create-key

Описание

Создает уникальный управляемый клиентом ключ KMS в вашем аккаунте и регионе Amazon Web Services. Вы можете использовать ключ KMS в криптографических операциях, таких как шифрование и подписание. Некоторые сервисы Amazon Web Services позволяют вам использовать созданные и управляемые вами ключи KMS для защиты ваших ресурсов сервиса.

Ключ KMS представляет собой логическое представление криптографического ключа. Помимо материала ключа, используемого в криптографических операциях, ключ KMS включает метаданные, такие как идентификатор ключа, политика ключа, дата создания, описание и состояние ключа. Подробнее см. в разделе Управление ключами в *Руководстве разработчика службы управления ключами*.

Используйте параметры CreateKey, чтобы указать тип ключа KMS, источник его материала ключа, политику ключа, описание, теги и другие свойства.

Для создания разных типов ключей KMS используйте следующие рекомендации:

По умолчанию, CreateKey создаёт ключ KMS симметричного шифрования с материалом ключа, сгенерированным KMS. Это базовый и наиболее широко используемый тип ключа KMS, обеспечивающий наилучшую производительность.

Для создания ключа KMS симметричного шифрования вам не нужно указывать какие-либо параметры. Значение по умолчанию для KeySpec, SYMMETRIC_DEFAULT, значение по умолчанию для KeyUsage, ENCRYPT_DECRYPT, и значение по умолчанию для Origin, AWS_KMS, создают ключ KMS симметричного шифрования с материалом ключа KMS.

Если вам нужен ключ для базового шифрования и дешифрования или вы создаёте ключ KMS для защиты ваших ресурсов в сервисе Amazon Web Services, создайте ключ KMS симметричного шифрования. Материал ключа в ключе симметричного шифрования никогда не покидает KMS нешифрованным. Вы можете использовать ключ KMS симметричного шифрования для шифрования и дешифрования данных объёмом до 4096 байт, но они обычно используются для генерации ключей данных и пар ключей данных. Подробнее см. GenerateDataKey и GenerateDataKeyPair.

Для создания ключа KMS асимметричного шифрования используйте параметр KeySpec, чтобы указать тип материала ключа в ключе KMS. Затем используйте параметр KeyUsage, чтобы определить, будет ли ключ KMS использоваться для шифрования и дешифрования или для подписи и проверки. Вы не можете изменить эти свойства после создания ключа KMS.

Ключи KMS асимметричного шифрования содержат пару ключей RSA, пару ключей эллиптической кривой (ECC) или пару ключей SM2 (только для регионов Китая). Закрытый ключ в ключе KMS асимметричного шифрования никогда не покидает KMS нешифрованным. Однако вы можете использовать операцию GetPublicKey, чтобы загрузить открытый ключ, чтобы он мог использоваться вне KMS. Каждый ключ KMS может иметь только одно назначение использования. Ключи KMS с парами ключей RSA могут быть использованы для шифрования и дешифрования данных или подписи и проверки сообщений (но не для обоих). Ключи KMS с парами ключей ECC, рекомендованными NIST, могут быть использованы для подписи и проверки сообщений или вывода общих секретов (но не для обоих). Ключи KMS с ECC_SECG_P256K1 могут использоваться только для подписи и проверки сообщений. Ключи KMS с парами ключей SM2 (только для регионов Китая) могут быть использованы для шифрования и дешифрования данных, подписи и проверки сообщений или вывода общих секретов (вы должны выбрать один тип назначения ключа). Дополнительную информацию о ключах KMS асимметричного шифрования см. в разделе Ключи KMS асимметричного шифрования в *Руководстве разработчика службы управления ключами*.

Для создания ключа KMS HMAC установите параметр KeySpec в значение спецификации ключа для ключей KMS HMAC. Затем установите параметр KeyUsage в значение GENERATE_VERIFY_MAC. Вы должны установить назначение ключа, хотя GENERATE_VERIFY_MAC — единственное допустимое значение назначения ключа для ключей KMS HMAC. Вы не можете изменить эти свойства после создания ключа KMS.

Ключи KMS HMAC — это симметричные ключи, которые никогда не покидают KMS нешифрованными. Вы можете использовать ключи HMAC для генерации (GenerateMac) и проверки (VerifyMac) кодов HMAC для сообщений длиной до 4096 байт.

