Key Management Service:Importar material de chave para uma chave simétrica

Recursos

A chave é um recurso básico no KMS, composta por um ID de chave, metadados básicos (como status da chave) e material de chave. Ao criar uma chave, você pode optar por deixar o KMS gerar o material ou escolher uma source externa. Se escolher a source externa, importe o material externo para a chave. Esse recurso é conhecido como Bring Your Own Key (BYOK). Para verificar o suporte dos diferentes tipos de gerenciamento de chaves do KMS à importação de material, consulte a tabela a seguir. Para obter mais informações sobre os tipos de gerenciamento de chaves, consulte Key management types and key specifications.

Observações de uso

• Use um gerador de números aleatórios que atenda aos requisitos para gerar o material de chave.

• Após importar o material de chave pela primeira vez, a chave fica vinculada a ele e não aceita mais a importação de outros materiais.

• É possível importar o mesmo material de chave para uma chave do KMS várias vezes conforme necessário, mas não é permitido importar materiais diferentes para a mesma chave.

• Se o material de chave expirar ou for excluído, importe-o novamente para tornar a chave utilizável. O material importado não pode ser exportado. Armazene-o com segurança.

Escopo aplicável

Você deve ter comprado e habilitado uma instância do KMS. Para mais informações, consulte Purchase and enable a KMS instance.

Etapa 1: Criar uma chave simétrica com source de material de chave externa

Antes de importar o material de chave, crie uma chave simétrica com source de material de chave externa.

Após a criação, o status da chave será I understand the implications of using external key material..

Etapa 2: Baixar uma chave pública de encapsulamento e um token de importação

Os parâmetros para importar material de chave incluem uma chave pública de encapsulamento e um token de importação. A chave pública de encapsulamento serve para criptografar e proteger o material durante o processo de importação. O token de importação é utilizado para importar o material de chave.

1. Localize a chave desejada e clique em Pending Import na coluna Details. Na seção Actions, clique em Key Material.

2. Na caixa de diálogo Obtain Parameters for Import, selecione Obtain Parameters to Import Key Material e Public Key Type, e clique em Encryption Algorithm.

   Tipo de gerenciamento de chave	Tipo de chave pública de encapsulamento	Algoritmo de criptografia
   Chave padrão (chave mestra do cliente)	RSA_2048	RSAES_OAEP_SHA_1, RSAES_OAEP_SHA_256, RSAES_PKCS1_V1_5 (não recomendado)
   Chave protegida por software	RSA_2048	RSAES_OAEP_SHA_256, RSAES_PKCS1_V1_5 (não recomendado)
   Chave protegida por hardware	RSA_2048	RSAES_OAEP_SHA_256, RSAES_PKCS1_V1_5 (não recomendado)

3. Baixe a chave pública de encapsulamento e o token de importação e armazene-os com segurança.

   • Next:

     • Public Key Format: O arquivo baixado recebe o nome WrappingPublicKey**.bin por padrão.

     • DER Format: O arquivo baixado recebe o nome WrappingPublicKey**.pem por padrão.

   • PEM Format: O arquivo baixado recebe o nome ImportToken***.txt por padrão.

     Importante

     • Um token de importação tem validade de 24 horas e pode ser reutilizado dentro desse período. Após a expiração, obtenha um novo token de importação e uma nova chave pública.

     • A chave pública de encapsulamento e o token de importação devem ser usados em conjunto. Não é possível usar uma chave pública de encapsulamento de um download com um token de importação de outro.

Etapa 3: Criptografar o material de chave usando a chave pública de encapsulamento

Use a chave pública de encapsulamento e o algoritmo de encapsulamento especificado baixados na Etapa 2: Baixar uma chave pública de encapsulamento e um token de importação para criptografar o material de chave.

1. Use o OpenSSL para gerar um número aleatório de 32 bytes como material de chave. Ignore esta etapa se já possuir o material de chave.

   Nota

   Se estiver criando uma chave HMAC, consulte Comprimento do material de chave HMAC para verificar o número necessário de bytes, substitua a contagem de bytes e gere o material de chave.

   openssl rand -out KeyMaterial.bin 32

2. Criptografe o material de chave com base no algoritmo de criptografia especificado.

   Nota

   O algoritmo de criptografia no exemplo usa RSAES_OAEP_SHA_256.

