KMS offre une gestion complète du cycle de vie des clés ainsi qu'un stockage sécurisé. Découvrez comment créer, désactiver et supprimer des clés, activer la protection contre la suppression et gérer les tags.
Instructions
Créer une clé
Clé par défaut
Les clés par défaut incluent les clés de service et une clé principale client (CMK). Les services cloud créent et gèrent les clés de service. Vous créez et gérez la CMK.
Une seule clé par défaut (CMK) peut être créée par région. Pour créer plusieurs clés, achetez une instance KMS.
Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez .
Sur la page Keys, cliquez sur l'onglet Default Keys.
-
Dans la colonne Actions de la CMK, cliquez sur Enable, configurez les paramètres, puis cliquez sur OK.
Parameter
Description
Key Alias
Un alias permettant d'identifier la clé. L'alias peut contenir des lettres, des chiffres, des traits de soulignement (_), des traits d'union (-) et des barres obliques (/).
Description
Une description personnalisée de la clé.
Advanced Settings
Key Material Origin
Key Management Service : Le matériau de clé est généré par KMS.
External : KMS ne génère pas de matériau de clé. Vous devez importer votre propre matériau de clé. Importer du matériau de clé pour une clé symétrique.
RemarqueLisez attentivement les informations et sélectionnez I understand the implications of using the external key materials key.
Clés logicielles
Avant de créer une clé protégée par logiciel, achetez et activez une instance KMS.
Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez .
Sur la page Keys, cliquez sur l'onglet Customer Master Keys. Dans la liste déroulante Instance ID, sélectionnez une instance de gestion de clés logicielles. Ensuite, cliquez sur Create Key.
-
Dans le panneau Create Key, configurez les paramètres et cliquez sur OK.
Parameter
Description
Key Type
Sélectionnez symétrique ou asymétrique.
ImportantSi vous créez une clé pour chiffrer des valeurs d'identifiants, sélectionnez Symmetric Key.
Key Specifications
La spécification de la clé. Pour connaître les spécifications et algorithmes pris en charge, consultez Types et spécifications de clés.
Spécification de clé symétrique : Aliyun_AES_256
Spécifications de clé asymétrique : RSA_2048, RSA_3072, RSA_4096, EC_P256 et EC_P256K
Key Usage
L'objectif de la clé. Valeurs valides :
Key Usage: : Chiffre et déchiffre les données.
SIGN/VERIFY : Génère et vérifie les signatures numériques.
Key Alias
Un alias permettant d'identifier la clé. L'alias peut contenir des lettres, des chiffres, des traits de soulignement (_), des traits d'union (-) et des barres obliques (/).
Tags
Des tags pour vous aider à catégoriser et gérer les clés. Chaque tag est une paire clé-valeur.
RemarqueFormat d'une clé de tag et d'une valeur de tag : Une clé de tag ou une valeur de tag peut comporter jusqu'à 128 caractères et peut contenir des lettres, des chiffres, des barres obliques (/), des barres obliques inverses (\), des traits de soulignement (_), des traits d'union (-), des points (.), des signes plus (+), des signes égal (=), des deux-points (:), des arobases (@) et des espaces.
Une clé de tag ne peut pas commencer par
aliyunouacs:.Chaque clé prend en charge jusqu'à 20 paires clé-valeur de tag.
Automatic Rotation
Seules les clés symétriques prennent en charge la rotation automatique, qui est activée par défaut. Rotation des clés.
Rotation Period
Vous pouvez définir la période de rotation sur une valeur comprise entre 7 et 365 jours.
Description
Une description de la clé.
Advanced Settings
Policy
Default Policy: Sélectionnez cette politique si la clé est utilisée par le compte Alibaba Cloud actuel ou un compte Alibaba Cloud dans un partage de ressources.
Si l'instance n'est pas partagée avec d'autres comptes : Seul le compte Alibaba Cloud actuel peut gérer et utiliser la clé.
Si l'instance est partagée avec d'autres comptes : Par exemple, le compte Alibaba Cloud 1 partage l'instance KMS A avec le compte Alibaba Cloud 2.
