刪除匯入的金鑰材料 - AWS Key Management Service

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

刪除匯入的金鑰材料

您可以隨時刪除 KMS 金鑰中匯入的金鑰材料。此外，當具有過期日期的匯入金鑰材料過期時， 會 AWS KMS 刪除金鑰材料。在任一情況下，刪除金鑰材料時，KMS 金鑰的金鑰狀態會變更為待匯入，而且 KMS 金鑰無法用於任何密碼編譯操作。

單一區域、對稱加密金鑰可以有多個與其相關聯的金鑰材料，而且除了將金鑰狀態PENDING_ROTATION變更為待匯入之外，任何處於 狀態的金鑰材料的刪除或過期。對於這些金鑰，KMS 會為每個金鑰材料指派唯一的識別符。您可以使用 ListKeyRotations API 來檢視這些金鑰材料識別符。您可以使用 DeleteImportedKeyMaterial API 中的 key-material-id 參數指定特定金鑰材料的識別符。

警告

key-material-id 參數是選用的，如果您未指定， AWS KMS 會刪除目前的金鑰材料。

除停用 KMS 金鑰及撤回權限外，刪除金鑰資料也可作為快速但暫時停止使用 KMS 金鑰的策略。反之，利用匯入的金鑰資料來排程刪除 KMS 金鑰也可快速停止運用 KMS 金鑰。不過，如果在等待期間未取消刪除，KMS 金鑰、相關聯的金鑰資料和所有金鑰中繼資料都會永久刪除。如需詳細資訊，請參閱Deleting KMS keys with imported key material。

若要刪除金鑰材料，您可以使用 AWS KMS 主控台或 DeleteImportedKeyMaterial API 操作。當您刪除匯入的金鑰材料，以及AWS KMS 刪除過期的金鑰材料時， 會在 AWS CloudTrail 日誌中 AWS KMS 記錄 項目。

刪除金鑰材料如何影響 AWS 服務

當您刪除任何金鑰材料時，KMS 金鑰會立即變得無法使用 （取決於最終一致性）。不過，使用受 KMS 金鑰保護之資料金鑰所加密的資源不會受影響，除非再次使用 KMS 金鑰 (例如解密資料金鑰)。此問題會影響 AWS 服務，其中許多服務會使用資料金鑰來保護您的資源。如需詳細資訊，請參閱無法使用的 KMS 金鑰如何影響資料金鑰。

您可以使用 AWS KMS 主控台來刪除金鑰材料。

  1. 登入 AWS Management Console 並開啟位於 https：//https://console.aws.amazon.com/kms 的 AWS Key Management Service (AWS KMS) 主控台。

  2. 若要變更 AWS 區域，請使用頁面右上角的區域選擇器。

  3. 在導覽窗格中，選擇 Customer managed keys (客戶受管金鑰)。

  4. 執行以下任意一項：

    • 選取含有匯入金鑰資料的 KMS 金鑰的核取方塊。選擇 Key actions (金鑰動作)、Delete key material (刪除金鑰材料)。對於具有多個與其相關聯的金鑰材料的對稱加密金鑰，這將刪除目前的金鑰材料。

    • 對於具有匯入金鑰材料的單一區域對稱加密 KMS 金鑰，請選擇 KMS 金鑰的別名或金鑰 ID。選擇金鑰材料和輪換索引標籤。金鑰材料資料表會列出與金鑰相關聯的所有金鑰材料。在對應至您要刪除之金鑰材料的資料列中，從動作選單中選擇刪除金鑰材料。

  5. 確認您要刪除金鑰材料，然後選擇 Delete key material (刪除金鑰材料)。KMS 金鑰的狀態 (對應其金鑰狀態) 會變更為 Pending import (待匯入)。如果刪除的金鑰材料處於 PENDING_ROTATION 狀態，KMS 金鑰的狀態不會變更。

若要使用 AWS KMS API 來刪除金鑰材料，請傳送 DeleteImportedKeyMaterial 請求。以下範例顯示如何使用 AWS CLI 執行此作業。

將 1234abcd-12ab-34cd-56ef-1234567890ab 替換為您要刪除其金鑰材料之 KMS 金鑰的金鑰 ID。您可以使用 KMS 金鑰的金鑰 ID 或 ARN，但不能對此操作使用別名。下列命令會刪除目前的金鑰材料，這可能是與金鑰相關聯的唯一金鑰材料。

$ aws kms delete-imported-key-material --key-id 1234abcd-12ab-34cd-56ef-1234567890ab

若要刪除特定金鑰材料，請使用 key-material-id 參數指定識別的金鑰材料。123456789abcdef0123456789abcdef0123456789abcdef0123456789abcdef0 以您要刪除的金鑰材料識別符取代 。

$ aws kms delete-imported-key-material --key-id 1234abcd-12ab-34cd-56ef-1234567890ab \
    --key-material-id 123456789abcdef0123456789abcdef0123456789abcdef0123456789abcdef0