[小ネタ]KMSカスタマーキーのエイリアス名を変更する方法

KMSカスタマーキーのエイリアスの確認

まずCLIでエイリアスの一覧を取得します。

aws kms list-keys

    "Aliases": [
    （他のエイリアスは省略）    
        {
            "AliasArn": "arn:aws:kms:ap-northeast-1:123456789012:alias/kms-test-key",
            #今回変更したいKMSカスタマーキーのエイリアス
            "AliasName": "alias/kms-test-key",
            "TargetKeyId": "95ca144f-f89a-xxxx-xxxx-xxxxxxxxxxxx"
        },

    ]

対象のKMSカスタマーキーのエイリアスがあることを確認します。
kms-test-keyは設定済みのエイリアス名です。AliasNameは以降の手順で使用するのでコピーしておいてください。TargetKeyIdは次の手順でKeyArnとの紐づけを確認する際に参照します。

KMSカスタマーキーのKeyArnの確認

次にKMSカスタマーキーのKeyArnを確認します。

aws kms list-aliases

    "Keys": [
    （他のエイリアスは省略）
        {
            "KeyArn": "arn:aws:kms:ap-northeast-1:123456789012:key/95ca144f-f89a-xxxx-xxxx-xxxxxxxxxxxx",
            "KeyId": "95ca144f-f89a-xxxx-xxxx-xxxxxxxxxxxx"
        },
    ]

前述で確認したTargetKeyIdに紐づくKeyArnは以降の手順で使用するのでコピーしておいてください。

エイリアス名を削除

--alias-nameに前述で確認したAliasNameの値kms-test-keyを記載します。

aws kms delete-alias  --alias-name alias/kms-test-key

このコマンドではキーそのものが削除保留状態になるわけではなく、エイリアス名が削除される（ブランク）になります。 マネージメントコンソールで状態を見てみると。エイリアスがブランクになっていることが分かります。

新しく別のエイリアス名を付与

最後に、別のエイリアス名を付与します。今回は--alias-nameに変更後のエイリアス名delete-kms-test-keyを指定します。--target-key-idにはKMSカスタマーキーのKeyArnの確認時に控えたKeyArnを記載します。

aws kms create-alias --alias-name alias/delete-kms-test-key  --target-key-id arn:aws:kms:ap-northeast-1:123456789012:key/95ca144f-f89a-xxxx-xxxx-xxxxxxxxxxxx

マネージメントコンソールで状態を見てみると。ブランクだったエイリアスにdelete-kms-test-keyが再設定されていることが分かります。

これで設定してしまっていたもともとの名前でKMSカスタマーキーを作ることが出来ますv(￣∇￣)

まとめ

GUI（マネージメントコンソール）で出来ること出来ないこと、CLIで出来ること出来ないことは勿論それぞれあります。普段GUIで操作することが多いので、GUIで出来ない操作や設定をCLIを使って実現できないか?といった視点で環境を触ると知識も広がってやれることの幅も広がっていくのではないかと改めて感じた今日この頃でした！

以上、大阪オフィスの林がお送りしました！