Determinar a utilização anterior de uma chave do KMS

Para fins de monitoramento e auditoria, talvez você queira saber como uma chave KMS foi usada no passado. Por exemplo, talvez você queira determinar se uma chave KMS ainda é usada ativamente antes de desativá-la ou agendá-la para exclusão, ou identificar chaves não utilizadas em sua conta. As estratégias a seguir podem ajudá-lo a determinar o uso anterior de uma chave KMS.

Examinar as permissões da chave do KMS para determinar o escopo da utilização em potencial

Determinar quem ou o que atualmente tem acesso a uma chave KMS pode ajudá-lo a determinar com que amplitude a chave KMS está sendo usada e se ela ainda é necessária. Para determinar quem ou o que atualmente tem acesso a uma chave KMS, consulteDeterminando o acesso ao AWS KMS keys.

Examine a última operação criptográfica realizada com uma chave KMS

AWS KMS fornece informações de uso sobre a última operação criptográfica bem-sucedida realizada com cada chave KMS junto com o ID do CloudTrail evento associado. Isso pode facilitar o processo de identificação de chaves KMS não utilizadas. Você também pode usar a chave de TrailingDaysWithoutKeyUsage condição kms: nas políticas de chaves para evitar que as chaves usadas recentemente sejam desativadas acidentalmente ou programadas para exclusão.

Você pode visualizar a última operação criptográfica bem-sucedida realizada com uma chave KMS usando a API Console de gerenciamento da AWS AWS CLI, ou AWS KMS .

Entendendo o período de rastreamento de uso

AWS KMS rastreia somente a última operação criptográfica bem-sucedida realizada com cada chave KMS. Pode haver um atraso de até uma hora entre o momento em que uma operação criptográfica ocorre e o momento em que o uso é registrado.

Quando você verifica as últimas informações de uso de uma chave KMS, a resposta inclui uma data de início do rastreamento. TrackingStartDateÉ a data a partir da qual AWS KMS começou a registrar a atividade criptográfica dessa chave. Use essa data junto com a data de criação da chave para determinar seu histórico de uso comparando a data de criação da chave com a data de início do rastreamento:

Operações criptográficas rastreadas

Somente as seguintes operações criptográficas bem-sucedidas são rastreadas e registradas para relatar as últimas informações de uso. As operações não criptográficas são excluídas.

Outras considerações

Lembre-se do seguinte ao usar as informações de uso:

Você pode visualizar as últimas informações de uso usando os seguintes métodos:

$ aws kms get-key-last-usage --key-id "1234abcd-12ab-34cd-56ef-1234567890ab"
{
    "KeyCreationDate": 1773253425.56,
    "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
    "TrackingStartDate": 1773253425.56,
    "KeyLastUsage": {
        "Timestamp": 1773253497.0,
        "Operation": "Encrypt",
        "KmsRequestId": "040cce3e-9ef3-4651-b8cf-e47c9bafdc9b",
        "CloudTrailEventId": "2cfd5892-ea8c-4342-ad49-4b9594b06a8b"
    }
}

$ aws kms get-key-last-usage --key-id "0987dcba-09fe-87dc-65ba-ab0987654321"
{
    "KeyCreationDate": 1672531200.0,
    "KeyId": "0987dcba-09fe-87dc-65ba-ab0987654321",
    "TrackingStartDate": 1773253425.56,
    "KeyLastUsage": {}
}

Examine AWS CloudTrail os registros para verificar o uso anterior

Você pode usar o histórico de uso de uma chave KMS para ajudá-lo a determinar se você tem textos cifrados criptografados sob uma chave KMS específica.

Todas as atividades AWS KMS da API são registradas em arquivos de AWS CloudTrail log. Se você criou uma CloudTrail trilha na região em que sua chave KMS está localizada, você pode examinar seus arquivos de CloudTrail log para ver um histórico de todas as atividades de AWS KMS API de uma chave KMS específica. Se você não tiver uma trilha, ainda poderá ver eventos recentes no Histórico de eventos do CloudTrail . Para obter detalhes sobre como AWS KMS usar CloudTrail, consulteRegistrando chamadas de AWS KMS API com AWS CloudTrail.

