Key Management Service:Importar material de clave a una clave simétrica

Funciones

Una clave es un recurso básico en KMS que consta de un identificador de clave, metadatos básicos (como el estado de la clave) y material de clave. Al crear una clave, puede permitir que KMS genere el material de clave o elegir un origen de material de clave externo. Si elige un origen de material de clave externo, debe importar dicho material a la clave. Esta función se conoce comúnmente como Bring Your Own Key (BYOK). Para conocer la compatibilidad de los distintos tipos de gestión de claves de KMS con la importación de material de clave, consulte la siguiente tabla. Para obtener más información sobre los tipos de gestión de claves, consulte Key management types and key specifications.

Notas de uso

• Asegúrese de usar un generador de números aleatorios que cumpla con los requisitos para generar el material de clave.

• Después de importar material de clave a una clave por primera vez, la clave queda vinculada a ese material y ya no admite la importación de otro material de clave.

• Puede importar el mismo material de clave a una clave de KMS varias veces según sea necesario, pero no puede importar material de clave distinto a la misma clave de KMS.

• Si el material de clave de una clave caduca o se elimina, puede volver a importar el mismo material de clave para que la clave vuelva a ser utilizable. El material de clave importado no se puede exportar. Guarde su material de clave de forma segura.

Ámbito de aplicación

Se compró y habilitó una instancia de KMS. Para obtener más información, consulte Purchase and enable a KMS instance.

Paso 1: Crear una clave simétrica con origen de material de clave externo

Antes de importar material de clave, cree una clave simétrica con origen de material de clave externo.

Después de la creación, el estado de la clave es I understand the implications of using external key material..

Paso 2: Descargar una clave pública de empaquetado y un token de importación

Los parámetros para importar material de clave incluyen una clave pública de empaquetado y un token de importación. La clave pública de empaquetado cifra el material de clave y lo protege durante el proceso de importación. El token de importación se utiliza para importar el material de clave.

1. Busque la clave de destino y haga clic en Pending Import en la columna Details. En la sección Actions, haga clic en Key Material.

2. En el cuadro de diálogo Obtain Parameters for Import, seleccione Obtain Parameters to Import Key Material y Public Key Type, y haga clic en Encryption Algorithm.

   Tipo de gestión de claves	Tipo de clave pública de empaquetado	Algoritmo de cifrado
   Clave predeterminada (clave maestra del cliente)	RSA_2048	RSAES_OAEP_SHA_1, RSAES_OAEP_SHA_256, RSAES_PKCS1_V1_5 (no recomendado)
   Clave protegida por software	RSA_2048	RSAES_OAEP_SHA_256, RSAES_PKCS1_V1_5 (no recomendado)
   Clave protegida por hardware	RSA_2048	RSAES_OAEP_SHA_256, RSAES_PKCS1_V1_5 (no recomendado)

3. Descargue la clave pública de empaquetado y el token de importación, y guárdelos de forma segura.

   • Next:

     • Public Key Format: de manera predeterminada, el archivo descargado se denomina WrappingPublicKey**.bin.

     • DER Format: de manera predeterminada, el archivo descargado se denomina WrappingPublicKey**.pem.

   • PEM Format: de manera predeterminada, el archivo descargado se denomina ImportToken***.txt.

     Importante

     • Un token de importación tiene una validez de 24 horas y se puede reutilizar dentro de este periodo. Una vez que caduca, debe obtener un nuevo token de importación y una nueva clave pública.

     • La clave pública de empaquetado y el token de importación deben usarse como un par. No puede utilizar una clave pública de empaquetado de una descarga con un token de importación de otra.

Paso 3: Cifrar el material de clave con la clave pública de empaquetado

Utilice la clave pública de empaquetado y el algoritmo de empaquetado especificados que descargó en Step 2: Download a wrapping public key and an import token para cifrar el material de clave.

1. Use OpenSSL para generar un número aleatorio de 32 bytes como material de clave. Omita este paso si ya cuenta con material de clave.

   Nota

   Si está creando una clave HMAC, consulte HMAC key material length para conocer la cantidad de bytes obligatoria, reemplace el recuento de bytes y luego genere el material de clave.

   openssl rand -out KeyMaterial.bin 32

2. Cifre el material de clave con base en el algoritmo de cifrado especificado.

   Nota

   El algoritmo de cifrado del ejemplo usa RSAES_OAEP_SHA_256.

