replicate-key

Описание

Создаёт репликацию ключа многорегионального ключа в указанный регион. Данная операция создаёт реплика ключа многорегионального ключа, основанного на основном многорегиональном ключе в другом регионе одного и того же раздела Amazon Web Services. Вы можете создать несколько реплик основного ключа, но каждая должна находиться в другом регионе. Для создания многорегионального основного ключа используйте операцию CreateKey.

Эта операция поддерживает многорегиональные ключи, функцию KMS, которая позволяет создавать несколько взаимозаменяемых ключей KMS в разных регионах Amazon Web Services. Поскольку у этих ключей KMS одинаковый идентификатор ключа, ключевой материал и другие метаданные, вы можете использовать их взаимозаменяемо для шифрования данных в одном регионе Amazon Web Services и их дешифрования в другом регионе Amazon Web Services без повторного шифрования данных или выполнения вызова между регионами. Дополнительную информацию о многорегиональных ключах см. в разделе Многорегиональные ключи в KMS в Руководстве разработчика службы управления ключами.

Реплика ключа — это полностью функциональный ключ KMS, который можно использовать независимо от своего основного и других реплицированных ключей. Основной ключ и его реплики разделяют свойства, которые делают их взаимозаменяемыми. У них одинаковый идентификатор ключа и ключевой материал. У них также одинаковый формат ключа, назначение ключа, источник ключевого материала и статус автоматической ротации ключа. KMS автоматически синхронизирует эти общие свойства между связанными многорегиональными ключами. Все другие свойства реплики ключа могут отличаться, включая политику ключа, теги, псевдонимы и состояния ключей KMS. Цены и квоты KMS на ключи KMS применяются к каждому основному ключу и каждому реплицированному ключу.

По завершении этой операции новый реплицированный ключ имеет временное состояние ключа Creating. Это состояние ключа изменяется на Enabled (или PendingImport) через несколько секунд после завершения процесса создания нового реплицированного ключа. Пока состояние ключа является Creating, вы можете управлять ключом, но пока не можете использовать его в криптографических операциях. Если вы программно создаёте и используете реплицированный ключ, повторите попытку при KMSInvalidStateException или вызовите DescribeKey для проверки его значения KeyState перед использованием. Дополнительные сведения о состоянии ключа Creating см. в разделе Состояния ключей KMS в Руководстве разработчика службы управления ключами.

Вы не можете создать более одной реплики основного ключа в любом регионе. Если регион уже содержит реплику ключа, который вы пытаетесь реплицировать, ReplicateKey возвращает ошибку AlreadyExistsException. Если состояние ключа существующей реплики является PendingDeletion, вы можете отменить запланированное удаление ключа (CancelKeyDeletion) или подождать, пока ключ не будет удалён. Новый реплицированный ключ, который вы создаёте, будет иметь те же общие свойства, что и оригинальный реплицированный ключ.

Журнал CloudTrail операции ReplicateKey записывает операцию ReplicateKey в регионе основного ключа и операцию CreateKey в регионе реплицированного ключа.

Если вы реплицируете многорегиональный основной ключ с импортированным ключевым материалом, реплицированный ключ создаётся без ключевого материала. Вы должны импортировать тот же ключевой материал, который вы импортировали в основной ключ. Дополнительную информацию см. в разделе Импорт ключевого материала в многорегиональные ключи в Руководстве разработчика службы управления ключами.

Чтобы преобразовать реплицированный ключ в основной ключ, используйте операцию UpdatePrimaryRegion.

• kms:ReplicateKey для основного ключа (в регионе основного ключа). Включите это разрешение в политику основного ключа.
• kms:CreateKey в политике IAM в регионе реплики.
• Для использования параметра Tags, kms:TagResource в политике IAM в регионе реплики.

• CreateKey
• UpdatePrimaryRegion

См. также: Документация API AWS

Синопсис

  replicate-key
--key-id <value>
--replica-region <value>
[--policy <value>]
[--bypass-policy-lockout-safety-check | --no-bypass-policy-lockout-safety-check]
[--description <value>]
[--tags <value>]
[--cli-input-json | --cli-input-yaml]
[--generate-cli-skeleton <value>]
[--debug]
[--endpoint-url <value>]
[--no-verify-ssl]
[--no-paginate]
[--output <value>]
[--query <value>]
[--profile <value>]
[--region <value>]
[--version <value>]
[--color <value>]
[--no-sign-request]
[--ca-bundle <value>]
[--cli-read-timeout <value>]
[--cli-connect-timeout <value>]
[--cli-binary-format <value>]
[--no-cli-pager]
[--cli-auto-prompt]
[--no-cli-auto-prompt]

Параметры

--key-id (строка)

--replica-region (строка)

--policy (строка)

--bypass-policy-lockout-safety-check | --no-bypass-policy-lockout-safety-check (булево)

--description (строка)

--tags (список)

Краткая синтаксическая запись:

TagKey=string,TagValue=string ...

