创建外部密钥存储

您可以在每个 Amazon Web Services 账户 和区域中创建一个或多个外部密钥存储。每个外部密钥存储都必须关联 Amazon 之外的外部密钥管理器，以及用于调解 Amazon KMS 与外部密钥管理器之间通信的外部密钥存储代理（XKS 代理）。有关更多信息，请参阅 规划外部密钥存储。在开始之前，请确认您需要外部密钥存储。大多数客户可以使用由 Amazon KMS 密钥材料支持的 KMS 密钥。

在创建外部密钥存储之前，您需要汇编先决条件。在创建过程中，您要指定外部密钥存储的属性。最重要的是，您要指明 Amazon KMS 中的外部密钥存储是使用公有端点还是 VPC 端点服务来连接外部密钥存储代理。您还要指定连接详细信息，包括代理的 URI 端点，以及代理端点内的路径（Amazon KMS 会在其中向代理发送 API 请求）。

其他注意事项：

所有新的外部密钥存储都在断开连接的状态下创建。在外部密钥存储中创建 KMS 密钥之前，您必须将其连接到外部密钥存储代理。要更改外部密钥存储的属性，请编辑外部密钥存储设置。

汇编先决条件

在创建外部密钥存储之前，您需要汇编所需的组件，包括用于支持外部密钥存储的外部密钥管理器，以及将 Amazon KMS 请求转换为外部密钥管理器可理解格式的外部密钥存储代理。

所有外部密钥存储都需要以下组件。除了这些组件，您还需要提供组件来支持自己选择的外部密钥存储代理连接选项。

外部密钥管理器

每个外部密钥存储都需要至少一个外部密钥管理器实例。这可以是实体或虚拟硬件安全模块（HSM），也可以是密钥管理软件。

您可以使用单个密钥管理器，但我们建议准备至少两个共享加密密钥的相关密钥管理器实例，以便实现冗余配置。外部密钥存储不需要独占使用外部密钥管理器。不过，外部密钥管理器必须有能力处理 Amazon 服务以预期频率发来的加密和解密请求，这些服务使用外部密钥存储中的 KMS 密钥来保护您的资源。您的外部密钥管理器应配置为每秒最多处理 1800 个请求，并在 250 毫秒的超时限制内响应每个请求。我们建议您将外部密钥管理器放置在靠近 Amazon Web Services 区域 的位置，让网络往返时间（RTT）不超过 35 毫秒。

如果外部密钥存储代理允许，则可以更改与外部密钥存储代理关联的外部密钥管理器，但新的外部密钥管理器必须是具有相同密钥材料的备份或快照。如果与 KMS 密钥关联的外部密钥无法再供外部密钥存储代理使用，Amazon KMS 便无法解密使用 KMS 密钥加密的加密文字。

外部密钥存储代理必须可以访问外部密钥管理器。如果代理的GetHealthStatus响应报告所有外部密钥管理器实例都是Unavailable，则所有创建外部密钥存储的尝试都将失败，并显示为XksProxyUriUnreachableException。

外部密钥存储代理

您必须指定符合 Amazon KMS 外部密钥存储代理 API 规范中设计要求的外部密钥存储代理（XKS 代理）。您可以开发或购买外部密钥存储代理，也可以使用外部密钥管理器提供或内置的外部密钥存储代理。Amazon KMS 建议将外部密钥存储代理配置为每秒处理最多 1800 个请求，并在 250 毫秒的超时限制内响应每个请求。我们建议您将外部密钥管理器放置在靠近 Amazon Web Services 区域 的位置，让网络往返时间（RTT）不超过 35 毫秒。

您可以将外部密钥存储代理用于多个外部密钥存储，但每个外部密钥存储必须在其请求的外部密钥存储代理中具有唯一的 URI 端点和路径。

如果您使用的是 VPC 端点服务连接，则可以在 Amazon VPC 中找到您的外部密钥存储代理，但这不是必需的。您可以将代理放置在 Amazon 之外（例如您的私有数据中心内），并且只使用 VPC 端点服务与代理通信。

