generate-data-key-pair

Описание

Возвращает уникальную асимметричную пару данных ключей для использования вне KMS. Данный оператор возвращает открытый ключ в виде простого текста, закрытый ключ в виде простого текста и копию закрытого ключа, зашифрованного с использованием заданного симметричного ключа шифрования KMS. Вы можете использовать пару данных ключей для выполнения асимметричной криптографии и реализации цифровых подписей вне KMS. Байты в ключах случайны; они не связаны с вызывающей стороной или с ключом KMS, используемым для шифрования закрытого ключа.

Вы можете использовать открытый ключ, который GenerateDataKeyPair возвращает, для шифрования данных или проверки подписи вне KMS. Затем сохраните зашифрованный закрытый ключ вместе с данными. Когда вы будете готовы расшифровать данные или подписать сообщение, вы можете использовать операцию Decrypt для расшифровки зашифрованного закрытого ключа.

Для генерации пары данных ключей необходимо указать симметричный ключ шифрования KMS для шифрования закрытого ключа в паре данных ключей. Вы не можете использовать асимметричный ключ KMS или ключ KMS в пользовательском хранилище ключей. Для получения типа и источника вашего ключа KMS используйте операцию DescribeKey.

Используйте параметр KeyPairSpec, чтобы выбрать пару данных ключей RSA или эллиптической кривой (ECC). В регионах Китая вы также можете выбрать пару данных ключей SM2. KMS рекомендует использовать пары ключей ECC для подписи и использовать пары ключей RSA и SM2 для шифрования или подписи, но не для обоих. Однако KMS не может вводить никаких ограничений на использование пар данных ключей вне KMS.

Если вы используете пару данных ключей для шифрования данных или для любой операции, где вам не нужен закрытый ключ сразу, рассмотрите использование операции GenerateDataKeyPairWithoutPlaintext. GenerateDataKeyPairWithoutPlaintext возвращает открытый ключ в виде простого текста и зашифрованный закрытый ключ, но опускает закрытый ключ в виде простого текста, который нужен только для расшифровки зашифрованного текста или подписи сообщения. Позже, когда вам нужно расшифровать данные или подписать сообщение, используйте операцию Decrypt для расшифровки зашифрованного закрытого ключа в паре данных ключей.

Вы можете использовать необязательный контекст шифрования, чтобы добавить дополнительную безопасность к операции шифрования. Если вы укажете EncryptionContext, вы должны указать тот же контекст шифрования (точная совпадение с учетом регистра) при расшифровке зашифрованных данных. В противном случае запрос на расшифровку завершится с ошибкой InvalidCiphertextException. Дополнительную информацию см. в разделе Encryption Context в руководстве разработчика Key Management Service.

Ключ KMS, который вы используете для этой операции, должен находиться в совместимом состоянии ключа. Подробности см. в разделе Состояния ключей ключей KMS в руководстве разработчика Key Management Service.

• Decrypt
• Encrypt
• GenerateDataKey
• GenerateDataKeyPairWithoutPlaintext
• GenerateDataKeyWithoutPlaintext

См. также: Документация API AWS

Резюме

  generate-data-key-pair
[--encryption-context <value>]
--key-id <value>
--key-pair-spec <value>
[--grant-tokens <value>]
[--recipient <value>]
[--dry-run | --no-dry-run]
[--cli-input-json | --cli-input-yaml]
[--generate-cli-skeleton <value>]
[--debug]
[--endpoint-url <value>]
[--no-verify-ssl]
[--no-paginate]
[--output <value>]
[--query <value>]
[--profile <value>]
[--region <value>]
[--version <value>]
[--color <value>]
[--no-sign-request]
[--ca-bundle <value>]
[--cli-read-timeout <value>]
[--cli-connect-timeout <value>]
[--cli-binary-format <value>]
[--no-cli-pager]
[--cli-auto-prompt]
[--no-cli-auto-prompt]

Параметры

--encryption-context (карта)

Упрощенный синтаксис:

KeyName1=string,KeyName2=string

Синтаксис JSON:

{"string": "string"
  ...}

--key-id (строка)

--key-pair-spec (строка)

--grant-tokens (список)

Синтаксис:

"string" "string" ...

--recipient (структура)

Упрощенный синтаксис:

KeyEncryptionAlgorithm=string,AttestationDocument=blob

Синтаксис JSON:

{
  "KeyEncryptionAlgorithm": "RSAES_OAEP_SHA_256",
  "AttestationDocument": blob
}

--dry-run | --no-dry-run (логическое значение)

--cli-input-json | --cli-input-yaml (строка) Читает аргументы из предоставленной строки JSON. Строка JSON следует формату, предоставленному --generate-cli-skeleton. Если другие аргументы предоставлены в командной строке, эти значения будут переопределять значения, предоставленные JSON. Невозможно передавать произвольные двоичные данные с помощью значения, предоставленного JSON, так как строка будет интерпретироваться буквально. Это может не быть указано вместе с --cli-input-yaml.

--generate-cli-skeleton (строка) Выводит каркас JSON в стандартный вывод без отправки запроса API. Если предоставлено значение без значения или значение input, выводит пример входного JSON, который может быть использован в качестве аргумента для --cli-input-json. Аналогично, если предоставлено yaml-input, выводится пример входного YAML, который может быть использован с --cli-input-yaml. Если предоставлено значение output, оно проверяет входные данные команды и возвращает пример выходного JSON для этой команды. Сгенерированный каркас JSON не стабилен между версиями AWS CLI и нет гарантий обратной совместимости в сгенерированном каркасе JSON.