Pour une clé créée par le compte Alibaba Cloud 1 : Seul le compte Alibaba Cloud 1 peut gérer et utiliser la clé.
Pour une clé créée par le compte Alibaba Cloud 2 : Le compte Alibaba Cloud 1 et le compte Alibaba Cloud 2 peuvent tous deux gérer et utiliser la clé.
Custom Policy: Sélectionnez cette politique si vous devez autoriser des utilisateurs RAM, des rôles RAM ou d'autres comptes Alibaba Cloud à utiliser la clé.
ImportantLa sélection d'un administrateur ou d'un utilisateur ne consomme pas le quota Access Management Quantity. La sélection d'utilisateurs provenant d'autres comptes consomme le quota Access Management Quantity de l'instance KMS, calculé en fonction du nombre de comptes Alibaba Cloud spécifiés.
Après avoir révoqué l'autorisation, le quota est libéré en environ 5 minutes.
Administrateur : Gère la clé mais ne peut pas effectuer d'opérations cryptographiques. Sélectionnez des utilisateurs RAM et des rôles RAM depuis votre compte Alibaba Cloud.
Utilisateur : Peut uniquement effectuer des opérations cryptographiques. Sélectionnez des utilisateurs Resource Access Management (RAM) et des rôles RAM depuis votre compte Alibaba Cloud. Plusieurs consommateurs au sein de la même instance de service cloud (par exemple, AI Gateway) sous le même compte Alibaba Cloud peuvent tous référencer la même clé KMS. Cette approche est couramment utilisée pour la gestion centralisée des identifiants ou pour simplifier les workflows de rotation des clés.
Utilisateurs d'autres comptes : Peuvent chiffrer et déchiffrer avec la clé. Spécifiez des utilisateurs RAM ou des rôles RAM provenant d'autres comptes Alibaba Cloud.
Utilisateur RAM : Utilisez le format
acs:ram::<userId>:user/<ramuser>. Exemple :acs:ram::1111**:user/testpolicyuser.Rôle RAM : Utilisez le format
acs:ram::<userId>:role/<ramrole>. Exemple :acs:ram::1111**:role/testpolicyrole.RemarqueAprès avoir autorisé un utilisateur ou un rôle RAM, utilisez le compte Alibaba Cloud propriétaire pour accorder les autorisations d'utilisation de la clé dans la console RAM.
Politiques personnalisées pour Key Management Service. Accorder des autorisations à un utilisateur RAM. Accorder des autorisations à un rôle RAM.
Key Material Origin
Key Management Service : Le matériau de clé est généré par KMS.
External (Import Key Material) : KMS ne génère pas de matériau de clé. Vous devez importer votre propre matériau de clé. Importer du matériau de clé pour une clé symétrique. Importer du matériau de clé pour une clé asymétrique.
RemarqueLisez attentivement les informations et sélectionnez I understand the implications of using the external key materials key.
Clés matérielles
Avant de créer une clé protégée par matériel, achetez et activez une instance KMS.
Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez .
Sur la page Keys, cliquez sur l'onglet Customer Master Keys. Dans la liste déroulante Instance ID, sélectionnez une instance de gestion de clés matérielles. Ensuite, cliquez sur Create Key.
-
Dans le panneau Create Key, configurez les paramètres et cliquez sur OK.
Parameter
Description
Key Storage
Sélectionnez symétrique ou asymétrique.
ImportantSi vous créez une clé pour chiffrer des valeurs d'identifiants, sélectionnez Symmetric Key.
HSM
La spécification de la clé. Pour connaître les spécifications et algorithmes pris en charge, consultez Types et spécifications de clés.
Spécifications de clé symétrique : Aliyun_AES_256, Aliyun_AES_192 et Aliyun_AES_128
Spécifications de clé asymétrique : RSA_2048, RSA_3072, RSA_4096, EC_P256 et EC_P256K
Database
L'objectif de la clé. Valeurs valides :
ENCRYPT/DECRYPT : Chiffre et déchiffre les données.
