Todos os produtos
Search

Este produto

    Key Management Service:Rotacionar uma client key

    Central de documentação

    Key Management Service:Rotacionar uma client key

    Última atualização: Sep 20, 2026

    Uma client key tem um período de validade de 1 a 5 anos. Como prática recomendada de segurança, recomendamos rotacionar as client keys anualmente. Se uma client key estiver prestes a expirar, substitua-a imediatamente para evitar que seus aplicativos percam o acesso ao Key Management Service (KMS). Este tópico descreve como rotacionar uma client key.

    Etapa 1: Criar uma nova client key

    1. Acesse o Key Management Service console. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha Application Access > Access Control (Formerly Access Point) .

    2. Clique na aba Application Access. Localize o application access point (AAP) desejado filtrando pelo Instance ID ou pelo nome.

    3. Clique no nome do AAP. Na página de detalhes, clique na aba Client Key e, em seguida, clique em Create Client Key.

    4. Na caixa de diálogo Create Client Key, defina os campos Encryption Password e Validity Period.

      • Encryption Password: Deve ter entre 8 e 64 caracteres e conter dígitos, letras maiúsculas e minúsculas, e os seguintes caracteres especiais: ~!@#$%^&*?_-.

      • Validity Period: O padrão é 5 anos. Recomendamos defina como 1 ano para reduzir o risco de comprometimento.

    5. Clique em OK. O navegador baixa automaticamente a ClientKey, que inclui os seguintes arquivos:

      • Credential (ClientKeyContent): O nome de arquivo padrão é clientKey_****.json.

      • Credential password (ClientKeyPassword): O nome de arquivo padrão é clientKey_****_Password.txt.

    Etapa 2: Atualizar seu aplicativo

    Por exemplo, ao usar o KMS instance SDK for Java, atualize a inicialização do cliente substituindo o valor de clientKeyPass pela nova senha e o valor de clientKeyFilePath ou clientKey pelo novo Application Access Secret.

    Etapa 3: Verificar o uso da chave antiga

    Para confirme se a rotação foi concluída, verifique se a client key antiga ainda está em uso. Após confirme que ela não está mais em uso, exclua-a imediatamente.

    1. Obtenha o Key ID da client key antiga. Na aba Client Key, localize a client key antiga na lista e registre seu Key ID. Esse Key ID será usado para consultar registros de chamadas no Log Service.

    2. No painel de navegação à esquerda, escolha Security Operations > Simple Log Service for KMS e selecione o ID da sua instância.

    3. Na caixa de pesquisa do Logstore kms_audit_log, insira o Key ID antigo, como KAAP.8834xxx, e clique em Query/Analysis. Se a pesquisa retornar 0 entradas de log, a client key antiga não está mais em uso.

      Se a pesquisa retornar entradas de log, a chave ainda está em uso por um ou mais aplicativos. Use as informações nos campos client_ip e useragent para identificar quais aplicativos ainda não foram atualizados.

    Etapa 4: Excluir a client key antiga

    Aviso

    A exclusão entra em vigor imediatamente. Antes de exclua uma client key, certifique-se de que ela não está mais em uso. Caso contrário, os aplicativos dependentes perderão o acesso ao KMS.

    1. Localize a client key antiga e clique em Delete na coluna Actions.

    2. Na caixa de diálogo Delete Client Key, confirme as informações e clique em OK.

    3. Após concluir a verificação de segurança, o KMS exclua a client key.