AWS Key Management Service
开发人员指南
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

在自定义密钥存储中创建 CMK

在创建自定义密钥存储后,您可以在密钥存储中创建客户主密钥 (CMK)。然后,您可以像在 AWS KMS 中使用任何 CMK 一样使用和管理这些 CMK。例如,您可以执行以下任一操作:

  • 创建指向 CMK 的别名。

  • 在 CMK 上设置 IAM 和密钥策略。

  • 启用和禁用 CMK。

  • 计划 CMK 的删除。

  • 使用 CMK 进行加密操作。

要在自定义密钥存储中创建 CMK,自定义密钥存储必须连接到其关联的 AWS CloudHSM 集群,并且集群必须包含不同可用区中的至少两个活动 HSM。要查找连接状态和 HSM 数,请查看 AWS 管理控制台中的自定义密钥存储页。在使用 API 操作时,请使用 DescribeCustomKeyStores 操作来验证自定义密钥存储是否已连接。使用 AWS CloudHSM DescribeClusters 操作获取集群中的活动 HSM 数及其可用区。

在自定义密钥存储中创建 CMK 时,AWS KMS 会在 AWS KMS 中创建 CMK。但是,它会在关联的 AWS CloudHSM 集群中为 CMK 创建密钥材料。具体而言,AWS KMS 作为您创建的 kmsuser CU 登录到集群。然后,它在集群中创建持久的、不可提取的 256 位高级加密标准 (AES) 对称密钥。AWS KMS 将密钥标签属性的值(仅在集群中可见)设置为 CMK 的 Amazon 资源名称 (ARN)。

当命令成功时,新 CMK 的密钥状态Enabled,其源为 AWS_CLOUDHSM。创建任何 CMK 后便无法更改其源。当您在控制台中或使用 DescribeKey API 操作查看自定义密钥存储中的 CMK 时,您会看到典型属性,例如其密钥 ID、密钥状态和创建日期。但是,您也可以查看自定义密钥存储 ID 和(可选)AWS CloudHSM 集群 ID。有关详细信息,请参阅 在自定义密钥存储中查看 CMK

如果您在自定义密钥存储中创建 CMK 的尝试失败,请查看错误消息以帮助您确定原因。它可能表示未连接自定义密钥存储 (CustomKeyStoreInvalidStateException) 或关联的 AWS CloudHSM 集群没有此操作所需的两个活动 HSM (CloudHsmClusterInvalidConfigurationException)。有关帮助信息,请参阅对自定义密钥存储进行故障排除

在自定义密钥存储中创建 CMK(控制台)

使用以下过程在自定义密钥存储中创建客户主密钥 (CMK)。

  1. 登录 AWS 管理控制台并通过以下网址打开 AWS Key Management Service (AWS KMS) 控制台:https://console.amazonaws.cn/kms

  2. 要更改 AWS 区域,请使用页面右上角的区域选择器。

  3. 在导航窗格中,选择 Customer managed keys (客户托管密钥)

  4. 选择 Create key

  5. 为 CMK 键入别名和可选描述。

  6. 选择 Advanced options (高级选项)

  7. 对于 Key material origin (密钥材料源),选择 Custom key store (CloudHSM) (自定义密钥存储 (CloudHSM))

  8. 选择 Next

  9. 为新 CMK 选择自定义密钥存储。要创建新的自定义密钥存储,请选择 Create custom key store (创建自定义密钥存储)

    您选择的自定义密钥存储的状态必须为 CONNECTED。其关联的 AWS CloudHSM 集群必须处于活动状态且在不同的可用区中包含至少两个活动 HSM。

    有关连接自定义密钥存储的帮助,请参阅连接和断开自定义密钥存储。有关添加 HSM 的帮助,请参阅 AWS CloudHSM User Guide 中的添加 HSM

  10. 选择 Next

  11. (可选)。在 Add tags (添加标签) 页面上,添加标识或分类 CMK 的标签。

    在将标签添加到 AWS 资源时,AWS 可生成成本分配报告,其中按标签汇总了使用情况和成本。有关标记 CMK 的信息,请参阅标记密钥

  12. 选择 Next

  13. Key Administrators (密钥管理员) 部分中,选择可管理 CMK 的 IAM 用户和角色。有关更多信息,请参阅允许密钥管理员管理 CMK

    注意

    IAM 策略可以向其他 IAM 用户和角色授予使用 CMK 的权限。

  14. (可选)要阻止这些密钥管理员删除此 CMK,请清除页面底部与 Allow key administrators to delete this key (允许密钥管理员删除此密钥) 对应的框。

  15. 选择 Next

  16. This account (此账户) 部分中,选择此 AWS 账户中可以在加密操作中使用 CMK 的 IAM 用户和角色。有关更多信息,请参阅允许密钥用户使用 CMK

    注意

    IAM 策略可以向其他 IAM 用户和角色授予使用 CMK 的权限。

  17. (可选)您可以允许其他 AWS 账户将此 CMK 用于加密操作。为此,请在页面底部的“Other AWS accounts (其他 AWS 账户)”部分中,选择“Add another AWS account (添加其他 AWS 账户)”并输入外部账户的 AWS 账户标识号。要添加多个外部账户,请重复此步骤。