Для создания ключа первичного региона в локальном регионе Amazon Web Services используйте параметр MultiRegion со значением True. Для создания ключа-копии, то есть ключа KMS с тем же идентификатором ключа и материалом ключа, что и первичный ключ, но в другом регионе Amazon Web Services, используйте операцию ReplicateKey. Чтобы изменить ключ-копию на первичный ключ, а первичный ключ на ключ-копию, используйте операцию UpdatePrimaryRegion.

Вы можете создавать ключи KMS для всех поддерживаемых типов ключей KMS: ключи KMS симметричного шифрования, ключи KMS HMAC, ключи KMS асимметричного шифрования и ключи KMS асимметричного шифрования с подписью. Вы также можете создавать ключи с импортированным материалом ключа. Однако вы не можете создавать ключи в пользовательском хранилище ключей.

Данная операция поддерживает *ключевые пары для нескольких регионов*, функция KMS, которая позволяет вам создавать несколько взаимосвязанных ключей KMS в разных регионах Amazon Web Services. Поскольку эти ключи KMS имеют одинаковый идентификатор ключа, материал ключа и другие метаданные, вы можете использовать их взаимозаменяемо для шифрования данных в одном регионе Amazon Web Services и дешифрования в другом, не перешифровывая данные и не совершая межрегиональные вызовы. Дополнительную информацию о ключах для нескольких регионов см. в разделе Ключи для нескольких регионов в KMS в *Руководстве разработчика службы управления ключами*.

Для импорта собственного материала ключа в ключ KMS, начните с создания ключа KMS без материала ключа. Для этого используйте параметр Origin операции CreateKey со значением EXTERNAL. Затем используйте операцию GetParametersForImport для получения открытого ключа и маркера импорта. Используйте открытый ключ для шифрования своего материала ключа. Затем используйте ImportKeyMaterial со своим маркером импорта, чтобы импортировать материал ключа. Инструкции по пошаговой процедуре см. в *Руководстве разработчика службы управления ключами* в разделе Импорт материала ключа.

Вы можете импортировать материал ключа в ключи KMS всех поддерживаемых типов: ключи симметричного шифрования, ключи HMAC, ключи асимметричного шифрования и ключи асимметричного шифрования с подписью. Вы также можете создавать ключи для нескольких регионов с импортированным материалом ключа. Однако вы не можете импортировать материал ключа в ключ KMS в пользовательском хранилище ключей.

Для создания первичного ключа для нескольких регионов с импортированным материалом ключа используйте параметр Origin операции CreateKey со значением EXTERNAL и параметр MultiRegion со значением True. Для создания копий первичного ключа для нескольких регионов используйте операцию ReplicateKey. Инструкции см. в `Импорт материала ключа в ключи для нескольких регионов <https://docs.aws.amazon.com/kms/latest/developerguide/multi-region-keys-import.html >`__. Дополнительную информацию о ключах для нескольких регионов см. в разделе Ключи для нескольких регионов в KMS в *Руководстве разработчика службы управления ключами*.

Пользовательское хранилище ключей позволяет вам защищать свои ресурсы Amazon Web Services с помощью ключей в собственном и управляемом вами хранилище ключей. При запросе криптографической операции с ключом KMS в пользовательском хранилище ключей операция выполняется в хранилище ключей с использованием его криптографических ключей.

KMS поддерживает хранилища ключей CloudHSM, поддерживаемые кластером CloudHSM, и внешние хранилища ключей, поддерживаемые внешним менеджером ключей за пределами Amazon Web Services. При создании ключа KMS в хранилище ключей CloudHSM KMS генерирует ключ шифрования в кластере CloudHSM и связывает его с ключом KMS. При создании ключа KMS во внешнем хранилище ключей вы указываете существующий ключ шифрования во внешнем менеджере ключей.

Прежде чем создать ключ KMS в пользовательском хранилище ключей, состояние ConnectionState хранилища ключей должно быть CONNECTED. Для подключения пользовательского хранилища ключей используйте операцию ConnectCustomKeyStore. Для поиска ConnectionState используйте операцию DescribeCustomKeyStores.

Для создания ключа KMS в пользовательском хранилище ключей используйте операцию CustomKeyStoreId. Используйте значение по умолчанию для KeySpec, SYMMETRIC_DEFAULT, и значение по умолчанию для KeyUsage, ENCRYPT_DECRYPT, чтобы создать ключ симметричного шифрования. Другие типы ключей в пользовательском хранилище ключей не поддерживаются.

