Amazon KMS 概念

了解 Amazon Key Management Service (Amazon KMS) 中使用的基本术语和概念，以及它们如何协同工作以帮助保护您的数据。

Amazon KMS keys

Amazon KMS keys（KMS 密钥）是 Amazon KMS 中的主要资源。您可以使用 KMS 密钥加密、解密和重新加密数据。它还可以生成数据密钥，您可以在 Amazon KMS 之外使用这些密钥。通常，您将使用对称加密 KMS 密钥，但也可以创建和使用非对称 KMS 密钥来进行加密或签名，并创建和使用 HMAC KMS 密钥来生成和验证 HMAC 标签。

Amazon KMS key 是加密密钥的逻辑表示形式。KMS 密钥包含密钥 ID、密钥规范、密钥用法、创建日期、描述和密钥状态等元数据。最重要的是，其中包含对您使用 KMS 密钥运行加密操作时所用的密钥材料的引用。

您可以使用在经 Amazon KMS FIPS 验证的硬件安全模块中生成的加密密钥材料创建 KMS 密钥。对称 KMS 密钥的密钥材料和非对称 KMS 密钥的私有密钥永远不会让 Amazon KMS 处于未加密状态。要使用或管理 KMS 密钥，您必须使用 Amazon KMS。有关创建和管理 KMS 密钥的信息，请参阅 管理 密钥。有关使用 KMS 密钥的信息，请参阅 Amazon Key Management Service API 参考。

默认情况下，Amazon KMS 为 KMS 密钥创建密钥材料。您无法提取、导出、查看或管理此密钥材料。唯一的例外是非对称密钥对的公有密钥，您可以将其导出以供 Amazon 外部使用。此外，您无法删除此密钥材料；您必须删除 KMS 密钥。但是，您可以将自己的密钥材料导入 KMS 密钥，也可以使用自定义密钥存储来创建 KMS 密钥，这些密钥使用您的 Amazon CloudHSM 集群中的密钥材料，或者您在 Amazon 外部拥有和管理的外部密钥管理器中的密钥材料。

Amazon KMS 也支持多区域密钥，它允许您加密一个 Amazon Web Services 区域 中的数据，并在另一个 Amazon Web Services 区域 中解密该数据。

有关创建和管理 KMS 密钥的信息，请参阅 管理 密钥。有关使用 KMS 密钥的信息，请参阅 Amazon Key Management Service API 参考。

客户密钥和 Amazon 密钥

您创建的 KMS 密钥是客户托管式密钥。使用 KMS 密钥加密服务资源的 Amazon Web Services 通常会为您创建密钥。Amazon Web Services 在您的 Amazon 账户中创建的 KMS 密钥是 Amazon 托管式密钥。Amazon Web Services 在服务账户中创建的 KMS 密钥是 Amazon 拥有的密钥。

与 Amazon KMS 集成的 Amazon 服务在其对 KMS 密钥的支持方面有所不同。默认情况下，一些 Amazon 服务使用 Amazon 拥有的密钥 或 Amazon 托管式密钥 来加密您的数据。一些 Amazon 服务支持客户托管式密钥。还有一些其他 Amazon 服务支持所有类型的 KMS 密钥，从而使您能够轻松使用 Amazon 拥有的密钥、实现 Amazon 托管式密钥 的可见性或控制客户托管式密钥。有关 Amazon 服务提供的加密选项的详细信息，请参阅服务的用户指南或开发人员指南中的静态加密 主题。

客户托管密钥

您创建的 KMS 密钥是客户托管式密钥。客户托管密钥是在您的 Amazon Web Services 账户 中创建、拥有和管理的 KMS 密钥。您可以完全控制这些 KMS 密钥，包括建立和维护其密钥策略、IAM policy 和授权、启用和禁用它们、轮换其加密材料、添加标签、创建别名（引用了 KMS 密钥）以及计划删除 KMS 密钥。