SIGN/VERIFY : Génère et vérifie les signatures numériques.
Database
Un alias permettant d'identifier la clé. L'alias peut contenir des lettres, des chiffres, des traits de soulignement (_), des traits d'union (-) et des barres obliques (/).
Tags
Des tags pour vous aider à catégoriser et gérer les clés. Chaque tag est une paire clé-valeur.
RemarqueFormat d'une clé de tag et d'une valeur de tag : Une clé de tag ou une valeur de tag peut comporter jusqu'à 128 caractères et peut contenir des lettres, des chiffres, des barres obliques (/), des barres obliques inverses (\), des traits de soulignement (_), des traits d'union (-), des points (.), des signes plus (+), des signes égal (=), des deux-points (:), des arobases (@) et des espaces.
Une clé de tag ne peut pas commencer par
aliyunouacs:.Chaque clé prend en charge jusqu'à 20 paires clé-valeur de tag.
Description
Une description de la clé.
Default Policy: Sélectionnez cette politique si la clé est utilisée par le compte Alibaba Cloud actuel ou un compte Alibaba Cloud dans un partage de ressources.
Si l'instance n'est pas partagée avec d'autres comptes : Seul le compte Alibaba Cloud actuel peut gérer et utiliser la clé.
Si l'instance est partagée avec d'autres comptes : Par exemple, le compte Alibaba Cloud 1 partage l'instance KMS A avec le compte Alibaba Cloud 2.
Pour une clé créée par le compte Alibaba Cloud 1 : Seul le compte Alibaba Cloud 1 peut gérer et utiliser la clé.
Pour une clé créée par le compte Alibaba Cloud 2 : Le compte Alibaba Cloud 1 et le compte Alibaba Cloud 2 peuvent tous deux gérer et utiliser la clé.
Custom Policy: Sélectionnez cette politique si vous devez autoriser des utilisateurs RAM, des rôles RAM ou d'autres comptes Alibaba Cloud à utiliser la clé.
ImportantLa sélection d'un administrateur ou d'un utilisateur ne consomme pas le quota Key Alias. La sélection d'utilisateurs provenant d'autres comptes consomme le quota Automatic Rotation de l'instance KMS, calculé en fonction du nombre de comptes Alibaba Cloud spécifiés.
Après avoir révoqué l'autorisation, le quota est libéré en environ 5 minutes.
Administrateur : Gère la clé mais ne peut pas effectuer d'opérations cryptographiques. Sélectionnez des utilisateurs RAM et des rôles RAM depuis votre compte Alibaba Cloud.
Utilisateur : Peut uniquement effectuer des opérations cryptographiques. Sélectionnez des utilisateurs Resource Access Management (RAM) et des rôles RAM depuis votre compte Alibaba Cloud. Plusieurs consommateurs au sein de la même instance de service cloud (par exemple, AI Gateway) sous le même compte Alibaba Cloud peuvent tous référencer la même clé KMS. Cette approche est couramment utilisée pour la gestion centralisée des identifiants ou pour simplifier les workflows de rotation des clés.
Utilisateurs d'autres comptes : Peuvent chiffrer et déchiffrer avec la clé. Spécifiez des utilisateurs RAM ou des rôles RAM provenant d'autres comptes Alibaba Cloud.
Utilisateur RAM : Utilisez le format
acs:ram::<userId>:user/<ramuser>. Exemple :acs:ram::1111**:user/testpolicyuser.Rôle RAM : Utilisez le format
acs:ram::<userId>:role/<ramrole>. Exemple :acs:ram::1111**:role/testpolicyrole.RemarqueAprès avoir autorisé un utilisateur ou un rôle RAM, utilisez le compte Alibaba Cloud propriétaire pour accorder les autorisations d'utilisation de la clé dans la console RAM.
Politiques personnalisées pour Key Management Service. Accorder des autorisations à un utilisateur RAM. Accorder des autorisations à un rôle RAM.
Key Type : Le matériau de clé est généré par KMS.