Для создания ключа KMS в хранилище ключей CloudHSM используйте параметр Origin со значением AWS_CLOUDHSM. Кластер CloudHSM, связанный с пользовательским хранилищем ключей, должен иметь не менее двух активных HSM в разных зонах доступности в регионе Amazon Web Services.

Для создания ключа KMS во внешнем хранилище ключей используйте параметр Origin со значением EXTERNAL_KEY_STORE и параметр XksKeyId, идентифицирующий существующий внешний ключ.

• DescribeKey
• ListKeys
• ScheduleKeyDeletion

См. также: Документация API AWS

Краткое описание

  create-key
[--policy <value>]
[--description <value>]
[--key-usage <value>]
[--customer-master-key-spec <value>]
[--key-spec <value>]
[--origin <value>]
[--custom-key-store-id <value>]
[--bypass-policy-lockout-safety-check | --no-bypass-policy-lockout-safety-check]
[--tags <value>]
[--multi-region | --no-multi-region]
[--xks-key-id <value>]
[--cli-input-json | --cli-input-yaml]
[--generate-cli-skeleton <value>]
[--debug]
[--endpoint-url <value>]
[--no-verify-ssl]
[--no-paginate]
[--output <value>]
[--query <value>]
[--profile <value>]
[--region <value>]
[--version <value>]
[--color <value>]
[--no-sign-request]
[--ca-bundle <value>]
[--cli-read-timeout <value>]
[--cli-connect-timeout <value>]
[--cli-binary-format <value>]
[--no-cli-pager]
[--cli-auto-prompt]
[--no-cli-auto-prompt]

Параметры

--policy (строка)

--description (строка)

--key-usage (строка)

--customer-master-key-spec (строка)

--key-spec (строка)

--origin (строка)

--custom-key-store-id (строка)

--bypass-policy-lockout-safety-check | --no-bypass-policy-lockout-safety-check (логическое значение)

--tags (список)

Сокращенная синтаксическая запись:

TagKey=string,TagValue=string ...

Синтаксис JSON:

[
  {
    "TagKey": "string",
    "TagValue": "string"
  }
  ...
]

--multi-region | --no-multi-region (булево)

--xks-key-id (строка)

--cli-input-json | --cli-input-yaml (строка) Читает аргументы из предоставленной JSON-строки. JSON-строка соответствует формату, предоставленному --generate-cli-skeleton. Если на командной строке указаны другие аргументы, эти значения переопределят значения, предоставленные JSON. Невозможно передавать произвольные двоичные значения с помощью предоставленного значения JSON, поскольку строка будет интерпретироваться буквально. Это нельзя указывать вместе с --cli-input-yaml.

--generate-cli-skeleton (строка) Выводит JSON-скелет в стандартный вывод без отправки запроса API. Если предоставлено значение без значения или значение input, выводит пример JSON-ввода, который можно использовать в качестве аргумента для --cli-input-json. Аналогично, если предоставлено yaml-input, выведет пример YAML-ввода, который можно использовать с --cli-input-yaml. Если предоставлено значение output, оно проверит ввод команд и вернет пример JSON-вывода для этой команды. Сгенерированный JSON-скелет не является стабильным между версиями AWS CLI, и нет гарантий обратной совместимости в сгенерированном JSON-скелете.

Глобальные параметры

--debug (булево)

Включить отладочную запись журнала.

--endpoint-url (строка)

Переопределить URL по умолчанию команды указанным URL.

--no-verify-ssl (булево)

По умолчанию AWS CLI использует SSL при общении с AWS-сервисами. Для каждого подключения SSL AWS CLI будет проверять сертификаты SSL. Этот параметр переопределяет поведение проверки сертификатов SSL по умолчанию.

--no-paginate (булево)

Отключить автоматическую постраничную навигацию. Если автоматическая постраничная навигация отключена, AWS CLI выполнит только один вызов для первой страницы результатов.

--output (строка)

Стиль форматирования выходных данных команды.

• json
• text
• таблица
• yaml
• yaml-поток

--query (строка)

Запрос JMESPath для использования при фильтрации данных ответа.

--profile (строка)

Использовать определенный профиль из файла учетных данных.

--region (строка)

Использовать определенный регион. Переопределяет настройки конфигурации/среды.