    注意

    其他 AWS 账户的管理员还必须为其用户创建 IAM 策略,以允许访问此 CMK。有关更多信息,请参阅允许外部 AWS 账户访问 CMK

  18. 选择 Next

  19. Review and edit key policy (审核和编辑密钥策略) 页面上,审核和编辑新 CMK 的策略文档。完成后,选择 Finish (完成)

该过程成功后,显示屏将在您选择的自定义密钥存储中显示新 CMK。当您选择新 CMK 的名称或别名时,其详细信息页面会显示 CMK 的源 (CloudHSM)、自定义密钥存储的名称和 ID 以及 AWS CloudHSM 集群的 ID。如果此过程失败,则会出现一条描述失败的错误消息。

提示

要更轻松地识别自定义密钥存储中的 CMK,请在 Customer managed keys (客户托管密钥) 页面上,将 Custom key store ID (自定义密钥存储 ID) 列添加到显示中。单击右上角的齿轮图标并选择 Custom key store ID (自定义密钥存储 ID)

在自定义密钥存储中创建 CMK (API)

要在自定义密钥存储中创建新的客户主密钥 (CMK),请使用 CreateKey 操作。使用 CustomKeyStoreId 参数识别自定义密钥存储并指定 OriginAWS_CLOUDHSM

您可能还需要使用 Policy 参数指定密钥策略。您可以随时更改密钥策略 (PutKeyPolicy) 并添加可选元素,例如描述标签

此部分中的示例使用 AWS Command Line Interface (AWS CLI),但您可以使用任何受支持的编程语言。

在以下示例中,首先调用 DescribeCustomKeyStores 操作以验证自定义密钥存储是否已连接到其关联的 AWS CloudHSM 集群。默认情况下,此操作将返回您的账户和区域中的所有自定义密钥存储。要仅描述特定的自定义密钥存储,请使用 CustomKeyStoreIdCustomKeyStoreName 参数(而不是同时使用两者)。

在运行此命令之前,请将示例自定义密钥存储 ID 替换为有效的 ID。

$ aws kms describe-custom-key stores --custom-key-store-id cks-1234567890abcdef0 { "CustomKeyStores": [ "CustomKeyStoreId": "cks-1234567890abcdef0", "CustomKeyStoreName": "ExampleKeyStore", "CloudHsmClusterId": "cluster-1a23b4cdefg", "TrustAnchorCertificate": "<certificate string appears here>", "CreationDate": "1.499288695918E9", "ConnectionState": "CONNECTED" ], }

下一条示例命令使用 DescribeClusters 操作验证与 ExampleKeyStore (cluster-1a23b4cdefg) 关联的 AWS CloudHSM 集群是否具有至少两个活动 HSM。如果集群的 HSM 少于两个,则 CreateKey 操作将失败。

$ aws cloudhsmv2 describe-clusters { "Clusters": [ { "SubnetMapping": { ... }, "CreateTimestamp": 1507133412.351, "ClusterId": "cluster-1a23b4cdefg", "SecurityGroup": "sg-865af2fb", "HsmType": "hsm1.medium", "VpcId": "vpc-1a2b3c4d", "BackupPolicy": "DEFAULT", "Certificates": { "ClusterCertificate": "-----BEGIN CERTIFICATE-----\...\n-----END CERTIFICATE-----\n" }, "Hsms": [ { "AvailabilityZone": "us-west-2a", "EniIp": "10.0.1.11", "ClusterId": "cluster-1a23b4cdefg", "EniId": "eni-ea8647e1", "StateMessage": "HSM created.", "SubnetId": "subnet-a6b10bd1", "HsmId": "hsm-abcdefghijk", "State": "ACTIVE" }, { "AvailabilityZone": "us-west-2b", "EniIp": "10.0.0.2", "ClusterId": "cluster-1a23b4cdefg", "EniId": "eni-ea8647e1", "StateMessage": "HSM created.", "SubnetId": "subnet-b6b10bd2", "HsmId": "hsm-zyxwvutsrqp", "State": "ACTIVE" }, ], "State": "ACTIVE" } ] }

此示例命令使用 CreateKey 操作在自定义密钥存储中创建 CMK。要在自定义密钥存储中创建 CMK,您必须提供自定义密钥存储名称的 ID,并指定 OriginAWS_CLOUDHSM

该响应包含自定义密钥存储和 AWS CloudHSM 集群的 ID。

在运行此命令之前,请将示例自定义密钥存储 ID 替换为有效的 ID。

$ aws kms create-key --origin AWS_CLOUDHSM --custom-key-store-id cks-1234567890abcdef0 { "KeyMetadata": { "AWSAccountId": "111122223333", "Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab", "CreationDate": 1.499288695918E9, "Description": "Example key", "Enabled": true, "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab", "KeyManager": "CUSTOMER", "KeyState": "Enabled", "KeyUsage": "ENCRYPT_DECRYPT", "Origin": "AWS_CLOUDHSM" "CloudHsmClusterId": "cluster-1a23b4cdefg", "CustomKeyStoreId": "cks-1234567890abcdef0" } }