本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
计划从 Amazon CloudHSM 密钥存储删除 KMS 密钥
如果您确定您不需要在任何加密操作中使用 Amazon KMS key，您可以计划删除 KMS 密钥。同样使用用于计划从 Amazon KMS 删除任何 KMS 密钥的过程。此外，让 Amazon CloudHSM 密钥存储保持连接状态，以便 Amazon KMS 可以在等待期到期后从关联的 Amazon CloudHSM 集群中删除对应的密钥材料。
您可以在 Amazon CloudTrail 日志中监控 KMS 密钥的计划、取消和删除。
警告
删除 KMS 密钥是一种具有破坏性且潜在危险的操作，可阻止您恢复使用 KMS 密钥加密的所有数据。在安排删除 KMS 密钥之前，请检查 KMS 密钥的过去使用情况，并创建一个 Amazon CloudWatch 警报，当有人试图使用 KMS 密钥等待删除时，该警报会提醒您。如有可能，禁用 KMS 密钥而不是将其删除。
如果您计划从 Amazon CloudHSM 密钥存储中删除 KMS 密钥，其密钥状态将变为 Pending deletion（等待删除）。KMS 密钥将在整个等待期处于 Pending deletion（等待删除）状态，即使 KMS 密钥因您断开自定义密钥存储而不可用时都是如此。这允许您在等待期内随时取消删除 KMS 密钥。
等待期到期后，Amazon KMS 将从 Amazon KMS 删除 KMS 密钥。然后，Amazon KMS 将尽可能从关联的 Amazon CloudHSM 集群中删除密钥材料。如果 Amazon KMS 无法删除密钥材料（如当密钥存储与 Amazon KMS 断开连接时），您可能需要手动从集群中删除孤立密钥材料。
Amazon KMS 不会从集群备份中删除密钥材料。即使您从 Amazon KMS 删除 KMS 密钥并且从 Amazon CloudHSM 集群删除其密钥材料，通过备份创建的集群也可能包含已删除的密钥材料。要永久删除密钥材料，请 KMS 密钥的查看创建日期。然后，删除所有集群备份（可能包含密钥材料）。
当您计划从 Amazon CloudHSM 密钥存储中删除 KMS 密钥时，KMS 密钥将立即变得不可用（取决于最终一致性）。不过，在再次使用 KMS 密钥（例如解密数据密钥）之前，使用受 KMS 密钥保护的数据密钥加密的资源不会受到影响。此问题会影响 Amazon Web Services，因为许多服务使用数据密钥来保护您的资源。有关详细信息，请参阅不可用的 KMS 密钥如何影响数据密钥。