Symmetric Key : KMS ne génère pas de matériau de clé. Vous devez importer votre propre matériau de clé. Importer du matériau de clé pour une clé symétrique. Importer du matériau de clé pour une clé asymétrique.
RemarqueLisez attentivement les informations et sélectionnez Rotation Period
Ce paramètre est disponible uniquement lorsque Key Type est défini sur Asymmetric Key.
Une utilisation supplémentaire de la clé permet à une seule clé de servir à plusieurs fins. Toutefois, les utilisations supplémentaires ne s'appliquent pas au chiffrement des données avec les services cloud.
Clés externes
Assurez-vous d'avoir acheté et activé une instance de gestion de clés externe. Achetez et activez une instance KMS.
Utilisez le service proxy XKI dans votre infrastructure de gestion de clés (KMI) pour créer une clé et enregistrer son ID.
Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez .
Sur la page Key Material Origin, cliquez sur l'onglet Key Management Service. Dans la liste déroulante External (Import Key Material), sélectionnez une instance de gestion de clés externe. Ensuite, cliquez sur I understand the implications of using the external key materials key. .
-
Dans le panneau Advanced Settings, configurez les paramètres et cliquez sur OK.
Parameter
Description
External Key ID
L'ID de clé généré par le service de gestion XKI.
RemarqueVous pouvez utiliser le même ID de clé externe pour créer une ou plusieurs clés KMS.
Key Type
La spécification de la clé. Seules Aliyun_AES_256 sont prises en charge.
RemarquePour connaître les spécifications et algorithmes pris en charge, consultez Types et spécifications de clés.
Key Usage
L'objectif de la clé.
ENCRYPT/DECRYPT : Chiffre et déchiffre les données.
Key Alias
Un alias permettant d'identifier la clé. L'alias peut contenir des lettres, des chiffres, des traits de soulignement (_), des traits d'union (-) et des barres obliques (/).
Tags
Des tags pour vous aider à catégoriser et gérer les clés. Chaque tag est une paire clé-valeur.
RemarqueFormat d'une clé de tag et d'une valeur de tag : Une clé de tag ou une valeur de tag peut comporter jusqu'à 128 caractères et peut contenir des lettres, des chiffres, des barres obliques (/), des barres obliques inverses (\), des traits de soulignement (_), des traits d'union (-), des points (.), des signes plus (+), des signes égal (=), des deux-points (:), des arobases (@) et des espaces.
Une clé de tag ne peut pas commencer par
aliyunouacs:.Chaque clé prend en charge jusqu'à 20 paires clé-valeur de tag.
Description
Une description de la clé.
Keys
Default Policy: Sélectionnez cette politique si la clé est utilisée par le compte Alibaba Cloud actuel ou un compte Alibaba Cloud dans un partage de ressources.
Si l'instance n'est pas partagée avec d'autres comptes : Seul le compte Alibaba Cloud actuel peut gérer et utiliser la clé.
Si l'instance est partagée avec d'autres comptes : Par exemple, le compte Alibaba Cloud 1 partage l'instance KMS A avec le compte Alibaba Cloud 2.
Pour une clé créée par le compte Alibaba Cloud 1 : Seul le compte Alibaba Cloud 1 peut gérer et utiliser la clé.
Pour une clé créée par le compte Alibaba Cloud 2 : Le compte Alibaba Cloud 1 et le compte Alibaba Cloud 2 peuvent tous deux gérer et utiliser la clé.
Custom Policy: Sélectionnez cette politique si vous devez autoriser des utilisateurs RAM, des rôles RAM ou d'autres comptes Alibaba Cloud à utiliser la clé.
ImportantLa sélection d'un administrateur ou d'un utilisateur ne consomme pas le quota Access Management Quantity. La sélection d'utilisateurs provenant d'autres comptes consomme le quota Instance ID de l'instance KMS, calculé en fonction du nombre de comptes Alibaba Cloud spécifiés.
Après avoir révoqué l'autorisation, le quota est libéré en environ 5 minutes.
