As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá. # Encontre chaves KMS e material de chaves em um armazenamento de AWS CloudHSM chaves Se você gerencia um armazenamento de AWS CloudHSM chaves, talvez seja necessário identificar as chaves KMS em cada armazenamento de AWS CloudHSM chaves. Por exemplo, pode ser necessário executar uma das seguintes tarefas. + Rastreie as chaves KMS no armazenamento de AWS CloudHSM chaves nos AWS CloudTrail registros. + Preveja o efeito da desconexão de um armazenamento de chaves nas AWS CloudHSM chaves KMS. + Agende a exclusão das chaves KMS antes de excluir um armazenamento de AWS CloudHSM chaves. Além disso, talvez você queira identificar as chaves em seu AWS CloudHSM cluster que servem como material chave para suas chaves KMS. Embora AWS KMS gerencie as chaves do KMS e o material de chaves, você ainda mantém o controle e a responsabilidade pelo gerenciamento do seu AWS CloudHSM cluster, bem como pelos backups HSMs e pelas chaves no HSMs. Talvez seja necessário identificar as chaves para auditar o material da chave, protegê-lo contra exclusão acidental ou excluí-lo dos backups do HSMs cluster após excluir a chave KMS. Todo o material de chaves para as chaves KMS em seu armazenamento de AWS CloudHSM chaves é de propriedade do [usuário `kmsuser` criptográfico](keystore-cloudhsm.md#concept-kmsuser) (CU). AWS KMS define o atributo do rótulo da chave, que só pode ser visualizado em AWS CloudHSM, como o Amazon Resource Name (ARN) da chave KMS. Para encontrar as chaves do KMS e o material de chave, use uma das técnicas a seguir. + [Encontre as chaves KMS em um armazenamento de AWS CloudHSM chaves](find-cmk-in-keystore.md)— Como identificar as chaves KMS em um ou em todos os seus armazenamentos de AWS CloudHSM chaves. + [Encontre todas as chaves de uma loja de AWS CloudHSM chaves](find-all-kmsuser-keys.md): como encontrar todas as chaves no cluster que funcionam como material de chave para as chaves do KMS no armazenamento de chaves do AWS CloudHSM . + [Encontre a AWS CloudHSM chave para uma chave KMS](find-handle-for-cmk-id.md)— Como encontrar a chave em seu cluster que serve como material chave para uma chave KMS específica em seu armazenamento de AWS CloudHSM chaves. + [Encontre a chave KMS para uma AWS CloudHSM chave](find-label-for-key-handle.md): como encontrar a chave do KMS para uma determinada chave no seu cluster. # Encontre as chaves KMS em um armazenamento de AWS CloudHSM chaves Se você gerencia um armazenamento de AWS CloudHSM chaves, talvez seja necessário identificar as chaves KMS em cada armazenamento de AWS CloudHSM chaves. Você pode usar essas informações para rastrear as operações da chave KMS em AWS CloudTrail registros, prever o efeito da desconexão de um armazenamento de chaves personalizado nas chaves KMS ou programar a exclusão das chaves KMS antes de excluir um armazenamento de chaves. AWS CloudHSM ## Para encontrar as chaves KMS em um armazenamento de AWS CloudHSM chaves (console) Para encontrar as chaves KMS em um repositório de AWS CloudHSM chaves específico, na página **Chaves gerenciadas pelo cliente**, visualize os valores nos campos **Nome do armazenamento de chaves** **personalizadas ou ID do armazenamento de chaves personalizadas**. Para identificar chaves KMS em qualquer armazenamento de AWS CloudHSM chaves, procure chaves KMS com um valor de **origem** de. **AWS CloudHSM** Para adicionar colunas opcionais à exibição, selecione o ícone de engrenagem no canto superior direito da página. ## Para encontrar as chaves KMS em um armazenamento de AWS CloudHSM chaves (API) Para encontrar as chaves KMS em um armazenamento de AWS CloudHSM chaves, use as [DescribeKey](https://docs.aws.amazon.com/kms/latest/APIReference/API_DescribeKey.html)operações [ListKeys](https://docs.aws.amazon.com/kms/latest/APIReference/API_ListKeys.html)e e depois filtre por `CustomKeyStoreId` valor. Antes de executar os exemplos a seguir, substitua os valores fictícios de ID do repositório de chaves personalizado por um valor válido. ------ #### [ Bash ] Para encontrar chaves KMS em um determinado repositório de AWS CloudHSM chaves, obtenha todas as suas chaves KMS na conta e na região. Filtre pelo ID do armazenamento