Agendar exclusão de chave - AWS Key Management Service

Agendar exclusão de chave

Os procedimentos a seguir descrevem como agendar e cancelar a exclusão de AWS KMS keys (chaves do KMS) no AWS KMS usando o Console de gerenciamento da AWS e a API do AWS KMS.

Atenção

Excluir uma chave do KMS é um processo destrutivo e potencialmente perigoso. Prossiga somente quando você tiver certeza de que não vai precisar mais usar a chave do KMS futuramente. Caso não tenha certeza, desabilite a chave do KMS em vez de excluí-la.

Para excluir uma chave do KMS, é preciso ter a respectiva permissão. Para obter informações sobre como conceder essas permissões aos administradores de chaves, consulte Controlar o acesso à exclusão de chaves. Também é possível usar a chave de condição kms:ScheduleKeyDeletionPendingWindowInDays para restringir ainda mais o período de espera, como impor um período mínimo de espera.

O AWS KMS registra uma entrada no log do AWS CloudTrail quando você programa a exclusão da chave do KMS e quando a chave do KMS é realmente excluída.

No Console de gerenciamento da AWS, você pode programar e cancelar a exclusão de várias chaves do KMS ao mesmo tempo.

Para programar a exclusão de chaves

  1. Faça login no Console de gerenciamento da AWS e abra o console do AWS Key Management Service (AWS KMS) em https://console.aws.amazon.com/kms.

  2. Para alterar a Região da AWS, use o seletor de regiões no canto superior direito da página.

  3. No painel de navegação, escolha Chaves gerenciadas pelo cliente.

    Não é possível agendar a exclusão de Chaves gerenciadas pela AWS ou Chaves pertencentes à AWS.

  4. Escolha a caixa de seleção ao lado da chave do KMS que você deseja excluir.

  5. Escolha Key actions (Ações de chave), Schedule key deletion (Programar exclusão da chave).

  6. Leia e considere o aviso e as informações sobre o cancelamento e a exclusão durante o período de espera. Se você decidir cancelar a exclusão, no final da página, selecione Cancel (Cancelar).

  7. Para Waiting period (in days) (Período de espera (em dias)), digite um número de dias entre 7 e 30.

  8. Revise as chaves do KMS que você está excluindo.

  9. Marque a caixa de seleção ao lado de Confirm you want to schedule this key for deletion in <number of days> days. (Confirme se você deseja agendar essa chave para exclusão em <número de dias> dias).

  10. Escolha Schedule deletion.

O status da chave muda para Pending deletion (Exclusão pendente).

Use o comando aws kms schedule-key-deletion para agendar a exclusão de chaves de uma chave gerenciada pelo cliente, conforme mostrado no exemplo a seguir.

Não é possível agendar a exclusão de uma Chave gerenciada pela AWS ou Chave pertencente à AWS.

$ aws kms schedule-key-deletion --key-id 1234abcd-12ab-34cd-56ef-1234567890ab --pending-window-in-days 10

Quando usada com êxito, a AWS CLI retorna o resultado como a saída mostrada no exemplo a seguir:

{
    "KeyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "DeletionDate": 1598304792.0,
    "KeyState": "PendingDeletion",
    "PendingWindowInDays": 10
}