Синтаксис JSON:

[
  {
    "TagKey": "string",
    "TagValue": "string"
  }
  ...
]

--cli-input-json | --cli-input-yaml (строка) Считывает аргументы из предоставленной JSON-строки. JSON-строка соответствует формату, предоставленному --generate-cli-skeleton. Если на командной строке указаны другие аргументы, эти значения переопределяют значения, предоставленные в JSON. Невозможно передавать произвольные двоичные значения с помощью значения, предоставленного в JSON, так как строка будет воспринята буквально. Это не может быть указано вместе с --cli-input-yaml.

--generate-cli-skeleton (строка) Выводит JSON-скелет в стандартный вывод без отправки запроса к API. Если не указано значение или значение input, выводит пример JSON-ввода, который можно использовать в качестве аргумента для --cli-input-json. Аналогично, если указано yaml-input, он выведет пример YAML-ввода, который можно использовать с --cli-input-yaml. Если указано значение output, он проверит входные данные команд и вернет пример выходного JSON для этой команды. Сгенерированный JSON-скелет не стабилен между версиями AWS CLI, и нет гарантий обратной совместимости в сгенерированном JSON-скелете.

Глобальные параметры

--debug (boolean)

Включить отладку.

--endpoint-url (string)

Переопределить URL команды на указанный URL.

--no-verify-ssl (boolean)

По умолчанию AWS CLI использует SSL при взаимодействии с сервисами AWS. Для каждого SSL-соединения AWS CLI будет проверять SSL-сертификаты. Этот параметр переопределяет поведение по умолчанию по проверке SSL-сертификатов.

--no-paginate (boolean)

Отключить автоматическую постраничную навигацию. Если автоматическая постраничная навигация отключена, AWS CLI сделает только один вызов для первой страницы результатов.

--output (string)

Стиль форматирования вывода команды.

• json
• text
• table
• yaml
• yaml-stream

--query (string)

Запрос JMESPath для фильтрации данных ответа.

--profile (string)

Использовать определённый профиль из файла учетных данных.

--region (string)

Использовать указанный регион. Переопределяет настройки из конфигурации/среды.

--version (string)

Показать версию инструмента.

--color (string)

Включить/отключить цветной вывод.

• on
• off
• auto

--no-sign-request (boolean)

Не подписывать запросы. Учетные данные не будут загружены, если этот аргумент предоставлен.

--ca-bundle (string)

Файл с сертификатом CA для проверки SSL-сертификатов. Переопределяет настройки из конфигурации/среды.

--cli-read-timeout (int)

Максимальное время чтения сокета в секундах. Если значение установлено в 0, чтение сокета будет выполняться без таймаута. Значение по умолчанию - 60 секунд.

--cli-connect-timeout (int)

Максимальное время подключения к сокету в секундах. Если значение установлено в 0, подключение к сокету будет выполняться без таймаута. Значение по умолчанию - 60 секунд.

--cli-binary-format (string)

Стиль форматирования для двоичных данных. По умолчанию используется формат base64. Формат base64 ожидает, что двоичные данные будут предоставлены как строка, закодированная в base64. Формат raw-in-base64-out сохраняет совместимость с поведением AWS CLI V1, и двоичные значения должны передаваться буквально. При предоставлении содержимого из файла, отображающего двоичные данные fileb:// всегда будет обрабатываться как двоичные данные и использовать содержимое файла напрямую независимо от параметра cli-binary-format. При использовании file:// содержимое файла должно быть правильно отформатировано для настроенного cli-binary-format.

• base64
• raw-in-base64-out

--no-cli-pager (boolean)

Отключить пейджер CLI для вывода.

--cli-auto-prompt (boolean)

Автоматически запрашивать параметры ввода CLI.

--no-cli-auto-prompt (boolean)

Отключить автоматическое запросы параметров ввода CLI.

Вывод

ReplicaKeyMetadata -> (структура)

ReplicaPolicy -> (строка)

ReplicaTags -> (список)