de chaves personalizado. ``` for key in $(aws kms list-keys --query 'Keys[*].KeyId' --output text) ; do aws kms describe-key --key-id $key | grep '"CustomKeyStoreId": "cks-1234567890abcdef0"' --context 100; done ``` Para obter chaves KMS em qualquer armazenamento de AWS CloudHSM chaves na conta e na região, pesquise `CustomKeyStoreType` com um valor de`AWS_CloudHSM`. ``` for key in $(aws kms list-keys --query 'Keys[*].KeyId' --output text) ; do aws kms describe-key --key-id $key | grep '"CustomKeyStoreType": "AWS_CloudHSM"' --context 100; done ``` ------ #### [ PowerShell ] Para encontrar chaves KMS em um determinado armazenamento de AWS CloudHSM chaves, use os KmsKey cmdlets [Get- KmsKeyList](https://docs.aws.amazon.com/powershell/latest/reference/items/Get-KMSKeyList.html) e [Get-](https://docs.aws.amazon.com/powershell/latest/reference/items/Get-KMSKey.html) para obter todas as suas chaves KMS na conta e na região. Filtre pelo ID do armazenamento de chaves personalizado. ``` PS C:\> Get-KMSKeyList | Get-KMSKey | where CustomKeyStoreId -eq 'cks-1234567890abcdef0' ``` Para obter as chaves KMS em qualquer armazenamento de AWS CloudHSM chaves na conta e na região, filtre pelo CustomKeyStoreType valor de`AWS_CLOUDHSM`. ``` PS C:\> Get-KMSKeyList | Get-KMSKey | where CustomKeyStoreType -eq 'AWS_CLOUDHSM' ``` ------ # Encontre todas as chaves de uma loja de AWS CloudHSM chaves Você pode identificar as chaves em seu AWS CloudHSM cluster que servem como material chave para seu armazenamento de AWS CloudHSM chaves. Para fazer isso, use o comando [key list](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html) na CLI do CloudHSM. Você também pode usar o comando **key list** para encontrar a chave AWS KMS para uma AWS CloudHSM chave. Quando AWS KMS cria o material de chave para uma chave KMS em seu AWS CloudHSM cluster, ele grava o Amazon Resource Name (ARN) da chave KMS no rótulo da chave. O comando **key list** retorna `key-reference` e `label`. **Observações** Os procedimentos a seguir usam a ferramenta de linha de comando do AWS CloudHSM Client SDK 5, a CLI do [CloudHSM](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli.html). A CLI do CloudHSM substitui `key-handle` por `key-reference`. Em 1º de janeiro de 2025, AWS CloudHSM encerrará o suporte às ferramentas de linha de comando do Client SDK 3, ao CloudHSM Management Utility (CMU) e ao Key Management Utility (KMU). Para obter mais informações sobre as diferenças entre as ferramentas de linha de comando do Client SDK 3 e a ferramenta de linha de comando do Client SDK 5, consulte [Migrate from Client SDK 3 CMU and KMU to Client SDK 5 CloudHSM CLI](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-migrate-from-kmu-cmu.html) no *Guia do usuário do AWS CloudHSM *. Para executar esse procedimento, você precisa desconectar temporariamente o armazenamento de AWS CloudHSM chaves para poder fazer login como `kmsuser` UC. 1. Desconecte o armazenamento de AWS CloudHSM chaves, se ele ainda não estiver desconectado, faça login como`kmsuser`, conforme explicado em. [Como desconectar e fazer login](fix-keystore.md#login-kmsuser-1) **nota** Enquanto um armazenamento de chaves personalizado estiver desconectado, todas as tentativas de criar chaves do KMS nele ou de usar chaves do KMS existentes em operações de criptografia falharão. Essa ação pode impedir que os usuários armazenem e acessem dados sigilosos. 1. Use o comando [https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html) na CLI do CloudHSM para encontrar todas as chaves do usuário atual presente em seu cluster. AWS CloudHSM Por padrão, somente 10 chaves do usuário atualmente conectado são exibidas, e somente o `key-reference` e `label` são exibidos como saída. Para mais opções, consulte [key list](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html#chsm-cli-key-list-syntax) no *Guia do usuário do AWS CloudHSM *. ``` aws-cloudhsm > key list { "error_code": 0, "data": { "matched_keys": [ { "key-reference": "0x0000000000000123", "attributes": { "label": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab" } }, { "key-reference": "0x0000000000000456", "attributes": { "label": "arn:aws:kms:us-west-2:111122223333:key/0987dcba-09fe-87dc-65ba-ab0987654321" } },. ...8 