代理身份验证凭证

要创建外部密钥存储，必须指定外部密钥存储代理身份验证凭证（XksProxyAuthenticationCredential）。

您必须在外部密钥存储代理上为 Amazon KMS 建立身份验证凭证（XksProxyAuthenticationCredential）。Amazon KMS 使用签名版本 4（SigV4）流程和外部密钥存储代理身份验证凭证对代理的请求进行签名，从而对您的代理进行身份验证。您可以在创建外部密钥存储时指定身份验证凭证，并且可以随时对其进行更改。如果代理要轮换凭证，则务必更新外部密钥存储的凭证值。

代理身份验证凭证有两个部分。您必须为外部密钥存储提供这两部分。

Amazon KMS 用于对外部密钥存储代理的请求进行签名的 SigV4 凭证，与同 Amazon 账户中 Amazon Identity and Access Management 主体关联的任何 SigV4 凭证无关。不要将任何 IAM SigV4 凭证重复用于外部密钥存储代理。

代理连接

要创建外部密钥存储，您必须指定外部密钥存储代理连接选项（XksProxyConnectivity）。

Amazon KMS 可以使用公有端点或 Amazon Virtual Private Cloud（Amazon VPC）端点服务，与您的外部密钥存储代理通信。公有端点虽然更易于配置和维护，但可能无法满足每次安装的安全要求。如果您选择 Amazon VPC 端点服务连接选项，则必须创建和维护所需的组件，包括在两个不同可用区内至少有两个子网的 Amazon VPC、具有网络负载均衡器和目标组的 VPC 端点服务，以及 VPC 端点服务的私有 DNS 名称。

您可以为外部密钥存储更改代理连接选项。不过，您必须确保外部密钥存储中与 KMS 密钥相关的密钥材料持续可用。否则，Amazon KMS 无法解密使用这些 KMS 密钥加密的任何加密文字。

有关确定哪种代理连接选项最适合外部密钥存储的帮助信息，请参阅 选择代理连接选项。有关创建和配置 VPC 端点服务连接的帮助信息，请参阅 配置 VPC 端点服务连接。

代理 URI 端点

要创建外部密钥存储，您必须指定 Amazon KMS 用于向外部密钥存储代理发送请求的端点（XksProxyUriEndpoint）。

协议必须是 HTTPS。Amazon KMS 在端口 443 上通信。不要在代理 URI 端点值中指定端口。

在外部密钥存储代理上配置的 TLS 服务器证书必须与外部密钥存储代理 URI 端点中的域名相匹配，并且由支持外部密钥存储的证书颁发机构颁发。有关列表，请参阅 Trusted Certificate Authorities（受信任的证书颁发机构）。在颁发 TLS 证书之前，证书颁发机构会要求您提供域所有权证明。

TLS 证书上的主题通用名称（CN）必须与私有 DNS 名称相匹配。例如，若私有 DNS 名称为 myproxy-private.xks.example.com，则 TLS 证书上的 CN 必须为 myproxy-private.xks.example.com 或 *.xks.example.com。

您可以更改代理 URI 端点，但请确保外部密钥存储代理有权访问与外部密钥存储中的 KMS 密钥关联的密钥材料。否则，Amazon KMS 无法解密使用这些 KMS 密钥加密的任何加密文字。

唯一性要求

代理 URI 路径

要创建外部密钥存储，您必须在外部密钥存储代理中指定所需代理 API 的基本路径。该值必须以 / 开头且以 /kms/xks/v1 结尾，其中 v1 表示外部密钥存储代理的 Amazon KMS API 版本。此路径可以在必要元素之间包含可选前缀，例如 /example-prefix/kms/xks/v1。要找到此值，请参阅外部密钥存储代理的文档。

Amazon KMS 将代理请求发送到由代理 URI 端点和代理 URI 路径串联指定的地址。例如，若代理 URI 端点为 https://myproxy.xks.example.com，代理 URI 路径为 /kms/xks/v1，Amazon KMS 会将其代理 API 请求发送到 https://myproxy.xks.example.com/kms/xks/v1。

您可以更改代理 URI 路径，但要确保外部密钥存储代理有权访问与外部密钥存储中的 KMS 密钥关联的密钥材料。否则，Amazon KMS 无法解密使用这些 KMS 密钥加密的任何加密文字。

唯一性要求

VPC 终端节点服务

指定用于与外部密钥存储代理通信的 Amazon VPC 端点服务的名称。只有使用 VPC 端点服务连接的外部密钥存储才需要此组件。有关为外部密钥存储设置和配置 VPC 端点服务的帮助信息，请参阅 配置 VPC 端点服务连接。

