Skip to main content
GET
Obter uma chave pública versionada
Exige a ação IAM kms:GetPublicKey. Veja permissões do KMS para a lista completa, o escopo de cada ação e um exemplo de política.

Autorizações

Authorization
string
header
obrigatório

Um token bearer OAuth 2.0, enviado como Authorization: Bearer <token>. Esta é a forma recomendada de autenticação.

Obtenha o token trocando o par de chaves de acesso de uma conta de serviço em POST /v1/oauth/token com grant_type=client_credentials. Esse é o fluxo padrão de credenciais de cliente; bibliotecas compatíveis com OAuth podem obter e renovar o token para você.

Os tokens duram uma hora por padrão. O mesmo par de chaves de acesso também serve como credencial AWS SigV4 para o endpoint de objetos compatível com S3, que aceita somente esse método de autenticação.

Parâmetros de caminho

key_id
string<uuid>
obrigatório

Parâmetros de consulta

key_version
integer

Versão do material a exportar. O padrão é a versão atual.

Intervalo obrigatório: x >= 1

Resposta

Sucesso

key_crn
string
obrigatório
Exemplo:

"crn:kms:sa-saopaulo-1:my-account:key/prod-signer"

key_version
integer
obrigatório
Intervalo obrigatório: x >= 1
key_spec
enum<string>
obrigatório

Especificação criptográfica. Determina quais mecanismos se aplicam:

  • aes-256: AEAD simétrico (AES-GCM)
  • rsa-2048: assimétrico; criptografia OAEP-SHA256 + sinal PSS-SHA256
  • rsa-4096: mesmo que rsa-2048
  • ecdsa-p256: assimétrico; assinatura/verificação SHA-256 (sem criptografia)
Opções disponíveis:
aes-256,
rsa-2048,
rsa-4096,
ecdsa-p256
Exemplo:

"aes-256"

key_usage
enum<string>
obrigatório

Operação definida para a qual a chave é fixada no momento da criação. Mesmo quando a especificação suporta ambos (RSA), um uso deve ser escolhido — o serviço recusa operações do outro conjunto.

Opções disponíveis:
encrypt_decrypt,
sign_verify
Exemplo:

"encrypt_decrypt"

public_key
string
obrigatório

SubjectPublicKeyInfo codificado em PEM para a versão assimétrica solicitada. Nenhum material privado é exportado.