keys later... ], "total_key_count": 56, "returned_key_count": 10, "next_token": "10" } } ``` 1. Saia e reconecte o armazenamento de AWS CloudHSM chaves conforme descrito em[Como fazer logout e se conectar novamente](fix-keystore.md#login-kmsuser-2). # Encontre a chave KMS para uma AWS CloudHSM chave Se você souber a referência de chave ou o ID de uma chave que `kmsuser` possui no cluster, você pode usar esse valor para identificar a chave KMS associada em seu armazenamento de AWS CloudHSM chaves. Quando AWS KMS cria o material de chave para uma chave KMS em seu AWS CloudHSM cluster, ele grava o Amazon Resource Name (ARN) da chave KMS no rótulo da chave. A menos que tenha alterado o valor do rótulo, você pode usar o comando [key list](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html) na CLI do CloudHSM para identificar a chave do KMS associada à chave do AWS CloudHSM . **Observações** Os procedimentos a seguir usam a ferramenta de linha de comando do AWS CloudHSM Client SDK 5, a CLI do [CloudHSM](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli.html). A CLI do CloudHSM substitui `key-handle` por `key-reference`. Em 1º de janeiro de 2025, AWS CloudHSM encerrará o suporte às ferramentas de linha de comando do Client SDK 3, ao CloudHSM Management Utility (CMU) e ao Key Management Utility (KMU). Para obter mais informações sobre as diferenças entre as ferramentas de linha de comando do Client SDK 3 e a ferramenta de linha de comando do Client SDK 5, consulte [Migrate from Client SDK 3 CMU and KMU to Client SDK 5 CloudHSM CLI](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-migrate-from-kmu-cmu.html) no *Guia do usuário do AWS CloudHSM *. Para executar esses procedimentos, você precisa desconectar temporariamente o armazenamento de AWS CloudHSM chaves para poder fazer login como `kmsuser` UC. **nota** Enquanto um armazenamento de chaves personalizado estiver desconectado, todas as tentativas de criar chaves do KMS nele ou de usar chaves do KMS existentes em operações de criptografia falharão. Essa ação pode impedir que os usuários armazenem e acessem dados sigilosos. **Topics** + [Identificar a chave do KMS associada a uma referência de chave](#key-reference-filter) + [Identificar a chave do KMS associada a um ID de chave de reserva](#backing-key-id-filter) ## Identificar a chave do KMS associada a uma referência de chave Os procedimentos a seguir demonstram como usar o comando [https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html) na CLI do CloudHSM com o filtro de atributos `key-reference` para encontrar a chave no seu cluster que atua como material de chave para uma chave do KMS específica no seu repositório de chaves do AWS CloudHSM . 1. Desconecte o armazenamento de AWS CloudHSM chaves, se ele ainda não estiver desconectado, faça login como`kmsuser`, conforme explicado em. [Como desconectar e fazer login](fix-keystore.md#login-kmsuser-1) 1. Use o comando [https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html) na CLI do CloudHSM para filtrar pelo atributo `key-reference`. Especifique o argumento `verbose` para incluir todos os atributos e as informações de chave da chave correspondente. Se você não especificar o argumento `verbose`, a operação **key list** retornará somente a referência de chave e o atributo de rótulo da chave correspondente. Antes de executar esse comando, substitua o exemplo de `key-reference` por um elemento válido da sua conta. ``` aws-cloudhsm > key list --filter attr.key-reference="0x0000000000120034" --verbose { "error_code": 0, "data": { "matched_keys": [ { "key-reference": "0x0000000000120034", "key-info": { "key-owners": [ { "username": "kmsuser", "key-coverage": "full" } ], "shared-users": [], "cluster-coverage": "full" }, "attributes": { "key-type": "aes", "label": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab", "id": "0xbacking-key-id", "check-value": "0x29bbd1", "class": "my_test_key", "encrypt": true, "decrypt": true, "token": true, "always-sensitive": true, "derive": false, "destroyable": true, "extractable": false, "local": true, "modifiable": true, "never-extractable": false, "private": true, "sensitive": true, "sign": false, "trusted": false, "unwrap": true, "verify": false, "wrap": true, "wrap-with-trusted": false, "key-length-bytes": 