generate-data-key-without-plaintext

Описание

Возвращает уникальный симметричный ключ данных для использования вне KMS. Данная операция возвращает ключ данных, зашифрованный с помощью симметричного ключа шифрования KMS, который вы указываете. Байты в ключе случайны; они не связаны с вызывающим абонентом или с ключом KMS.

Данная операция полезна для систем, которым нужно зашифровать данные в какой-то момент, но не сразу. Когда вам нужно зашифровать данные, вы вызываете операцию Decrypt на зашифрованной копии ключа.

Она также полезна в распределенных системах с различными уровнями доверия. Например, вы можете хранить зашифрованные данные в контейнерах. Один компонент вашей системы создаёт новые контейнеры и сохраняет зашифрованный ключ данных с каждым контейнером. Затем другой компонент помещает данные в контейнеры. Этот компонент сначала расшифровывает ключ данных, использует открытый ключ данных для шифрования данных, помещает зашифрованные данные в контейнер, а затем уничтожает открытый ключ данных. В этой системе компонент, который создаёт контейнеры, никогда не видит открытый ключ данных.

Для запроса пары асимметричных ключей данных используйте операции GenerateDataKeyPair или GenerateDataKeyPairWithoutPlaintext.

Для генерации ключа данных необходимо указать симметричный ключ шифрования KMS, используемый для шифрования ключа данных. Вы не можете использовать асимметричный ключ KMS или ключ в пользовательском хранилище для генерации ключа данных. Чтобы получить тип вашего ключа KMS, используйте операцию DescribeKey.

Вы также должны указать длину ключа данных. Используйте параметры KeySpec или NumberOfBytes (но не оба). Для 128-битных и 256-битных ключей данных используйте параметр KeySpec.

Чтобы сгенерировать ключ данных SM4 (только для регионов Китая), укажите значение KeySpec равное AES_128 или значение NumberOfBytes равное 16. Симметричный ключ шифрования, используемый в регионах Китая для шифрования вашего ключа данных, представляет собой ключ шифрования SM4.

Если операция выполняется успешно, вы найдёте зашифрованную копию ключа данных в поле CiphertextBlob.

Вы можете использовать необязательный контекст шифрования для добавления дополнительной безопасности к операции шифрования. Если вы укажете EncryptionContext, вы должны указать тот же контекст шифрования (точная совпадение с учётом регистра) при расшифровке зашифрованного ключа данных. В противном случае запрос на расшифровку завершится ошибкой с InvalidCiphertextException. Дополнительную информацию см. в разделе Контекст шифрования в руководстве разработчика Key Management Service.

Ключ KMS, который вы используете для этой операции, должен находиться в совместимом состоянии. Подробнее см. Состояния ключей KMS в руководстве разработчика Key Management Service.

• Decrypt
• Encrypt
• GenerateDataKey
• GenerateDataKeyPair
• GenerateDataKeyPairWithoutPlaintext

См. также: Документация API AWS

Синтаксис

  generate-data-key-without-plaintext
--key-id <value>
[--encryption-context <value>]
[--key-spec <value>]
[--number-of-bytes <value>]
[--grant-tokens <value>]
[--dry-run | --no-dry-run]
[--cli-input-json | --cli-input-yaml]
[--generate-cli-skeleton <value>]
[--debug]
[--endpoint-url <value>]
[--no-verify-ssl]
[--no-paginate]
[--output <value>]
[--query <value>]
[--profile <value>]
[--region <value>]
[--version <value>]
[--color <value>]
[--no-sign-request]
[--ca-bundle <value>]
[--cli-read-timeout <value>]
[--cli-connect-timeout <value>]
[--cli-binary-format <value>]
[--no-cli-pager]
[--cli-auto-prompt]
[--no-cli-auto-prompt]

Параметры

--key-id (строка)

--encryption-context (словарь)

Сокращённый синтаксис:

KeyName1=string,KeyName2=string

Синтаксис JSON:

{"string": "string"
  ...}

--key-spec (строка)

--number-of-bytes (целое число)

--grant-tokens (список)

Синтаксис:

"string" "string" ...

--dry-run | --no-dry-run (логическое значение)

--cli-input-json | --cli-input-yaml (строка) Считывает аргументы из предоставленной JSON-строки. JSON-строка соответствует формату, указанному в --generate-cli-skeleton. Если на командной строке указаны другие аргументы, эти значения переопределят значения, предоставленные через JSON. Невозможно передавать произвольные двоичные значения с помощью значения, предоставленного через JSON, так как строка будет взята буквально. Это не может быть указано вместе с --cli-input-yaml.