Administrateur : Gère la clé mais ne peut pas effectuer d'opérations cryptographiques. Sélectionnez des utilisateurs RAM et des rôles RAM depuis votre compte Alibaba Cloud.
Utilisateur : Peut uniquement effectuer des opérations cryptographiques. Sélectionnez des utilisateurs Resource Access Management (RAM) et des rôles RAM depuis votre compte Alibaba Cloud. Plusieurs consommateurs au sein de la même instance de service cloud (par exemple, AI Gateway) sous le même compte Alibaba Cloud peuvent tous référencer la même clé KMS. Cette approche est couramment utilisée pour la gestion centralisée des identifiants ou pour simplifier les workflows de rotation des clés.
Utilisateurs d'autres comptes : Peuvent chiffrer et déchiffrer avec la clé. Spécifiez des utilisateurs RAM ou des rôles RAM provenant d'autres comptes Alibaba Cloud.
Utilisateur RAM : Utilisez le format
acs:ram::<userId>:user/<ramuser>. Exemple :acs:ram::1111**:user/testpolicyuser.Rôle RAM : Utilisez le format
acs:ram::<userId>:role/<ramrole>. Exemple :acs:ram::1111**:role/testpolicyrole.RemarqueAprès avoir autorisé un utilisateur ou un rôle RAM, utilisez le compte Alibaba Cloud propriétaire pour accorder les autorisations d'utilisation de la clé dans la console RAM.
Politiques personnalisées pour Key Management Service. Accorder des autorisations à un utilisateur RAM. Accorder des autorisations à un rôle RAM.
Désactiver une clé
Si vous n'avez plus besoin d'une clé, commencez par la désactiver. Une fois que vous avez confirmé qu'elle n'est pas utilisée, supprimez-la. Une clé désactivée ne peut pas effectuer d'opérations cryptographiques.
Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez .
Sur la page Keys, sous l'onglet Key Specifications ou Default Keys, repérez la clé que vous souhaitez désactiver et cliquez sur Disable dans la colonne Actions.
-
Dans la boîte de dialogue Advanced Settings, confirmez les informations et cliquez sur OK.
Cliquez sur Access Management Quantity pour vérifier si un service cloud utilise la clé pour le chiffrement côté serveur. Consultez la section Vérification des associations de clés.
Une fois la clé désactivée, son statut passe de Access Management Quantity à Disabled. Vous pouvez également cliquer sur Enable pour réactiver la clé.
Activer la protection contre la suppression
La protection contre la suppression empêche la suppression d'une clé via la console ou l'API. Pour supprimer une clé protégée, vous devez d'abord désactiver cette protection.
Vous ne pouvez pas activer la protection contre la suppression pour une clé dont l'état est Pending Deletion.
Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez .
Sur la page Keys, sous l'onglet Customer Master Keys ou Disable Key, repérez la clé pour laquelle vous souhaitez activer la protection contre la suppression et cliquez sur Key Association dans la colonne Enabling.
Sur la page des détails de la clé, activez l'interrupteur Deletion Protection.
Dans la boîte de dialogue Enable, cliquez sur Enable.
Planifier la suppression d'une clé
KMS n'autorise pas la suppression immédiate des clés. Vous devez planifier une période d'attente, à l'issue de laquelle la clé sera supprimée. Désactivez la protection contre la suppression avant de planifier la suppression. Si vous n'avez plus besoin d'une clé, nous vous recommandons de la désactiver d'abord et de confirmer l'absence d'impact sur vos activités avant de planifier sa suppression.
La suppression d'une clé est irréversible : La clé est définitivement supprimée après la période d'attente. Tout le contenu chiffré avec cette clé, y compris les clés de données dérivées, devient définitivement indéchiffrable. Assurez-vous que la clé n'est plus utilisée avant de planifier sa suppression.
Aucune suppression manuelle requise pour les clés de service : Les clés de service (préfixées par
alias/acs/*, créées automatiquement par des services cloud tels que OSS et RDS) sont entièrement gérées par Alibaba Cloud tout au long de leur cycle de vie et ne peuvent pas être supprimées ou désactivées manuellement. Le maintien des clés de service n'entraîne aucun frais. Pour consulter les journaux d'utilisation des clés de service, accédez à la page Event Query du service ActionTrail.
Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez .
-
Sous l'onglet Customer Master Keys ou Default Keys, repérez la clé que vous souhaitez supprimer. Dans la colonne Default Keys, cliquez sur l'icône
puis sur Details.RemarqueSi vous ne trouvez pas l'option Actions dans la console actuelle, il se peut que la clé appartienne à KMS 1.0 (version héritée). Accédez à la console héritée KMS pour planifier la suppression.
-
Dans la boîte de dialogue Schedule Deletion, spécifiez une période d'attente et cliquez sur OK.
Cliquez sur Key Association pour vérifier si un service cloud utilise la clé pour le chiffrement côté serveur. Consultez la section Vérification des associations de clés.
Après avoir spécifié une période d'attente, l'état de la clé passe de Enabling à Pending Deletion. Une clé dont l'état est Pending Deletion ne peut pas être utilisée pour le chiffrement, le déchiffrement ou la génération de clés de données. Avant la fin de la période d'attente, vous pouvez annuler la suppression en cliquant sur Cancel Deletion.
Télécharger la clé publique
Téléchargez la clé publique d'une clé asymétrique. La clé privée ne peut pas être téléchargée.
Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez .
Sous l'onglet Schedule Deletion ou Schedule Deletion, repérez la clé dont vous souhaitez télécharger la clé publique et cliquez sur Details dans la colonne Actions.
Sur la page des détails de la clé, cliquez sur l'onglet Key Version. Repérez ensuite la version de clé que vous souhaitez gérer et cliquez sur View Public Key dans la colonne Actions.
Dans la boîte de dialogue View Public Key, cliquez sur Download.
Générer et télécharger une demande de signature de certificat (CSR)
KMS peut générer une demande de signature de certificat (CSR) pour une CMK asymétrique. Soumettez la CSR à une autorité de certification (CA) pour obtenir un certificat numérique destiné à des cas d'utilisation tels que la messagerie sécurisée, la signature de code, la protection des points de terminaison et la gestion des identités.
Pour créer un certificat à partir d'une CSR, consultez la rubrique Créer un certificat dans Certificate Management Service (Original SSL Certificate).
Pour générer une CSR à l'aide d'un module de sécurité matériel (HSM) conforme au niveau 2 de la norme FIPS 140-2, vous devez d'abord acheter et activer une instance de gestion des clés matérielle reposant sur un HSM conforme, puis créer une clé asymétrique au sein de cette instance. Vous pouvez ensuite utiliser la fonctionnalité Generate CSR de la console pour effectuer l'opération.
Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez .
Sous l'onglet Customer Master Keys, repérez la clé pour laquelle vous souhaitez générer une CSR et cliquez sur Details dans la colonne Actions.
-
Sur la page des détails de la clé, cliquez sur l'onglet Key Version. Repérez la version de clé pour laquelle vous souhaitez générer une CSR et cliquez sur Generate CSR dans la colonne Actions. Configurez les paramètres et cliquez sur OK.
Paramètre
Description
Nom commun (CN)
Le sujet auquel le certificat est associé, tel qu'un nom de domaine, un nom de service ou un nom d'appareil.
Organisation (O)
Le nom légal de votre organisation, utilisé pour la vérification de la propriété du certificat.
Le nom doit correspondre exactement à celui figurant sur votre licence commerciale, y compris la ponctuation et la casse.
Si le nom de l'organisation contient des caractères spéciaux, tels que
&et-, ils doivent être conservés.
Organizational Unit Name (OU)
Le département ou l'équipe spécifique au sein de votre organisation.
État ou province (S)
Le nom de la province, de la municipalité ou de la région autonome où se trouve votre organisation. Vous pouvez utiliser des caractères chinois ou anglais. Il n'est pas nécessaire d'ajouter « Province ».