Os exemplos a seguir mostram entradas de CloudTrail registro que são geradas quando uma chave KMS é usada para proteger um objeto armazenado no Amazon Simple Storage Service (Amazon S3). Neste exemplo, o objeto é carregado no Amazon S3 usando Proteção de dados usando criptografia no lado do servidor com chaves do KMS (SSE-KMS). Ao carregar um objeto no Amazon S3 com SSE-KMS, você especifica a chave do KMS a ser usada para proteger esse objeto. O Amazon S3 usa a AWS KMS GenerateDataKeyoperação para solicitar uma chave de dados exclusiva para o objeto, e esse evento de solicitação é registrado CloudTrail com uma entrada semelhante à seguinte:

{
  "eventVersion": "1.02",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROACKCEVSQ6C2EXAMPLE:example-user",
    "arn": "arn:aws:sts::111122223333:assumed-role/Admins/example-user",
    "accountId": "111122223333",
    "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2015-09-10T23:12:48Z"
      },
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROACKCEVSQ6C2EXAMPLE",
        "arn": "arn:aws:iam::111122223333:role/Admins",
        "accountId": "111122223333",
        "userName": "Admins"
      }
    },
    "invokedBy": "internal.amazonaws.com"
  },
  "eventTime": "2015-09-10T23:58:18Z",
  "eventSource": "kms.amazonaws.com",
  "eventName": "GenerateDataKey",
  "awsRegion": "us-west-2",
  "sourceIPAddress": "internal.amazonaws.com",
  "userAgent": "internal.amazonaws.com",
  "requestParameters": {
    "encryptionContext": {"aws:s3:arn": "arn:aws:s3:::example_bucket/example_object"},
    "keySpec": "AES_256",
    "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
  },
  "responseElements": null,
  "requestID": "cea04450-5817-11e5-85aa-97ce46071236",
  "eventID": "80721262-21a5-49b9-8b63-28740e7ce9c9",
  "readOnly": true,
  "resources": [{
    "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "accountId": "111122223333"
  }],
  "eventType": "AwsApiCall",
  "recipientAccountId": "111122223333"
}

Posteriormente, quando você baixa esse objeto do Amazon S3, o Amazon S3 envia Decrypt uma solicitação AWS KMS para descriptografar a chave de dados do objeto usando a chave KMS especificada. Ao fazer isso, seus arquivos de CloudTrail log incluem uma entrada semelhante à seguinte:

{
  "eventVersion": "1.02",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROACKCEVSQ6C2EXAMPLE:example-user",
    "arn": "arn:aws:sts::111122223333:assumed-role/Admins/example-user",
    "accountId": "111122223333",
    "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2015-09-10T23:12:48Z"
      },
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROACKCEVSQ6C2EXAMPLE",
        "arn": "arn:aws:iam::111122223333:role/Admins",
        "accountId": "111122223333",
        "userName": "Admins"
      }
    },
    "invokedBy": "internal.amazonaws.com"
  },
  "eventTime": "2015-09-10T23:58:39Z",
  "eventSource": "kms.amazonaws.com",
  "eventName": "Decrypt",
  "awsRegion": "us-west-2",
  "sourceIPAddress": "internal.amazonaws.com",
  "userAgent": "internal.amazonaws.com",
  "requestParameters": {
    "encryptionContext": {"aws:s3:arn": "arn:aws:s3:::example_bucket/example_object"}},
  "responseElements": null,
  "requestID": "db750745-5817-11e5-93a6-5b87e27d91a0",
  "eventID": "ae551b19-8a09-4cfc-a249-205ddba330e3",
  "readOnly": true,
  "resources": [{
    "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "accountId": "111122223333"
  }],
  "eventType": "AwsApiCall",
  "recipientAccountId": "111122223333"
}

Ao avaliar essas entradas de log, talvez você possa determinar a utilização anterior de uma chave do KMS específica, e isso pode ajudar a determinar se você deseja ou não excluí-la.

Para ver mais exemplos de como a atividade da AWS KMS API aparece em seus arquivos de CloudTrail log, acesseRegistrando chamadas de AWS KMS API com AWS CloudTrail. Para obter mais informações sobre, CloudTrail acesse o Guia AWS CloudTrail do usuário.