--generate-cli-skeleton (строка) Выводит JSON-скелет в стандартный вывод, не отправляя запрос API. Если не указано никакого значения или значение input, выводит пример JSON-ввода, который можно использовать в качестве аргумента для --cli-input-json. Аналогично, если указано значение yaml-input, выведет пример YAML-ввода, который можно использовать с --cli-input-yaml. Если указано значение output, он проверит входные данные команды и вернёт пример выходного JSON для данной команды. Сгенерированный JSON-скелет не является стабильным между версиями AWS CLI, и нет гарантий обратной совместимости в сгенерированном JSON-скелете.

Общие параметры

--debug (логическое значение)

Включить отладочную запись журнала.

--endpoint-url (строка)

Переопределить URL по умолчанию команды заданным URL.

--no-verify-ssl (логическое значение)

По умолчанию AWS CLI использует SSL при общении с сервисами AWS. Для каждого соединения SSL AWS CLI будет проверять сертификаты SSL. Этот параметр переопределяет поведение по умолчанию по проверке сертификатов SSL.

--no-paginate (логическое значение)

Отключить автоматическую постраничную навигацию. Если автоматическая постраничная навигация отключена, AWS CLI выполнит только один вызов для первой страницы результатов.

--output (строка)

Стиль форматирования для вывода команды.

• json
• text
• table
• yaml
• yaml-stream

--query (строка)

Запрос JMESPath для фильтрации данных ответа.

--profile (строка)

Использовать определённый профиль из файла параметров.

--region (строка)

Используемый регион. Переопределяет параметры конфигурации/окружения.

--version (строка)

Отобразить версию данного инструмента.

--color (строка)

Включить/выключить цветной вывод.

• on
• off
• auto

--no-sign-request (логическое значение)

Не подписывать запросы. Кредиты не будут загружаться, если этот аргумент указан.

--ca-bundle (строка)

Файл-сборник сертификатов CA для проверки сертификатов SSL. Переопределяет параметры конфигурации/окружения.

--cli-read-timeout (целое число)

Максимальное время чтения сокета в секундах. Если значение равно 0, чтение сокета будет блокирующим и без таймаута. Значение по умолчанию — 60 секунд.

--cli-connect-timeout (целое число)

Максимальное время подключения сокета в секундах. Если значение равно 0, подключение сокета будет блокирующим и без таймаута. Значение по умолчанию — 60 секунд.

--cli-binary-format (строка)

Стиль форматирования, используемый для двоичных блоков. Формат по умолчанию — base64. Формат base64 ожидает, что двоичные блоки будут предоставлены как закодированная строка base64. Формат raw-in-base64-out сохраняет совместимость с поведением AWS CLI V1, и двоичные значения должны передаваться буквально. При предоставлении содержимого из файла, отображающего двоичный блок, fileb:// всегда будет обрабатываться как двоичный и будет использовать содержимое файла непосредственно независимо от настройки cli-binary-format. При использовании file:// содержимое файла должно быть правильно отформатировано для настроенного cli-binary-format.

• base64
• raw-in-base64-out

--no-cli-pager (логическое значение)

Отключить кли-пайпер для вывода.

--cli-auto-prompt (логическое значение)

Автоматически запросить параметры ввода CLI.

--no-cli-auto-prompt (логическое значение)

Отключить автоматическое запрошенное ввода параметров CLI.

Примеры

Для генерации 256-битного симметричного ключа данных без открытого ключа

Следующий generate-data-key-without-plaintext пример запрашивает зашифрованную копию 256-битного симметричного ключа данных для использования вне AWS. Вы можете вызвать AWS KMS для расшифровки ключа данных, когда будете готовы к его использованию.

Для запроса 256-битного ключа данных используйте параметр key-spec со значением AES_256. Для запроса 128-битного ключа данных используйте параметр key-spec со значением AES_128. Для всех остальных длин ключей данных используйте параметр number-of-bytes.

Ключ KMS, который вы указываете, должен быть симметричным ключом шифрования KMS, то есть ключом KMS со значением спецификации ключа SYMMETRIC_DEFAULT.

aws kms generate-data-key-without-plaintext \
    --key-id "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab" \
    --key-spec AES_256

Вывод:

{
    "CiphertextBlob": "AQEDAHjRYf5WytIc0C857tFSnBaPn2F8DgfmThbJlGfR8P3WlwAAAH4wfAYJKoZIhvcNAQcGoG8wbQIBADBoBgkqhkiG9w0BBwEwHgYJYIZIAWUDBAEuMBEEDEFogL",
    "KeyId": "arn:aws:kms:us-east-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
}

CiphertextBlob (зашифрованный ключ данных) возвращается в формате, закодированном в base64.

Дополнительную информацию см. в разделе Ключи данных в Руководстве разработчика AWS Key Management Service.

Вывод

CiphertextBlob -> (blob)

KeyId -> (строка)