Nom de la localité (L)
Le nom de la ville où se trouve votre organisation. Vous pouvez utiliser des caractères chinois ou anglais. Il n'est pas nécessaire d'ajouter « City ».
Pays ou région (C)
Le code pays à deux lettres selon la norme ISO 3166-1 alpha-2.
Algorithme de clé
Sélectionnez un algorithme de signature en fonction des capacités de votre CA, des normes de sécurité et des exigences de compatibilité.
RSA_PKCS1_SHA_256 : calcule la valeur de hachage des données à l'aide de l'algorithme SHA-256 et calcule la signature à l'aide de l'algorithme RSASSA-PKCS1-v1_5 défini dans la RFC 3447/PKCS#1.
RSA_PSS_SHA_256 : calcule la valeur de hachage des données à l'aide de l'algorithme SHA-256 et calcule la signature à l'aide de l'algorithme RSASSA-PSS défini dans la RFC 3447/PKCS#1. MGF1 avec SHA-256 est utilisé.
Email Address (E)
Saisissez votre adresse e-mail de contact.
Dans la boîte de dialogue CSR, cliquez sur Download CSR File et enregistrez le fichier dans un emplacement sécurisé.
Vérification des associations de clés
Vérifiez si des services cloud utilisent une clé pour le chiffrement côté serveur. L'utilisation par des applications autogérées n'est pas vérifiée. Si la clé est toujours utilisée, faites preuve de prudence avant de la supprimer.
Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez .
Sous l'onglet Actions ou Key Version, repérez la clé dont vous souhaitez vérifier les associations et cliquez sur Details dans la colonne Actions.
-
Sous l'onglet Key Association, cliquez sur Check. Attendez environ 1 minute, puis cliquez sur l'icône
située à droite pour afficher le résultat de la vérification.Cloud Service : Les services cloud pris en charge incluent ECS, MSE, Message Queue for RabbitMQ, Message Queue for Apache RocketMQ et ACK.
-
Last Called At : La dernière fois que le service cloud a accédé à la clé dans KMS.
RemarqueLes heures d'appel ne sont affichées que pour les requêtes effectuées au cours des 365 derniers jours.
Resources : L'état de la vérification. Si la vérification échoue, actualisez la page et réessayez.
-
Keys : Une fonctionnalité fournie par le service cloud pour interroger quelles ressources sont chiffrées par la clé KMS.
ImportantSeules les ressources auxquelles le compte actuel dispose des autorisations d'accès sont affichées.
FAQ
Que signifie l'affichage du quota de clés dans une instance KMS et comment le quota disponible restant est-il calculé ?
La console affiche le quota de clés au format X (Total versions: Y) / Z, où :
X représente le nombre de clés que vous avez créées.
Y représente le nombre total de versions de clés pour l'ensemble de vos clés.
Z représente le quota total de clés pour l'instance.
Le nombre restant de clés que vous pouvez créer est calculé comme suit :
Quota restant = Quota total (Z) − Nombre total de versions de clés (Y)
Le quota restant est calculé sur la base du nombre total de versions de clés (Y), et non du nombre de clés (X). Chaque rotation de clé crée une nouvelle version de clé et consomme une unité du quota. Si vous prévoyez de faire tourner vos clés régulièrement, nous vous recommandons d'augmenter le quota de clés à l'avance.
La suppression d'une clé d'une instance KMS héritée affecte-t-elle les clés d'une nouvelle instance DKMS ?
Non. Les clés d'une instance KMS héritée et celles d'une instance Dedicated KMS (DKMS) sont gérées indépendamment. La suppression d'une clé d'une instance KMS héritée n'affecte ni la sécurité ni la disponibilité des clés d'une instance DKMS.
Comment arrêter la facturation des CMK et des secrets standard sur une instance KMS en paiement à l'utilisation ?
Commencez par désactiver les clés et vérifiez que vos services fonctionnent comme prévu. Après confirmation, planifiez la suppression des clés. À l'issue de la période d'attente de suppression, vérifiez votre relevé de facturation pour confirmer l'arrêt de la facturation.