--version (строка)

Отобразить версию этого инструмента.

--color (строка)

Включить/отключить цветной вывод.

• вкл
• выкл
• авто

--no-sign-request (булево)

Не подписывать запросы. Учетные данные не будут загружены, если этот аргумент предоставлен.

--ca-bundle (строка)

Файл набора сертификатов CA для использования при проверке сертификатов SSL. Переопределяет настройки конфигурации/среды.

--cli-read-timeout (целое число)

Максимальное время чтения сокета в секундах. Если значение установлено в 0, чтение сокета будет блокирующим и не будет иметь тайм-аута. Значение по умолчанию — 60 секунд.

--cli-connect-timeout (целое число)

Максимальное время подключения сокета в секундах. Если значение установлено в 0, подключение сокета будет блокирующим и не будет иметь тайм-аута. Значение по умолчанию — 60 секунд.

--cli-binary-format (строка)

Стиль форматирования, используемый для двоичных блоков. Формат по умолчанию — base64. Формат base64 ожидает, что двоичные блоки будут предоставлены как закодированная строка base64. Формат raw-in-base64-out сохраняет совместимость с поведением AWS CLI V1, и двоичные значения должны передаваться буквально. При предоставлении содержимого из файла, соответствующего двоичному блоку, fileb:// всегда будет обрабатываться как двоичный и будет использовать содержимое файла напрямую независимо от параметра cli-binary-format. При использовании file:// содержимое файла должно быть правильно отформатировано для настроенного параметра cli-binary-format.

• base64
• raw-in-base64-out

--no-cli-pager (булево)

Отключить вывод кли-пейджера.

--cli-auto-prompt (булево)

Автоматически запрашивать параметры ввода CLI.

--no-cli-auto-prompt (булево)

Отключить автоматическую запрос параметров ввода CLI.

Примеры

Пример 1: Создание ключа KMS с управляемым клиентом в AWS KMS

В следующем create-key примере создается ключ KMS для симметричного шифрования.

Чтобы создать базовый ключ KMS, ключ симметричного шифрования, вам не нужно указывать какие-либо параметры. Значения по умолчанию для этих параметров создают ключ симметричного шифрования.

Поскольку в этой команде не указана политика ключа, ключ KMS получает политику ключа по умолчанию для ключей KMS, созданных программно. Чтобы просмотреть политику ключа, используйте команду get-key-policy. Чтобы изменить политику ключа, используйте команду put-key-policy.

aws kms create-key

Команда create-key возвращает метаданные ключа, включая идентификатор и ARN нового ключа KMS. Вы можете использовать эти значения для идентификации ключа KMS в других операциях AWS KMS. Вывод не включает теги. Чтобы просмотреть теги для ключа KMS, используйте команду list-resource-tags command.

Вывод:

{
    "KeyMetadata": {
        "AWSAccountId": "111122223333",
        "Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "CreationDate": "2017-07-05T14:04:55-07:00",
        "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
        "Description": "",
        "Enabled": true,
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "KeyManager": "CUSTOMER",
        "KeySpec": "SYMMETRIC_DEFAULT",
        "KeyState": "Enabled",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "MultiRegion": false,
        "Origin": "AWS_KMS"
        "EncryptionAlgorithms": [
            "SYMMETRIC_DEFAULT"
        ]
    }
}

Примечание: команда create-key не позволяет указать псевдоним. Чтобы создать псевдоним для нового ключа KMS, используйте команду create-alias.

Дополнительную информацию см. в разделе Создание ключей в Руководстве разработчика AWS Key Management Service.

Пример 2: Создание асимметричного ключа RSA KMS для шифрования и дешифрования

В следующем create-key примере создается ключ KMS, содержащий пару асимметричных ключей RSA для шифрования и дешифрования.

aws kms create-key \
   --key-spec RSA_4096 \
   --key-usage ENCRYPT_DECRYPT

Вывод:

{
    "KeyMetadata": {
        "Arn": "arn:aws:kms:us-east-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "AWSAccountId": "111122223333",
        "CreationDate": "2021-04-05T14:04:55-07:00",
        "CustomerMasterKeySpec": "RSA_4096",
        "Description": "",
        "Enabled": true,
        "EncryptionAlgorithms": [
            "RSAES_OAEP_SHA_1",
            "RSAES_OAEP_SHA_256"
        ],
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "KeyManager": "CUSTOMER",
        "KeySpec": "RSA_4096",
        "KeyState": "Enabled",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "MultiRegion": false,
        "Origin": "AWS_KMS"
    }
}

Дополнительную информацию см. в разделе Асимметричные ключи в AWS KMS в Руководстве разработчика AWS Key Management Service.