   El ejemplo utiliza el formato DER para la clave pública. Si seleccionó el formato PEM al descargar el archivo de clave pública, reemplace -keyform DER por -keyform PEM en el ejemplo.

   Reemplace PublicKey.bin por el nombre del archivo de clave pública que descargó en Step 2: Download a wrapping public key and an import token.

   openssl pkeyutl -encrypt \
     -in KeyMaterial.bin \
     -inkey PublicKey.bin \
     -keyform DER \
     -pubin \
     -out EncryptedKeyMaterial.bin \
     -pkeyopt rsa_padding_mode:oaep \
     -pkeyopt rsa_oaep_md:sha256 \
     -pkeyopt rsa_mgf1_md:sha256

3. Codifique en Base64 el material de clave cifrado y guárdelo en un archivo de texto.

   openssl enc -e -base64 -A -in EncryptedKeyMaterial.bin -out EncryptedKeyMaterial_base64.txt

   Nota

   EncryptedKeyMaterial_base64.txt es el archivo de material de clave que se puede importar a KMS.

Paso 4: Importar el material de clave

En la página de detalles de la clave, haga clic en Import Token. En el cuadro de diálogo Import Key Material, complete la configuración y haga clic en Import Wrapped Key Material.

Una vez que el material de clave se importa correctamente, el estado de la clave cambia de Never Expire a Pending Import.

Apéndice

Preguntas frecuentes

• ¿Se puede eliminar el material de clave?

  Sí.

  Cuando el material de clave importado caduca o se elimina, la clave deja de ser utilizable. Debe volver a importar el mismo material de clave para usar la clave con normalidad.

  • Eliminar el material de clave directamente

    • Consola: en la página de detalles de la clave, dentro de la sección Enabling, haga clic en Key Material.

    • API: llame a la operación DeleteKeyMaterial para eliminar el material de clave. Esta operación no elimina su clave.

  • Eliminación automática por parte de KMS tras la caducidad

    Establezca una hora de caducidad al importar el material de clave. KMS eliminará el material de clave caducado después del tiempo especificado.

• ¿Cómo vuelvo a importar el mismo material de clave?

  Una vez que el material de clave caduca o se elimina, puede volver a importar el mismo material de clave para seguir usando la clave.

  1. Elimine el material de clave caducado.

     En la página de detalles de la clave, haga clic en la pestaña Delete Key Material y luego en Key Material.

  2. Descargue una nueva clave pública de empaquetado y un nuevo token de importación. Para obtener más información, consulte Step 2: Download a wrapping public key and an import token.

     El proceso de empaquetado de claves no afecta el contenido del material de clave. Por lo tanto, puede usar una clave pública de empaquetado y un algoritmo de empaquetado distintos para importar el mismo material de clave.

  3. Cifre el material de clave con la clave pública de empaquetado. Para obtener más información, consulte Step 3: Encrypt the key material using the wrapping public key.

     El material de clave debe ser el mismo que el material de clave caducado anteriormente.

  4. Importe el material de clave cifrado con el token de importación. Para obtener más información, consulte Step 4: Import the key material.

• ¿Cómo compruebo si el material de clave se importó desde una fuente externa o lo generó KMS?

  • Método 1: compruébelo en la consola de KMS.

    • Clave predeterminada: en la página Delete Key Material, haga clic en la pestaña Keys, busque la clave de destino y haga clic en Default Keys en la columna Details. En la página de detalles, compruebe Actions.

    • Clave protegida por software, clave protegida por hardware: en la página Key Material Origin, haga clic en la pestaña Keys, seleccione el Customer Master Keys, busque la clave de destino y haga clic en Instance ID en la columna Details. En la página de detalles, compruebe Actions.

  • Método 2: llame a la operación DescribeKey.

    Si el valor de Origin es EXTERNAL, el material de clave se importó desde una fuente externa. Si el valor de Origin es Aliyun_KMS, el material de clave lo generó KMS.

• ¿Cómo roto una clave que usa material de clave importado?

  • Las claves simétricas protegidas por software con material de clave externo importado solo admiten la rotación manual inmediata y no son compatibles con la rotación periódica automática. Para obtener más información, consulte BYOK key rotation.

  • Las claves asimétricas protegidas por software con material de clave externo importado no admiten la rotación.

  • Las claves protegidas por hardware (tanto simétricas como asimétricas) con material de clave externo importado no admiten la rotación.

Documentación relacionada

• Understanding KMS keys

• Key management types and key specifications

• Import key material for an asymmetric key