32 } } ], "total_key_count": 1, "returned_key_count": 1 } } ``` 1. Saia e reconecte o armazenamento de AWS CloudHSM chaves conforme descrito em[Como fazer logout e se conectar novamente](fix-keystore.md#login-kmsuser-2). ## Identificar a chave do KMS associada a um ID de chave de reserva Todas as entradas de CloudTrail registro para operações criptográficas com uma chave KMS em um armazenamento de AWS CloudHSM chaves incluem um `additionalEventData` campo com e. `customKeyStoreId` `backingKeyId` O valor retornado no campo `backingKeyId` está correlacionado ao atributo `id` da chave do CloudHSM. Você pode filtrar a operação [https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html) pelo atributo `id` para identificar a chave do KMS associada a uma `backingKeyId` específica. 1. Desconecte o armazenamento de AWS CloudHSM chaves, se ele ainda não estiver desconectado, faça login como`kmsuser`, conforme explicado em. [Como desconectar e fazer login](fix-keystore.md#login-kmsuser-1) 1. Use o comando [https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html) na CLI do CloudHSM com o filtro de atributos para encontrar a chave no seu cluster que atua como material de chave para uma chave do KMS específica no seu repositório de chaves do AWS CloudHSM . O exemplo a seguir demonstra como filtrar pelo `id` atributo. O AWS CloudHSM reconhece o valor de `id` como um valor hexadecimal. Para filtrar a operação da **lista de chaves** pelo `id` atributo, você deve primeiro converter o `backingKeyId` valor identificado na entrada do CloudTrail registro em um formato que AWS CloudHSM reconheça. 1. Use o seguinte comando do Linux para converter `backingKeyId` em uma representação hexadecimal. ``` echo backingKeyId | tr -d '\n' | xxd -p ``` O exemplo a seguir demonstra como converter a matriz de bytes `backingKeyId` em uma representação hexadecimal. ``` echo 5890723622dc15f699aa9ab2387a9f744b2b884c18b2186ee8ada4f556a2eb9d | tr -d '\n' | xxd -p 35383930373233363232646331356636393961613961623233383761396637343462326238383463313862323138366565386164613466353536613265623964 ``` 1. Prefixe a representação hexadecimal de `backingKeyId` com `0x`. ``` 0x35383930373233363232646331356636393961613961623233383761396637343462326238383463313862323138366565386164613466353536613265623964 ``` 1. Use o valor `backingKeyId` convertido para filtrar pelo atributo `id`. Especifique o argumento `verbose` para incluir todos os atributos e as informações de chave da chave correspondente. Se você não especificar o argumento `verbose`, a operação **key list** retornará somente a referência de chave e o atributo de rótulo da chave correspondente. ``` aws-cloudhsm > key list --filter attr.id="0x35383930373233363232646331356636393961613961623233383761396637343462326238383463313862323138366565386164613466353536613265623964" --verbose { "error_code": 0, "data": { "matched_keys": [ { "key-reference": "0x0000000000120034", "key-info": { "key-owners": [ { "username": "kmsuser", "key-coverage": "full" } ], "shared-users": [], "cluster-coverage": "full" }, "attributes": { "key-type": "aes", "label": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab", "id": "0x35383930373233363232646331356636393961613961623233383761396637343462326238383463313862323138366565386164613466353536613265623964", "check-value": "0x29bbd1", "class": "my_test_key", "encrypt": true, "decrypt": true, "token": true, "always-sensitive": true, "derive": false, "destroyable": true, "extractable": false, "local": true, "modifiable": true, "never-extractable": false, "private": true, "sensitive": true, "sign": false, "trusted": false, "unwrap": true, "verify": false, "wrap": true, "wrap-with-trusted": false, "key-length-bytes": 32 } } ], "total_key_count": 1, "returned_key_count": 1 } } ``` 1. Saia e reconecte o armazenamento de AWS CloudHSM chaves conforme descrito em[Como fazer logout e se conectar novamente](fix-keystore.md#login-kmsuser-2). # Encontre a AWS CloudHSM chave para uma chave KMS Você pode usar o ID da chave KMS de uma chave KMS em um armazenamento de AWS CloudHSM chaves para identificar a chave em seu AWS