Глобальные параметры

--debug (boolean)

Включить отладочную регистрацию.

--endpoint-url (string)

Переопределить URL по умолчанию команды заданным URL.

--no-verify-ssl (boolean)

По умолчанию, AWS CLI использует SSL при общении с AWS-сервисами. Для каждого SSL-соединения AWS CLI будет проверять SSL-сертификаты. Этот параметр переопределяет поведение проверки SSL-сертификатов по умолчанию.

--no-paginate (boolean)

Отключить автоматическую постраничную навигацию. Если автоматическая постраничная навигация отключена, AWS CLI выполнит только один вызов для первой страницы результатов.

--output (string)

Стиль форматирования вывода команды.

• json
• text
• table
• yaml
• yaml-stream

--query (string)

Запрос JMESPath для фильтрации данных ответа.

--profile (string)

Использовать определённый профиль из файла аутентификации.

--region (string)

Регион для использования. Переопределяет настройки конфигурации/окружения.

--version (string)

Отобразить версию этого инструмента.

--color (string)

Включить/выключить цветной вывод.

• on
• off
• auto

--no-sign-request (boolean)

Не подписывать запросы. Кредиты не будут загружены, если этот аргумент указан.

--ca-bundle (string)

Файл-сборка CA-сертификатов для проверки SSL-сертификатов. Переопределяет настройки конфигурации/окружения.

--cli-read-timeout (int)

Максимальное время чтения сокета в секундах. Если значение установлено в 0, чтение сокета будет выполняться блокирующим образом без таймаута. Значение по умолчанию — 60 секунд.

--cli-connect-timeout (int)

Максимальное время подключения сокета в секундах. Если значение установлено в 0, подключение сокета будет выполняться блокирующим образом без таймаута. Значение по умолчанию — 60 секунд.

--cli-binary-format (string)

Стиль форматирования, используемый для двоичных блоков. Формат по умолчанию — base64. Формат base64 ожидает, что двоичные блоки будут предоставлены как строка, закодированная в base64. Формат raw-in-base64-out сохраняет совместимость с поведением AWS CLI V1, и двоичные значения должны быть переданы буквально. При предоставлении содержимого из файла, соответствующего двоичному блоку, fileb:// всегда будет обрабатываться как двоичный, и будет использоваться содержимое файла непосредственно независимо от настройки cli-binary-format. При использовании file:// содержимое файла необходимо должным образом отформатировать для настроенного cli-binary-format.

• base64
• raw-in-base64-out

--no-cli-pager (boolean)

Отключить пейджер CLI для вывода.

--cli-auto-prompt (boolean)

Автоматически запросить параметры ввода CLI.

--no-cli-auto-prompt (boolean)

Отключить автоматический запрос параметров ввода CLI.

Примеры

Для создания пары асимметричных ключей данных RSA размером 2048 бит

Следующий generate-data-key-pair пример запрашивает пару асимметричных ключей данных RSA размером 2048 бит для использования вне AWS. Команда возвращает открытый и закрытый ключи в открытом виде для немедленного использования и удаления, а также копию закрытого ключа, зашифрованного с использованием указанного ключа KMS. Вы можете безопасно хранить зашифрованный закрытый ключ вместе с зашифрованными данными.

Для запроса пары асимметричных ключей данных RSA размером 2048 бит используйте параметр key-pair-spec со значением RSA_2048.

Ключ KMS, который вы указываете, должен быть симметричным ключом шифрования KMS, то есть ключом KMS со значением KeySpec равным SYMMETRIC_DEFAULT.

ПРИМЕЧАНИЕ: Значения в выводе этого примера усечены для отображения.

aws kms generate-data-key-pair \
    --key-id 1234abcd-12ab-34cd-56ef-1234567890ab \
    --key-pair-spec RSA_2048

Вывод:

{
    "PrivateKeyCiphertextBlob": "AQIDAHi6LtupRpdKl2aJTzkK6FbhOtQkMlQJJH3PdtHvS/y+hAFFxmiD134doUDzMGmfCEtcAAAHaTCCB2UGCSqGSIb3DQEHBqCCB1...",
    "PrivateKeyPlaintext": "MIIG/QIBADANBgkqhkiG9w0BAQEFAASCBucwggbjAgEAAoIBgQDcDd4YzI+u9Kfv4t2UkTWhShBXkekS4cBVt07I0P42ZgMf+YvU5IgS4ut...",
    "PublicKey": "MIIBojANBgkqhkiG9w0BAQEFAAOCAY8AMIIBigKCAYEA3A3eGMyPrvSn7+LdlJE1oUoQV5HpEuHAVbdOyND+NmYDH/mL1OSIEuLrcdZ5hrMH4pk83r40l...",
    "KeyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "KeyPairSpec": "RSA_2048"
}

PublicKey, PrivateKeyPlaintext и PrivateKeyCiphertextBlob возвращаются в формате base64.

Дополнительную информацию см. в разделе Пары ключей данных в Руководстве разработчика AWS Key Management Service.

Вывод

PrivateKeyCiphertextBlob -> (blob)

PrivateKeyPlaintext -> (blob)

PublicKey -> (blob)

KeyId -> (string)

KeyPairSpec -> (string)

CiphertextForRecipient -> (blob)