若要啟用 BYOK，請切換自帶金鑰 (BYOK) 開啟。如果您停用 BYOK， Webex 通用預設金鑰 成為您組織的主要金鑰。

將 Webex HSM 公開金鑰儲存在本地系統上的 .pem 檔案中。

必需的加密參數為：

• RSA-OAEP 方案
• SHA-256 雜湊函數
• MGF1 遮罩產生功能
• PKCS#1 OAEP 填充

• 金鑰類型—選取對稱。
• 金鑰用法—選取加密和解密。
• 進階選項 > 地區性 — 選取單一區域金鑰 或多區域金鑰。
• 標籤—輸入別名、描述和標籤。
• 金鑰管理員 — 選取您組織的金鑰管理員使用者和角色。
• 金鑰刪除—勾選允許金鑰管理員刪除此金鑰。
• 關鍵使用者 — 選取組織的關鍵使用者和角色。

• 標籤—輸入別名、描述和標籤。
• 金鑰管理員 — 選取您組織的金鑰管理員使用者和角色。
• 金鑰刪除—勾選允許金鑰管理員刪除此金鑰。
• 關鍵使用者 — 選取組織的關鍵使用者和角色。

aws kms create-grant \
              --name {UNIQUE_NAME_FOR_GRANT} \
              --key-id {UUID_Of_AWS_KMS Key} \
              --operations Encrypt Decrypt DescribeKey \
              --grantee-principal {KMS_CISCO_USER_ARN} \
              --retiring-principal {KMS_CISCO_USER_ARN}

aws kms create-grant \ 
              --name Cisco-KMS-xxxxxxxx-encrypt-decrypt \ 
              --key-id xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx \ 
              --operations Encrypt Decrypt DescribeKey \ 
              --grantee-principal arn:aws:iam::xxxxxxxxxxxx:user/kms-cisco-user \ 
              --retiring-principal arn:aws:iam::xxxxxxxxxxxx:user/kms- cisco-user
            

如果您停用 BYOK， Webex 通用預設金鑰 成為您組織的主要金鑰。

您的金鑰 ARN 會上傳至 Cisco KMS，在該處驗證對金鑰的存取權。然後，Control Hub 會向您顯示新的 AWS KMS 金鑰的 Cisco KMS 金鑰 ID，以及目前作用中的 Cisco KMS 金鑰 ID（如果有的話）。

如果這是您的第一個 AWS KMS 金鑰，則目前作用中的金鑰是Webex 通用預設金鑰 （我們目前用於加密組織金鑰的密鑰）。

您上傳的新 AWS KMS 金鑰會進入 Active 狀態。

舊的 AWS KMS 金鑰會保持在「正在輪換」狀態，直到 Webex 使用新的「使用中的 AWS KMS」金鑰完成對其所有內容的加密。重新加密後，舊的 AWS KMS 金鑰會自動從 Control Hub 中消失。

Control Hub 會向您顯示新的 AWS KMS 金鑰的 Cisco KMS 金鑰 ID，以及目前作用中的 Cisco KMS 金鑰 ID 的 ID。

該過程描述於新增並啟動您的 AMS KMS 金鑰 在本文中。

您上傳的新 AWS KMS 金鑰會進入 Active 狀態。

舊的 AWS KMS 金鑰會保持在「正在輪換」狀態，直到 Webex 使用新的「使用中的 AWS KMS」金鑰完成對其所有內容的加密。重新加密後，舊的 AWS KMS 金鑰會自動從 Control Hub 中消失。

刪除後，您可以在 30 天內恢復金鑰。

還原後，Control Hub 會向您顯示處於「已撤銷」狀態的金鑰。

您會在本機系統上的 .pem 檔案中取得 Webex HSM 公開金鑰。

該範例使用檔案名稱main_key.bin 為您未加密的新金鑰。

或者，您可以使用十六進位轉儲、 Python 或線上產生器產生 32 位元的隨機值。您也可以建立和管理您的 AWS KMS 金鑰。

openssl pkeyutl -encrypt -pubin -inkey path/to/public.pem -in main_key.bin -out main_key_encrypted.bin -pkeyopt rsa_padding_mode:oaep -pkeyopt rsa_oaep_md:sha256

該範例使用檔案名稱main_key_encrypted.bin 加密的輸出金鑰和檔案名稱path/to/public.pem Webex 公開金鑰。