Crear una KMS clave en un almacén de AWS CloudHSM claves

Utilice el siguiente procedimiento para crear una KMS clave de cifrado simétrica en un almacén de AWS CloudHSM claves.

Cuando el procedimiento se complete correctamente, la pantalla mostrará la nueva KMS clave en el almacén de AWS CloudHSM claves que haya elegido. Al elegir el nombre o el alias de la nueva KMS clave, la pestaña de configuración criptográfica de su página de detalles muestra el origen de la KMS clave (AWS CloudHSM), el nombre, el identificador y el tipo del almacén de claves personalizado y el identificador del clúster. AWS CloudHSM Si el procedimiento falla, aparecerá un mensaje de error que describe el motivo del error.

Para crear una nueva AWS KMS key (KMSclave) en su almacén de AWS CloudHSM claves, utilice la CreateKeyoperación. Use el parámetro CustomKeyStoreId para identificar su almacén de claves personalizado y en el valor Origin especifique AWS_CLOUDHSM.

Es posible que también desee utilizar el parámetro Policy para especificar una política de claves. Puede cambiar la política de claves (PutKeyPolicy) y añadir elementos opcionales, como una descripción y etiquetas, en cualquier momento.

En los ejemplos de esta sección, se utiliza la AWS Command Line Interface (AWS CLI), pero puede usar cualquier lenguaje de programación admitido.

El siguiente ejemplo comienza con una llamada a la DescribeCustomKeyStoresoperación para comprobar que el almacén de AWS CloudHSM claves está conectado al AWS CloudHSM clúster asociado. De forma predeterminada, esta operación devuelve los almacenes de claves personalizados de su cuenta y región. Para describir únicamente un almacén de AWS CloudHSM claves concreto, utilice su CustomKeyStoreName parámetro CustomKeyStoreId o (pero no ambos).

Antes de ejecutar este comando, reemplace el ID del almacén de claves personalizado de ejemplo por un ID válido.

$ aws kms describe-custom-key-stores --custom-key-store-id cks-1234567890abcdef0
{
   "CustomKeyStores": [
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "CustomKeyStoreType": "AWS CloudHSM key store",
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "CONNECTED"
   ],
}

El siguiente comando de ejemplo utiliza la DescribeClustersoperación para comprobar que el AWS CloudHSM clúster asociado al ExampleKeyStore (cluster-1a23b4cdefg) tiene al menos dos activos. HSMs Si el clúster tiene menos de dos, se produce un error en la operación. HSMs CreateKey

$ aws cloudhsmv2 describe-clusters
{
    "Clusters": [
        {
            "SubnetMapping": {
               ...
            },
            "CreateTimestamp": 1507133412.351,
            "ClusterId": "cluster-1a23b4cdefg",
            "SecurityGroup": "sg-865af2fb",
            "HsmType": "hsm1.medium",
            "VpcId": "vpc-1a2b3c4d",
            "BackupPolicy": "DEFAULT",
            "Certificates": {
                "ClusterCertificate": "-----BEGIN CERTIFICATE-----\...\n-----END CERTIFICATE-----\n"
            },
            "Hsms": [
                {
                    "AvailabilityZone": "us-west-2a",
                    "EniIp": "10.0.1.11",
                    "ClusterId": "cluster-1a23b4cdefg",
                    "EniId": "eni-ea8647e1",
                    "StateMessage": "HSM created.",
                    "SubnetId": "subnet-a6b10bd1",
                    "HsmId": "hsm-abcdefghijk",
                    "State": "ACTIVE"
                },
                {
                    "AvailabilityZone": "us-west-2b",
                    "EniIp": "10.0.0.2",
                    "ClusterId": "cluster-1a23b4cdefg",
                    "EniId": "eni-ea8647e1",
                    "StateMessage": "HSM created.",
                    "SubnetId": "subnet-b6b10bd2",
                    "HsmId": "hsm-zyxwvutsrqp",
                    "State": "ACTIVE"
                },
            ],
            "State": "ACTIVE"
        }
    ]
}

Este comando de ejemplo utiliza la CreateKeyoperación para crear una KMS clave en un almacén de AWS CloudHSM claves. Para crear una KMS clave en un almacén de AWS CloudHSM claves, debe proporcionar el ID del almacén de claves personalizado del almacén de AWS CloudHSM claves y especificar un Origin valor deAWS_CLOUDHSM.

La respuesta incluye el almacén IDs de claves personalizado y el AWS CloudHSM clúster.

Antes de ejecutar este comando, reemplace el ID del almacén de claves personalizado de ejemplo por un ID válido.

$ aws kms create-key --origin AWS_CLOUDHSM --custom-key-store-id cks-1234567890abcdef0
{
  "KeyMetadata": {
    "AWSAccountId": "111122223333",
    "Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "CreationDate": 1.499288695918E9,
    "Description": "Example key",
    "Enabled": true,
    "MultiRegion": false,
    "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
    "KeyManager": "CUSTOMER",
    "KeyState": "Enabled",
    "KeyUsage": "ENCRYPT_DECRYPT",    
    "Origin": "AWS_CLOUDHSM"
    "CloudHsmClusterId": "cluster-1a23b4cdefg",
    "CustomKeyStoreId": "cks-1234567890abcdef0"
    "KeySpec": "SYMMETRIC_DEFAULT",
    "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
    "EncryptionAlgorithms": [
        "SYMMETRIC_DEFAULT"
    ]
  }
}