AWS Key Management Service
开发人员指南
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

查看自定义密钥存储

您可以使用 AWS 管理控制台或 AWS KMS API 查看每个账户和区域中的自定义密钥存储。

有关在自定义密钥存储中查看 CMK 的帮助,请参阅在自定义密钥存储中查看 CMK

查看自定义密钥存储(控制台)

在 AWS 管理控制台中查看自定义密钥存储时,可查看以下内容:

  • 自定义密钥存储名称

  • 关联的 AWS CloudHSM 集群的 ID

  • 集群中的 HSM 的数量

  • 当前连接状态

连接状态为 Disconnected (已断开连接) 表示自定义密钥存储是新的且从未连接过,或者它已有意从其 AWS CloudHSM 集群断开连接。但是,如果您尝试使用已连接的自定义密钥存储中的 CMK 失败,则可能表示自定义密钥存储或其 AWS CloudHSM 集群存在问题。有关帮助信息,请参阅如何修复失败的 CMK

要查看给定账户和区域中的自定义密钥存储,请使用以下过程。

  1. 登录 AWS 管理控制台并通过以下网址打开 AWS Key Management Service (AWS KMS) 控制台:https://console.amazonaws.cn/kms

  2. 要更改 AWS 区域,请使用页面右上角的区域选择器。

  3. 在左侧导航窗格中,选择 Custom key stores (自定义密钥存储)

要自定义显示,请单击显示在 Create key store (创建密钥存储) 按钮下方的齿轮图标。

查看自定义密钥存储 (API)

要查看您的自定义密钥存储,请使用 DescribeCustomKeyStores 操作。默认情况下,此操作将返回账户和区域中的所有自定义密钥存储。不过,您可以使用 CustomKeyStoreIdCustomKeyStoreName 参数(但不能同时使用两者)将输出限制到特定的自定义密钥存储。输出包含自定义密钥存储 ID 和名称、关联的 AWS CloudHSM 集群的 ID 以及连接状态。如果连接状态指示错误,则输出还包含描述错误原因的错误代码。

此部分中的示例使用 AWS Command Line Interface (AWS CLI),但您可以使用任何受支持的编程语言。

例如,以下命令返回账户和区域中的所有自定义密钥存储。您可以使用 LimitMarker 参数来浏览输出中的自定义密钥存储。

$ aws kms describe-custom-key-stores

以下示例命令使用 CustomKeyStoreName 参数以仅获取具有 ExampleKeyStore 友好名称的自定义密钥存储。您可以在每个命令中使用 CustomKeyStoreNameCustomKeyStoreId 参数(但不能同时使用二者)。

以下示例输出表示已连接到其 AWS CloudHSM 集群的自定义密钥存储。ConnectionState 元素对应于控制台中的 Status 字段。

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleKeyStore { "CustomKeyStores": [ { "CloudHsmClusterId": "cluster-1a23b4cdefg", "ConnectionState": "CONNECTED", "CreationDate": "1.499288695918E9", "CustomKeyStoreId": "cks-1234567890abcdef0", "CustomKeyStoreName": "ExampleKeyStore", "TrustAnchorCertificate": "<certificate appears here>" } ] }

ConnectionStateDisconnected 表示自定义密钥存储从未连接过,或者它已有意从其 AWS CloudHSM 集群断开连接。但是,如果尝试使用已连接的自定义密钥存储中的 CMK 失败,则可能表示自定义密钥存储或其 AWS CloudHSM 集群存在问题。有关帮助信息,请参阅如何修复失败的 CMK

如果自定义密钥存储的 ConnectionStateFAILED,则 DescribeCustomKeyStores 响应包含一个说明错误原因的 ConnectionErrorCode 元素。

例如,在以下输出中,INVALID_CREDENTIALS 值指示自定义密钥存储连接因 kmsuser 密码无效而导致失败。有关此连接失败及其他连接错误失败的帮助,请参阅对自定义密钥存储进行故障排除

$ aws kms describe-custom-key-stores --custom-key-store-id cks-1234567890abcdef0 { "CustomKeyStores": [ { "CloudHsmClusterId": "cluster-1a23b4cdefg", "ConnectionErrorCode": "INVALID_CREDENTIALS" "ConnectionState": "FAILED", "CustomKeyStoreId": "cks-1234567890abcdef0", "CustomKeyStoreName": "ExampleKeyStore", "CreationDate": "1.499288695918E9", "TrustAnchorCertificate": "<certificate appears here>" } ] }