Criar uma KMS chave em um armazenamento de AWS CloudHSM chaves

Use o procedimento a seguir para criar uma KMS chave de criptografia simétrica em um armazenamento de AWS CloudHSM chaves.

Quando o procedimento for bem-sucedido, a tela mostrará a nova KMS AWS CloudHSM chave no armazenamento de chaves que você escolheu. Quando você escolhe o nome ou alias da nova KMS chave, a guia Configuração criptográfica em sua página de detalhes exibe a origem da KMS chave (AWS CloudHSM), o nome, a ID e o tipo do armazenamento de chaves personalizadas e a ID do AWS CloudHSM cluster. Se houver falha no procedimento, uma mensagem descrevendo a falha será exibida.

Para criar uma nova AWS KMS key (KMSchave) em seu armazenamento de AWS CloudHSM chaves, use a CreateKeyoperação. Use o parâmetro CustomKeyStoreId para identificar o armazenamento de chaves personalizado e especificar um valor de Origin da AWS_CLOUDHSM.

Você também pode usar o parâmetro Policy para especificar uma política de chaves. Você pode alterar a política de chaves (PutKeyPolicy) e adicionar elementos opcionais, como uma descrição e tags, a qualquer momento.

Os exemplos nesta seção usam a AWS Command Line Interface (AWS CLI), mas você pode usar qualquer linguagem de programação compatível.

O exemplo a seguir começa com uma chamada para a DescribeCustomKeyStoresoperação para verificar se o armazenamento de AWS CloudHSM chaves está conectado ao AWS CloudHSM cluster associado. Por padrão, essa operação retorna todos os armazenamentos de chaves personalizados em sua conta e região. Para descrever somente um determinado armazenamento de AWS CloudHSM chaves, use seu CustomKeyStoreName parâmetro CustomKeyStoreId or (mas não ambos).

Antes de executar um comando como esse, substitua o ID de exemplo do armazenamento de chaves personalizado por um ID válido.

$ aws kms describe-custom-key-stores --custom-key-store-id cks-1234567890abcdef0
{
   "CustomKeyStores": [
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "CustomKeyStoreType": "AWS CloudHSM key store",
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "CONNECTED"
   ],
}

O próximo comando de exemplo usa a DescribeClustersoperação para verificar se o AWS CloudHSM cluster associado ao ExampleKeyStore (cluster-1a23b4cdefg) tem pelo menos dois ativos. HSMs Se o cluster tiver menos de doisHSMs, a CreateKey operação falhará.

$ aws cloudhsmv2 describe-clusters
{
    "Clusters": [
        {
            "SubnetMapping": {
               ...
            },
            "CreateTimestamp": 1507133412.351,
            "ClusterId": "cluster-1a23b4cdefg",
            "SecurityGroup": "sg-865af2fb",
            "HsmType": "hsm1.medium",
            "VpcId": "vpc-1a2b3c4d",
            "BackupPolicy": "DEFAULT",
            "Certificates": {
                "ClusterCertificate": "-----BEGIN CERTIFICATE-----\...\n-----END CERTIFICATE-----\n"
            },
            "Hsms": [
                {
                    "AvailabilityZone": "us-west-2a",
                    "EniIp": "10.0.1.11",
                    "ClusterId": "cluster-1a23b4cdefg",
                    "EniId": "eni-ea8647e1",
                    "StateMessage": "HSM created.",
                    "SubnetId": "subnet-a6b10bd1",
                    "HsmId": "hsm-abcdefghijk",
                    "State": "ACTIVE"
                },
                {
                    "AvailabilityZone": "us-west-2b",
                    "EniIp": "10.0.0.2",
                    "ClusterId": "cluster-1a23b4cdefg",
                    "EniId": "eni-ea8647e1",
                    "StateMessage": "HSM created.",
                    "SubnetId": "subnet-b6b10bd2",
                    "HsmId": "hsm-zyxwvutsrqp",
                    "State": "ACTIVE"
                },
            ],
            "State": "ACTIVE"
        }
    ]
}

Este exemplo de comando usa a CreateKeyoperação para criar uma KMS chave em um armazenamento de AWS CloudHSM chaves. Para criar uma KMS chave em um armazenamento de AWS CloudHSM chaves, você deve fornecer o ID de armazenamento de chaves personalizado do armazenamento de AWS CloudHSM chaves e especificar um Origin valor deAWS_CLOUDHSM.

A resposta inclui o armazenamento IDs de chaves personalizadas e o AWS CloudHSM cluster.

Antes de executar um comando como esse, substitua o ID de exemplo do armazenamento de chaves personalizado por um ID válido.

$ aws kms create-key --origin AWS_CLOUDHSM --custom-key-store-id cks-1234567890abcdef0
{
  "KeyMetadata": {
    "AWSAccountId": "111122223333",
    "Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "CreationDate": 1.499288695918E9,
    "Description": "Example key",
    "Enabled": true,
    "MultiRegion": false,
    "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
    "KeyManager": "CUSTOMER",
    "KeyState": "Enabled",
    "KeyUsage": "ENCRYPT_DECRYPT",    
    "Origin": "AWS_CLOUDHSM"
    "CloudHsmClusterId": "cluster-1a23b4cdefg",
    "CustomKeyStoreId": "cks-1234567890abcdef0"
    "KeySpec": "SYMMETRIC_DEFAULT",
    "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
    "EncryptionAlgorithms": [
        "SYMMETRIC_DEFAULT"
    ]
  }
}