Пример 3: Создание асимметричного ключа эллиптической кривой KMS для подписи и проверки

Чтобы создать асимметричный ключ KMS, содержащий пару асимметричных ключей эллиптической кривой (ECC) для подписи и проверки. Параметр --key-usage обязателен, хотя SIGN_VERIFY — единственное допустимое значение для ключей ECC KMS.

aws kms create-key \
    --key-spec ECC_NIST_P521 \
    --key-usage SIGN_VERIFY

Вывод:

{
    "KeyMetadata": {
        "Arn": "arn:aws:kms:us-east-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "AWSAccountId": "111122223333",
        "CreationDate": "2019-12-02T07:48:55-07:00",
        "CustomerMasterKeySpec": "ECC_NIST_P521",
        "Description": "",
        "Enabled": true,
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "KeyManager": "CUSTOMER",
        "KeySpec": "ECC_NIST_P521",
        "KeyState": "Enabled",
        "KeyUsage": "SIGN_VERIFY",
        "MultiRegion": false,
        "Origin": "AWS_KMS",
        "SigningAlgorithms": [
            "ECDSA_SHA_512"
        ]
    }
}

Дополнительную информацию см. в разделе Асимметричные ключи в AWS KMS в Руководстве разработчика AWS Key Management Service.

Пример 4: Создание ключа HMAC KMS

В следующем create-key примере создается ключ KMS HMAC длиной 384 бита. Значение GENERATE_VERIFY_MAC для параметра --key-usage требуется, хотя это единственное допустимое значение для ключей HMAC KMS.

aws kms create-key \
    --key-spec HMAC_384 \
    --key-usage GENERATE_VERIFY_MAC

Вывод:

{
    "KeyMetadata": {
        "Arn": "arn:aws:kms:us-east-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "AWSAccountId": "111122223333",
        "CreationDate": "2022-04-05T14:04:55-07:00",
        "CustomerMasterKeySpec": "HMAC_384",
        "Description": "",
        "Enabled": true,
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "KeyManager": "CUSTOMER",
        "KeySpec": "HMAC_384",
        "KeyState": "Enabled",
        "KeyUsage": "GENERATE_VERIFY_MAC",
        "MacAlgorithms": [
            "HMAC_SHA_384"
        ],
        "MultiRegion": false,
        "Origin": "AWS_KMS"
    }
}

Дополнительную информацию см. в разделе Ключи HMAC в AWS KMS в Руководстве разработчика AWS Key Management Service.

Пример 4: Создание первичного ключа KMS в нескольких регионах

В следующем create-key примере создается первичный ключ симметричного шифрования для нескольких регионов. Поскольку значения по умолчанию для всех параметров создают ключ симметричного шифрования, только параметр --multi-region требуется для этого ключа KMS. В AWS CLI, чтобы указать, что параметр Boolean имеет значение true, просто укажите имя параметра.

aws kms create-key \
    --multi-region

Вывод:

{
    "KeyMetadata": {
        "Arn": "arn:aws:kms:us-west-2:111122223333:key/mrk-1234abcd12ab34cd56ef12345678990ab",
        "AWSAccountId": "111122223333",
        "CreationDate": "2021-09-02T016:15:21-09:00",
        "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
        "Description": "",
        "Enabled": true,
        "EncryptionAlgorithms": [
          "SYMMETRIC_DEFAULT"
        ],
        "KeyId": "mrk-1234abcd12ab34cd56ef12345678990ab",
        "KeyManager": "CUSTOMER",
        "KeySpec": "SYMMETRIC_DEFAULT",
        "KeyState": "Enabled",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "MultiRegion": true,
        "MultiRegionConfiguration": {
            "MultiRegionKeyType": "PRIMARY",
            "PrimaryKey": {
                "Arn": "arn:aws:kms:us-west-2:111122223333:key/mrk-1234abcd12ab34cd56ef12345678990ab",
                "Region": "us-west-2"
            },
            "ReplicaKeys": []
        },
        "Origin": "AWS_KMS"
    }
}

Дополнительную информацию см. в разделе Асимметричные ключи в AWS KMS в Руководстве разработчика AWS Key Management Service.

