在AWS console的KMS建立一個customer managed key。
AWS KMS(Key Management Service)即加密金鑰管理服務,用來管理用於加密secret(密碼、token等)的key。
KMS通常用於加解密Secrets Manager管理的secret。
建立key
登入AWS console,選擇服務區域(region)。
在上方搜尋欄搜尋"Key Management Service",點選[Key Management Service]。
在KMS服務左側選單點選[Customer managed keys]。
然後在右側頁面點選右上方的[Create key]。
[Key type]選擇[Symmetric]對稱式金鑰,即加解密使用同一把金鑰。
[Advanced options]維持預設,即[Key material origin]為[KMS],[Regionality]為[Single-Region key]。
設定key的alias名稱及描述,這邊名稱為DemoKey
,描述為[Demo Key]。
[Tags]跳過不設定,按[Next]到下一步。
[Key administrators]為設定key的管理者,這邊選擇自訂的管理使用者,同此AWS使用者。
[Key deletion]勾選[Allow key administrators to delete this key.],按[Next]。
[Define key usage permissions]定義key的可使用者,一樣選擇自訂的管理使用者。
[Other AWS accounts]不用設,按[Next]。
Review剛剛的設定,沒問題按[Finish]完成建立。
返回[Customer managed keys]頁面即可看到新建立的key。
在AWS CLI 2輸入aws kms list-aliases --query 'Aliases[?contains(AliasName,`<alias>`) == `true`]'
查詢,<alias>
為key的別名,即DemoKey
:
$ aws kms list-aliases --query 'Aliases[?contains(AliasName,`DemoKey`) == `true`]'
[
{
"AliasName": "alias/DemoKey",
"AliasArn": "arn:aws:kms:ap-northeast-1:400361196721:alias/DemoKey",
"TargetKeyId": "5fec3dcc-c7c8-457b-8875-9bbd07aabec2",
"CreationDate": "2022-02-24T23:58:10.809000+08:00",
"LastUpdatedDate": "2022-02-24T23:58:10.809000+08:00"
}
]
刪除key
若要刪除則點選進入key的頁面,在右上方[Key actions]下拉選單選擇[Schedule key deletion]。
在[Schedule key deletion]頁面的[Waiting period]選擇幾天過後才會被刪除。等待刪除的key將無法被使用。勾選[Confirm that you want to schedule these keys for deletion after a 7 day waiting period]然後點選[Schedule deletion]確認安排刪除。
回到[Customer managed keys]頁面即可看到安排刪除的key的狀態為[Pending deletion]
或是用AWS CLI命令aws kms schedule-key-deletion --key-id <key_id> --pending-window-in-days <pending_days>
刪除。<key_id>
為要刪除的KMS key ID;pending_days
為7-30間的天數。
$ aws kms schedule-key-deletion --key-id 5fec3dcc-c7c8-457b-8875-9bbd07aabec2 --pending-window-in-days 7
{
"KeyId": "arn:aws:kms:ap-northeast-1:400361196721:key/5fec3dcc-c7c8-457b-8875-9bbd07aabec2",
"DeletionDate": "2022-02-25T15:53:56.809000+08:00",
"KeyState": "PendingDeletion",
"PendingWindowInDays": 7
}
AWS KMS與GCP Cloud KMS是類似的服務。
沒有留言:
張貼留言