客户托管密钥显示在 Amazon KMS 的 Amazon Web Services Management Console 的 Customer managed keys（客户托管密钥）页面上。要明确地标识客户托管密钥，请使用 DescribeKey 操作。对于客户托管密钥，DescribeKey 响应的 KeyManager 字段的值为 CUSTOMER。

您可以在加密操作中使用客户托管密钥并在 Amazon CloudTrail 日志中审核其使用情况。此外，许多与 Amazon KMS 集成的 Amazon 服务使您能够指定客户托管密钥以保护为您存储和管理的数据。

客户托管密钥会产生月费以及超过免费套餐使用量的费用。这些费用将计入您的账户的 Amazon KMS 配额。有关详细信息，请参阅 Amazon Key Management Service 定价和配额。

Amazon 托管式密钥

Amazon 托管式密钥 是由与 Amazon KMS 集成的 Amazon 服务代表您在账户中创建、管理和使用的 KMS 密钥。

某些 Amazon 服务可让您选择 Amazon 托管式密钥或客户托管的密钥，从而保护您在该服务中的资源。通常，除非您需要控制保护资源的加密密钥，否则 Amazon 托管式密钥是不错的选择。您不必创建或维护密钥或密钥策略，并且永远不会产生 Amazon 托管式密钥月度费用。

您有权查看账户中的 Amazon 托管式密钥、查看其密钥策略以及在 Amazon CloudTrail 日志中审核其使用情况。但是，您无法更改 Amazon 托管式密钥的任何属性、对它们进行轮换、更改其密钥策略或安排删除它们。此外，您无法在加密操作中直接使用 Amazon 托管式密钥；创建它们的服务将代表您使用它们。

Amazon 托管式密钥显示在 Amazon KMS 的 Amazon Web Services Management Console 的 Amazon 托管式密钥 页面上。您也可以按别名标识大多数 Amazon 托管式密钥，别名的格式为 aws/service-name，如 aws/redshift。要明确识别Amazon 托管式密钥，请使用DescribeKey操作。对于 Amazon 托管式密钥，DescribeKey 响应的 KeyManager 字段的值为 Amazon。

所有的 Amazon 托管式密钥 均每年自动轮换一次。您不能更改此轮换计划。

Amazon 托管式密钥没有月度费用。您需为超出免费套餐的使用量付费，但某些 Amazon 服务涵盖了这些费用。有关详细信息，请参阅服务的用户指南或开发人员指南中的静态加密主题。有关详细信息，请参阅 Amazon Key Management Service 定价。

Amazon 托管式密钥 不会计入您的账户各个区域中 KMS 密钥数量的资源配额。但是，当代表您账户中的委托人使用这些 KMS 密钥时，它们将计入请求配额。有关更多信息，请参阅 配额。

Amazon 拥有的密钥

Amazon 拥有的密钥 是 Amazon 服务拥有并管理以用于多个 Amazon Web Services 账户 中的 KMS 密钥的集合。虽然 Amazon 拥有的密钥 不在您的 Amazon Web Services 账户 中，但 Amazon 服务可以使用 Amazon 拥有的密钥 来保护您账户中的资源。

某些 Amazon 服务可让您选择 Amazon 拥有的密钥或客户托管的密钥。通常，除非您需要审核或控制保护资源的加密密钥，否则 Amazon 拥有的密钥是不错的选择。Amazon 拥有的密钥完全免费（没有月度费用或使用费用），它们不计入您账户的 Amazon KMS 配额，而且简单易用。您不必创建或维护该密钥或其密钥策略。

Amazon 拥有的密钥 的轮换因服务而异。有关特定 Amazon 拥有的密钥 转换的信息，请参阅服务的用户指南或开发人员指南中的静态加密主题。

对称加密 KMS 密钥

创建 Amazon KMS key后，默认情况下您将获得对称加密的 KMS 密钥。这是基本和最常用的 KMS 密钥类型。

在 Amazon KMS 中，对称加密 KMS 密钥表示 256 位 AES-GCM 加密密钥，但在中国区域，它表示 128 位 SM4 加密密钥。对称密钥材料绝不会让 Amazon KMS 处于未加密状态。要使用对称加密 KMS 密钥，您必须调用 Amazon KMS。对称加密密钥用在对称加密中，加密和解密采用的是相同的密钥。除非任务明确要求使用非对称加密，否则对称加密 KMS 密钥（永远不会让 Amazon KMS 处于未加密状态）是个不错的选择。

