Key Management Service:Importer du matériel de clé dans une clé symétrique

Fonctionnalités

Une clé est une ressource de base dans KMS, composée d'un ID de clé, de métadonnées de base (telles que l'état de la clé) et du matériel de clé. Lors de la création d'une clé, vous pouvez choisir de laisser KMS générer le matériel de clé ou sélectionner une origine de matériel de clé externe. Si vous choisissez une origine externe, vous devez importer le matériel de clé externe dans la clé. Cette fonctionnalité est communément appelée Bring Your Own Key (BYOK). Pour connaître la prise en charge de l'importation de matériel de clé selon les différents types de gestion de clés KMS, consultez le tableau ci-dessous. Pour plus d'informations sur les types de gestion de clés, reportez-vous à la section Types de gestion de clés et spécifications des clés.

Notes d'utilisation

• Utilisez un générateur de nombres aléatoires conforme aux exigences pour générer le matériel de clé.

• Après la première importation de matériel de clé dans une clé, celle-ci est liée à ce matériel et n'accepte plus l'importation d'autre matériel de clé.

• Vous pouvez importer plusieurs fois le même matériel de clé dans une clé KMS selon vos besoins, mais il est impossible d'importer un matériel de clé différent dans la même clé KMS.

• Si le matériel de clé d'une clé expire ou est supprimé, vous pouvez réimporter le même matériel pour rendre la clé à nouveau utilisable. Le matériel de clé importé ne peut pas être exporté. Stockez votre matériel de clé en toute sécurité.

Portée d'application

Une instance KMS doit avoir été achetée et activée. Pour plus d'informations, reportez-vous à la section Acheter et activer une instance KMS.

Étape 1 : Créer une clé symétrique avec une origine de matériel de clé externe

Avant d'importer du matériel de clé, créez une clé symétrique avec une origine de matériel de clé externe.

Après la création, l'état de la clé est I understand the implications of using external key material..

Étape 2 : Télécharger une clé publique de wrapping et un jeton d'importation

Les paramètres d'importation du matériel de clé incluent une clé publique de wrapping et un jeton d'importation. La clé publique de wrapping sert à chiffrer le matériel de clé et à le protéger pendant le processus d'importation. Le jeton d'importation permet d'importer le matériel de clé.

1. Recherchez la clé cible et cliquez sur Pending Import dans la colonne Details. Dans la section Actions, cliquez sur Key Material.

2. Dans la boîte de dialogue Obtain Parameters for Import, sélectionnez le Obtain Parameters to Import Key Material et l'Public Key Type, puis cliquez sur Encryption Algorithm.

   Type de gestion de clés	Type de clé publique de wrapping	Algorithme de chiffrement
   Clé par défaut (clé maître client)	RSA_2048	RSAES_OAEP_SHA_1, RSAES_OAEP_SHA_256, RSAES_PKCS1_V1_5 (non recommandé)
   Clé protégée par logiciel	RSA_2048	RSAES_OAEP_SHA_256, RSAES_PKCS1_V1_5 (non recommandé)
   Clé protégée par matériel	RSA_2048	RSAES_OAEP_SHA_256, RSAES_PKCS1_V1_5 (non recommandé)

3. Téléchargez la clé publique de wrapping et le jeton d'importation, et conservez-les en toute sécurité.

   • Next :

     • Public Key Format : Le fichier téléchargé est nommé WrappingPublicKey**.bin par défaut.

     • DER Format : Le fichier téléchargé est nommé WrappingPublicKey**.pem par défaut.

   • PEM Format : Le fichier téléchargé est nommé ImportToken***.txt par défaut.

     Important

     • Un jeton d'importation est valide pendant 24 heures et peut être réutilisé durant cette période. Après expiration, vous devez obtenir un nouveau jeton d'importation et une nouvelle clé publique.

     • La clé publique de wrapping et le jeton d'importation doivent être utilisés par paire. Vous ne pouvez pas utiliser une clé publique de wrapping issue d'un téléchargement avec un jeton d'importation issu d'un autre.

Étape 3 : Chiffrer le matériel de clé à l'aide de la clé publique de wrapping

Utilisez la clé publique de wrapping et l'algorithme de wrapping spécifiés, téléchargés lors de l'Étape 2 : Télécharger une clé publique de wrapping et un jeton d'importation, pour chiffrer le matériel de clé.

1. Utilisez OpenSSL pour générer un nombre aléatoire de 32 octets comme matériel de clé. Ignorez cette étape si vous disposez déjà de matériel de clé.

   Remarque

   Si vous créez une clé HMAC, reportez-vous à la section Longueur du matériel de clé HMAC pour connaître le nombre d'octets requis, remplacez le nombre d'octets, puis générez le matériel de clé.

   openssl rand -out KeyMaterial.bin 32

2. Chiffrez le matériel de clé en fonction de l'algorithme de chiffrement spécifié.

   Remarque

   L'algorithme de chiffrement utilisé dans l'exemple est RSAES_OAEP_SHA_256.