VPC 端点服务必须具有以下属性：

唯一性要求

代理配置文件

代理配置文件是基于 JSON 的可选文件，其中包含外部密钥存储的代理 URI 路径和代理身份验证凭证属性的值。在 Amazon KMS 控制台中创建或编辑外部密钥存储时，您可以上传代理配置文件来为外部密钥存储提供配置值。使用此文件可以避免键入和粘贴错误，并确保外部密钥存储中的值与外部密钥存储代理中的值相匹配。

代理配置文件由外部密钥存储代理生成。要了解外部密钥存储代理是否提供代理配置文件，请参阅您的外部密钥存储代理文档。

下面是具有虚拟值的格式正确的代理配置文件示例。

{
  "XksProxyUriPath": "/example-prefix/kms/xks/v1",
  "XksProxyAuthenticationCredential": {
    "AccessKeyId": "ABCDE12345670EXAMPLE",
    "RawSecretAccessKey": "0000EXAMPLEFA5FT0mCc3DrGUe2sti527BitkQ0Zr9MO9+vE="
  }
}

只有在 Amazon KMS 控制台中创建或编辑外部密钥存储时，才能上传代理配置文件。您不能将其与CreateCustomKeyStore或UpdateCustomKeyStore操作一起使用，但可以使用代理配置文件中的值来确保参数值正确无误。

创建外部密钥存储（控制台）

在创建外部密钥存储之前，请查看 规划外部密钥存储，选择代理连接类型，并确保已创建和配置了所有必需的组件。如果需要查找任何所需值的帮助信息，请查阅外部密钥存储代理或密钥管理软件的文档。

当该过程成功时，新的外部密钥存储将显示在账户和区域的外部密钥存储列表中。如果该过程失败，则会显示一条错误消息，描述问题并提供有关如何解决该问题的帮助。如果您需要更多帮助，请参阅CreateKey 外部密钥错误。

下一步：不会自动连接新的外部密钥存储。在外部密钥存储中创建 Amazon KMS keys 之前，您必须将外部密钥存储连接到其外部密钥存储代理。

创建外部密钥存储（API）

您可以使用该CreateCustomKeyStore操作来创建新的外部密钥存储库。如果需要查找所需参数值的帮助信息，请参阅外部密钥存储代理或密钥管理软件的文档。

要创建外部密钥存储，CreateCustomKeyStore 操作需要以下参数值。

aws configure set cli_follow_urlparam false

Error parsing parameter '--xks-proxy-uri-endpoint': Unable to retrieve 
https:// : received non 200 status code of 404

以下示例使用虚拟值。在运行命令之前，将虚拟值替换为外部密钥存储的有效值。

创建使用公有端点连接的外部密钥存储。

$ aws kms create-custom-key-store
        --custom-key-store-name ExampleExternalKeyStorePublic \
        --custom-key-store-type EXTERNAL_KEY_STORE \
        --xks-proxy-connectivity PUBLIC_ENDPOINT \
        --xks-proxy-uri-endpoint https://myproxy.xks.example.com \
        --xks-proxy-uri-path /kms/xks/v1 \
        --xks-proxy-authentication-credential AccessKeyId=<value>,RawSecretAccessKey=<value>  

创建使用 VPC 端点服务连接的外部密钥存储。

$ aws kms create-custom-key-store
        --custom-key-store-name ExampleExternalKeyStoreVPC \
        --custom-key-store-type EXTERNAL_KEY_STORE \
        --xks-proxy-connectivity VPC_ENDPOINT_SERVICE \
        --xks-proxy-vpc-endpoint-service-name com.amazonaws.vpce.us-east-1.vpce-svc-example \
        --xks-proxy-uri-endpoint https://myproxy-private.xks.example.com \
        --xks-proxy-uri-path /kms/xks/v1 \
        --xks-proxy-authentication-credential AccessKeyId=<value>,RawSecretAccessKey=<value>

当此操作成功时，CreateCustomKeyStore 将返回自定义密钥存储 ID，如以下示例响应中所示。

{
    "CustomKeyStoreId": cks-1234567890abcdef0
}

如果操作失败，请更正异常指示的错误，然后重试。有关其他帮助，请参阅排查外部密钥存储的问题。

下一步：要使用外部密钥存储，请将其连接到外部密钥存储代理。