Al contrario, la pianificazione dell'eliminazione delle chiavi richiede un periodo di attesa da 7 a 30 giorni, dopodiché elimina AWS KMS definitivamente la chiave KMS, i relativi metadati e il relativo materiale chiave.
-
Nell'improbabile eventualità che si verifichino determinati guasti a livello regionale AWS KMS (ad esempio una perdita totale di alimentazione), AWS KMS non è possibile ripristinare automaticamente il materiale chiave importato. Tuttavia, AWS KMS può ripristinare la chiave KMS e i relativi metadati.
È necessario conservare una copia del materiale chiave importato all'esterno di AWS un sistema controllato dall'utente. Ti consigliamo di archiviare una copia esportabile del materiale della chiave importato in un sistema di gestione delle chiavi, ad esempio un modulo HSM. Come procedura ottimale, è consigliabile memorizzare un riferimento all'ARN della chiave KMS e all'ID del materiale chiave generato AWS KMS da insieme alla copia esportabile del materiale chiave. Se il materiale della chiave importato viene eliminato o scade, la chiave KMS associata diventa inutilizzabile fino a quando non importi nuovamente lo stesso materiale della chiave. Se il materiale della chiave importato viene perso definitivamente, qualunque testo criptato crittografato con la chiave KMS è irrecuperabile.
Importante
Alle chiavi di crittografia simmetriche a regione singola possono essere associati più materiali chiave. L'intera chiave KMS diventa inutilizzabile non appena si elimina uno di questi materiali chiave o se uno di questi materiali chiave scade (a meno che il materiale chiave eliminato o in scadenza non lo sia). PENDING_ROTATION È necessario reimportare qualsiasi materiale chiave scaduto o eliminato associato a tale chiave prima che la chiave diventi utilizzabile per operazioni crittografiche.