CloudHSM cluster que serve como material de chave. Quando AWS KMS cria o material de chave para uma chave KMS em seu AWS CloudHSM cluster, ele grava o Amazon Resource Name (ARN) da chave KMS no rótulo da chave. A menos que tenha alterado o valor do rótulo, você pode usar o comando [https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html) na CLI do CloudHSM para encontrar o recurso de chave e o id do material de chave da chave do KMS. Todas as entradas de CloudTrail registro para operação criptográfica com uma chave KMS em um armazenamento de AWS CloudHSM chaves incluem um `additionalEventData` campo com e. `customKeyStoreId` `backingKeyId` O valor retornado no `backingKeyId` campo é o atributo `id` AWS CloudHSM chave. Você pode filtrar a operação da AWS CloudHSM CLI da **lista de chaves** pelo ARN da chave KMS para identificar o atributo da chave do CloudHSM associado a uma chave KMS específica. `id` Para executar esse procedimento, você precisa desconectar temporariamente o armazenamento de AWS CloudHSM chaves para poder fazer login como `kmsuser` UC. **Observações** Os procedimentos a seguir usam a ferramenta de linha de comando do AWS CloudHSM Client SDK 5, a CLI do [CloudHSM](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli.html). A CLI do CloudHSM substitui `key-handle` por `key-reference`. Em 1º de janeiro de 2025, AWS CloudHSM encerrará o suporte às ferramentas de linha de comando do Client SDK 3, ao CloudHSM Management Utility (CMU) e ao Key Management Utility (KMU). Para obter mais informações sobre as diferenças entre as ferramentas de linha de comando do Client SDK 3 e a ferramenta de linha de comando do Client SDK 5, consulte [Migrate from Client SDK 3 CMU and KMU to Client SDK 5 CloudHSM CLI](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-migrate-from-kmu-cmu.html) no *Guia do usuário do AWS CloudHSM *. 1. Desconecte o armazenamento de AWS CloudHSM chaves, se ele ainda não estiver desconectado, faça login como`kmsuser`, conforme explicado em. [Como desconectar e fazer login](fix-keystore.md#login-kmsuser-1) **nota** Enquanto um armazenamento de chaves personalizado estiver desconectado, todas as tentativas de criar chaves do KMS nele ou de usar chaves do KMS existentes em operações de criptografia falharão. Essa ação pode impedir que os usuários armazenem e acessem dados sigilosos. 1. Use o comando [https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html](https://docs.aws.amazon.com/cloudhsm/latest/userguide/cloudhsm_cli-key-list.html) na CLI do CloudHSM e `label` filtre por para encontrar a chave KMS de uma chave específica em seu cluster. AWS CloudHSM Especifique o argumento `verbose` para incluir todos os atributos e as informações de chave da chave correspondente. Se você não especificar o argumento `verbose`, a operação **key list** retornará somente os atributos de referência e rótulo de chave da chave correspondente. O exemplo a seguir demonstra como filtrar pelo atributo `label` que armazena o ARN da chave do KMS. Antes de executar esse comando, substitua o ARN de chave do KSM de exemplo por um valor válido da sua conta. ``` aws-cloudhsm > key list --filter attr.label="arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab" --verbose { "error_code": 0, "data": { "matched_keys": [ { "key-reference": "0x0000000000120034", "key-info": { "key-owners": [ { "username": "kmsuser", "key-coverage": "full" } ], "shared-users": [], "cluster-coverage": "full" }, "attributes": { "key-type": "aes", "label": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab", "id": "0xbacking-key-id", "check-value": "0x29bbd1", "class": "my_test_key", "encrypt": true, "decrypt": true, "token": true, "always-sensitive": true, "derive": false, "destroyable": true, "extractable": false, "local": true, "modifiable": true, "never-extractable": false, "private": true, "sensitive": true, "sign": false, "trusted": false, "unwrap": true, "verify": false, "wrap": true, "wrap-with-trusted": false, "key-length-bytes": 32 } } ], "total_key_count": 1, "returned_key_count": 1 } } ``` 1. Saia e reconecte o armazenamento de AWS CloudHSM chaves conforme descrito em[Como fazer logout e se conectar novamente](fix-keystore.md#login-kmsuser-2).