   L'exemple utilise le format DER pour la clé publique. Si vous avez sélectionné le format PEM lors du téléchargement du fichier de clé publique, remplacez -keyform DER par -keyform PEM dans l'exemple.

   Remplacez PublicKey.bin par le nom du fichier de clé publique téléchargé lors de l'Étape 2 : Télécharger une clé publique de wrapping et un jeton d'importation.

   openssl pkeyutl -encrypt \
     -in KeyMaterial.bin \
     -inkey PublicKey.bin \
     -keyform DER \
     -pubin \
     -out EncryptedKeyMaterial.bin \
     -pkeyopt rsa_padding_mode:oaep \
     -pkeyopt rsa_oaep_md:sha256 \
     -pkeyopt rsa_mgf1_md:sha256

3. Encodez en Base64 le matériel de clé chiffré et enregistrez-le dans un fichier texte.

   openssl enc -e -base64 -A -in EncryptedKeyMaterial.bin -out EncryptedKeyMaterial_base64.txt

   Remarque

   EncryptedKeyMaterial_base64.txt est le fichier de matériel de clé pouvant être importé dans KMS.

Étape 4 : Importer le matériel de clé

Sur la page des détails de la clé, cliquez sur Import Token. Dans la boîte de dialogue Import Key Material, configurez les paramètres et cliquez sur Import Wrapped Key Material.

Une fois le matériel de clé importé avec succès, l'état de la clé passe de Never Expire à Pending Import.

Annexe

FAQ

• Puis-je supprimer le matériel de clé ?

  Oui.

  Lorsque le matériel de clé importé expire ou est supprimé, la clé devient inutilisable. Vous devez réimporter le même matériel de clé pour utiliser la clé normalement.

  • Supprimer directement le matériel de clé

    • Console : Sur la page des détails de la clé, dans la section Enabling, cliquez sur Key Material.

    • API : Appelez l'opération DeleteKeyMaterial pour supprimer le matériel de clé. Cette opération ne supprime pas votre clé.

  • Suppression automatique par KMS après expiration

    Définissez une date d'expiration lors de l'importation du matériel de clé. KMS supprimera le matériel expiré après le délai spécifié.

• Comment réimporter le même matériel de clé ?

  Lorsque le matériel de clé expire ou est supprimé, vous pouvez réimporter le même matériel pour continuer à utiliser la clé.

  1. Supprimez le matériel de clé expiré.

     Sur la page des détails de la clé, cliquez sur l'onglet Delete Key Material et cliquez sur Key Material.

  2. Téléchargez une nouvelle clé publique de wrapping et un nouveau jeton d'importation. Pour plus d'informations, reportez-vous à l'Étape 2 : Télécharger une clé publique de wrapping et un jeton d'importation.

     Le processus de wrapping de clé n'affecte pas le contenu du matériel de clé. Par conséquent, vous pouvez utiliser une clé publique de wrapping et un algorithme de wrapping différents pour importer le même matériel de clé.

  3. Chiffrez le matériel de clé à l'aide de la clé publique de wrapping. Pour plus d'informations, reportez-vous à l'Étape 3 : Chiffrer le matériel de clé à l'aide de la clé publique de wrapping.

     Le matériel de clé doit être identique au matériel de clé précédemment expiré.

  4. Importez le matériel de clé chiffré à l'aide du jeton d'importation. Pour plus d'informations, reportez-vous à l'Étape 4 : Importer le matériel de clé.

• Comment vérifier si le matériel de clé a été importé depuis une source externe ou généré par KMS ?

  • Méthode 1 : Vérifier dans la console KMS.

    • Clé par défaut : Sur la page Delete Key Material, cliquez sur l'onglet Keys, recherchez la clé cible et cliquez sur Default Keys dans la colonne Details. Sur la page des détails, vérifiez l'Actions.

    • Clé protégée par logiciel, Clé protégée par matériel : Sur la page Key Material Origin, cliquez sur l'onglet Keys, sélectionnez l'Customer Master Keys, recherchez la clé cible et cliquez sur Instance ID dans la colonne Details. Sur la page des détails, vérifiez l'Actions.

  • Méthode 2 : Appeler l'opération DescribeKey.

    Si la valeur Origin est EXTERNAL, le matériel de clé a été importé depuis une source externe. Si la valeur Origin est Aliyun_KMS, le matériel de clé a été généré par KMS.

• Comment faire pivoter une clé utilisant du matériel de clé importé ?

  • Les clés symétriques protégées par logiciel avec du matériel de clé externe importé prennent uniquement en charge la rotation manuelle immédiate et ne prennent pas en charge la rotation périodique automatique. Pour plus d'informations, reportez-vous à la section Rotation des clés BYOK.

  • Les clés asymétriques protégées par logiciel avec du matériel de clé externe importé ne prennent pas en charge la rotation.

  • Les clés protégées par matériel (symétriques et asymétriques) avec du matériel de clé externe importé ne prennent pas en charge la rotation.

Documentation connexe

• Présentation des clés KMS

• Types de gestion de clés et spécifications des clés

• Importer du matériel de clé pour une clé asymétrique