   O exemplo utiliza o formato DER para a chave pública. Se você selecionou o formato PEM ao baixar o arquivo da chave pública, substitua -keyform DER por -keyform PEM no exemplo.

   Substitua PublicKey.bin pelo nome do arquivo de chave pública baixado na Etapa 2: Baixar uma chave pública de encapsulamento e um token de importação.

   openssl pkeyutl -encrypt \
     -in KeyMaterial.bin \
     -inkey PublicKey.bin \
     -keyform DER \
     -pubin \
     -out EncryptedKeyMaterial.bin \
     -pkeyopt rsa_padding_mode:oaep \
     -pkeyopt rsa_oaep_md:sha256 \
     -pkeyopt rsa_mgf1_md:sha256

3. Codifique o material de chave criptografado em Base64 e salve-o em um arquivo de texto.

   openssl enc -e -base64 -A -in EncryptedKeyMaterial.bin -out EncryptedKeyMaterial_base64.txt

   Nota

   EncryptedKeyMaterial_base64.txt é o arquivo de material de chave que pode ser importado para o KMS.

Etapa 4: Importar o material de chave

Na página de detalhes da chave, clique em Import Token. Na caixa de diálogo Import Key Material, preencha as configurações e clique em Import Wrapped Key Material.

Após a importação bem-sucedida do material de chave, o status da chave muda de Never Expire para Pending Import.

Apêndice

Perguntas frequentes

• Posso excluir o material de chave?

  Sim.

  Quando o material de chave importado expira ou é excluído, a chave torna-se inutilizável. É necessário importar o mesmo material novamente para usar a chave normalmente.

  • Excluir material de chave diretamente

    • Console: Na página de detalhes da chave, na seção Enabling, clique em Key Material.

    • API: Chame a operação DeleteKeyMaterial para excluir o material de chave. Esta operação não exclui sua chave.

  • Exclusão automática pelo KMS após expiração

    Defina um tempo de expiração ao importar o material de chave. O KMS excluirá o material expirado após o tempo especificado.

• Como reimportar o mesmo material de chave?

  Após a expiração ou exclusão do material de chave, importe-o novamente para continuar usando a chave.

  1. Exclua o material de chave expirado.

     Na página de detalhes da chave, clique na aba Delete Key Material e clique em Key Material.

  2. Baixe uma nova chave pública de encapsulamento e um novo token de importação. Para mais informações, consulte a Etapa 2: Baixar uma chave pública de encapsulamento e um token de importação.

     O processo de encapsulamento de chave não afeta o conteúdo do material de chave. Portanto, use uma chave pública de encapsulamento e um algoritmo de encapsulamento diferentes para importar o mesmo material.

  3. Criptografe o material de chave usando a chave pública de encapsulamento. Para mais informações, consulte a Etapa 3: Criptografar o material de chave usando a chave pública de encapsulamento.

     O material de chave deve ser idêntico ao material expirado anteriormente.

  4. Importe o material de chave criptografado usando o token de importação. Para mais informações, consulte a Etapa 4: Importar o material de chave.

• Como verificar se o material de chave foi importado de uma source externa ou gerado pelo KMS?

  • Método 1: Verificar no console do KMS.

    • Chave padrão: Na página Delete Key Material, clique na aba Keys, localize a chave desejada e clique em Default Keys na coluna Details. Na página de detalhes, verifique Actions.

    • Chave protegida por software, Chave protegida por hardware: Na página Key Material Origin, clique na aba Keys, selecione o Customer Master Keys, localize a chave desejada e clique em Instance ID na coluna Details. Na página de detalhes, verifique Actions.

  • Método 2: Chamar a operação DescribeKey.

    Se o valor de Origin for EXTERNAL, o material de chave foi importado de uma source externa. Se o valor de Origin for Aliyun_KMS, o material de chave foi gerado pelo KMS.

• Como fazer a rotação de uma chave que usa material de chave importado?

  • Chaves simétricas protegidas por software com material de chave externo importado suportam apenas rotação manual imediata e não suportam rotação periódica automática. Para mais informações, consulte BYOK key rotation.

  • Chaves assimétricas protegidas por software com material de chave externo importado não suportam rotação.

  • Chaves protegidas por hardware (simétricas e assimétricas) com material de chave externo importado não suportam rotação.

Documentação relacionada

• Understanding KMS keys

• Key management types and key specifications

• Import key material for an asymmetric key