Пример 5: Создание ключа KMS для импортированного ключа

В следующем create-key примере создается ключ KMS без ключа. После завершения операции вы можете импортировать собственный ключ в ключ KMS. Для создания этого ключа KMS установите параметр --origin в значение EXTERNAL.

aws kms create-key \
    --origin EXTERNAL

Вывод:

{
     "KeyMetadata": {
         "Arn": "arn:aws:kms:us-east-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
         "AWSAccountId": "111122223333",
         "CreationDate": "2019-12-02T07:48:55-07:00",
         "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
         "Description": "",
         "Enabled": false,
         "EncryptionAlgorithms": [
             "SYMMETRIC_DEFAULT"
         ],
         "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
         "KeyManager": "CUSTOMER",
         "KeySpec": "SYMMETRIC_DEFAULT",
         "KeyState": "PendingImport",
         "KeyUsage": "ENCRYPT_DECRYPT",
         "MultiRegion": false,
         "Origin": "EXTERNAL"
     }
 }

Дополнительную информацию см. в разделе Импорт ключа в AWS KMS в Руководстве разработчика AWS Key Management Service.

Пример 6: Создание ключа KMS в хранилище ключей AWS CloudHSM

В следующем create-key примере создается ключ KMS в указанном хранилище ключей AWS CloudHSM. Операция создает ключ KMS и его метаданные в AWS KMS и создает ключ в кластере AWS CloudHSM, связанном с пользовательским хранилищем ключей. Параметры --custom-key-store-id и --origin обязательны.

aws kms create-key \
    --origin AWS_CLOUDHSM \
    --custom-key-store-id cks-1234567890abcdef0

Вывод:

{
    "KeyMetadata": {
        "Arn": "arn:aws:kms:us-east-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "AWSAccountId": "111122223333",
        "CloudHsmClusterId": "cluster-1a23b4cdefg",
        "CreationDate": "2019-12-02T07:48:55-07:00",
        "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
        "CustomKeyStoreId": "cks-1234567890abcdef0",
        "Description": "",
        "Enabled": true,
        "EncryptionAlgorithms": [
            "SYMMETRIC_DEFAULT"
        ],
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "KeyManager": "CUSTOMER",
        "KeySpec": "SYMMETRIC_DEFAULT",
        "KeyState": "Enabled",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "MultiRegion": false,
        "Origin": "AWS_CLOUDHSM"
    }
}

Дополнительную информацию см. в разделе Хранилища ключей AWS CloudHSM в Руководстве разработчика AWS Key Management Service.

Пример 7: Создание ключа KMS во внешнем хранилище ключей

В следующем create-key примере создается ключ KMS во внешнем хранилище ключей. Параметры --custom-key-store-id, --origin и --xks-key-id обязательны в этой команде.

• Параметр --xks-key-id указывает ID существующего ключа симметричного шифрования во внешнем менеджере ключей. Этот ключ используется как внешний ключ для ключа KMS.

• Значение параметра --origin должно быть EXTERNAL_KEY_STORE.

• Параметр custom-key-store-id должен указывать на внешнее хранилище ключей, подключенное к его прокси-серверу внешнего хранилища ключей.

  aws kms create-key \
      --origin EXTERNAL_KEY_STORE \
      --custom-key-store-id cks-9876543210fedcba9 \
      --xks-key-id bb8562717f809024
  

Вывод:

{
    "KeyMetadata": {
        "Arn": "arn:aws:kms:us-east-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "AWSAccountId": "111122223333",
        "CreationDate": "2022-12-02T07:48:55-07:00",
        "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
        "CustomKeyStoreId": "cks-9876543210fedcba9",
        "Description": "",
        "Enabled": true,
        "EncryptionAlgorithms": [
            "SYMMETRIC_DEFAULT"
        ],
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "KeyManager": "CUSTOMER",
        "KeySpec": "SYMMETRIC_DEFAULT",
        "KeyState": "Enabled",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "MultiRegion": false,
        "Origin": "EXTERNAL_KEY_STORE",
        "XksKeyConfiguration": {
            "Id": "bb8562717f809024"
        }
    }
}

Дополнительную информацию см. в разделе Внешние хранилища ключей в Руководстве разработчика AWS Key Management Service.

Вывод

KeyMetadata -> (структура)