与 Amazon KMS 集成的 Amazon 服务仅使用对称加密 KMS 密钥加密您的数据。这些服务不支持使用非对称 KMS 密钥进行加密。要获取确定 KMS 密钥是对称还是非对称的帮助，请参阅 识别非对称 KMS 密钥。

从技术上讲，对称密钥的密钥规范是 SYMMETRIC_DEFAULT，密钥用法是 ENCRYT_DECHLOT，加密算法是 SYMMETRIC_DEFAULT。有关更多信息，请参阅 SYMMETRIC_DEFAULT 密钥规范。

在 Amazon KMS 中，可以使用对称加密 KMS 密钥加密、解密和重新加密数据，生成数据密钥和数据密钥对。您可以创建多区域对称加密 KMS 密钥，将自己的密钥材料导入对称加密 KMS 密钥中，并在自定义密钥存储中创建对称加密 KMS 密钥。有关您可以对不同类型 KMS 密钥执行的操作进行比较的表格，请参阅 密钥类型引用。

非对称 KMS 密钥

您可以在 Amazon KMS 中创建非对称 KMS 密钥。非对称 KMS 密钥表示数学上相关的公有密钥和私有密钥对。私有密钥永远不会让 Amazon KMS 处于未加密状态。要使用私有密钥，必须调用 Amazon KMS。您可以通过调用 Amazon KMS API 操作在 Amazon KMS 内使用公有密钥，也可以下载公有密钥并在 Amazon KMS 外部使用该密钥。您也可以创建多区域非对称 KMS 密钥。

您可以创建非对称 KMS 密钥，表示用于公有密钥加密或签名和验证的 RSA 密钥对或 SM2 密钥对（仅适用于中国区域），或表示用于签名和验证的椭圆曲线密钥对。

有关创建和使用非对称 KMS 密钥的更多信息，请参阅 Amazon KMS 中的非对称密钥。

HMAC KMS 密钥

HMAC KMS 密钥表示长度不同的对称密钥，用于生成和验证 HMAC 散列消息认证码。HMAC 密钥的密钥材料绝不会让 Amazon KMS 处于未加密状态。要使用 HMAC 密钥，请调用 GenerateMac 或 VerifyMac API 操作。

您也可以创建多区域 HMAC KMS 密钥。

有关创建和使用 HMAC KMS 密钥的更多信息，请参阅 Amazon KMS 中的 HMAC 密钥。

数据密钥

数据密钥是可用于加密数据的对称密钥，包括大量数据和其他数据加密密钥。与无法下载的对称 KMS 密钥不同的是，数据密钥可以返回给您在 Amazon KMS 外部使用。

当 Amazon KMS 生成数据密钥时，它会返回供立即使用的明文数据密钥（可选）和可以随数据安全存储的数据密钥的加密副本。准备好解密数据时，首先要求 Amazon KMS 解密已加密的数据密钥。

Amazon KMS 会生成、加密和解密数据密钥。但是，Amazon KMS 不会存储、管理或跟踪您的数据密钥，也不会使用数据密钥执行加密操作。您必须在 Amazon KMS 之外使用和管理数据密钥。有关安全使用数据密钥的帮助，请参阅 Amazon Encryption SDK。

创建数据密钥

要创建数据密钥，请调用该GenerateDataKey操作。 Amazon KMS生成数据密钥。然后，它会在您指定的对称加密 KMS 密钥下加密数据密钥的副本。此操作会返回数据密钥的明文副本以及由 KMS 密钥加密的数据密钥的副本。下图展示了此操作。

Amazon KMS还支持该GenerateDataKeyWithoutPlaintext操作，该操作仅返回加密的数据密钥。当您需要使用数据密钥时，请要求 Amazon KMS 解密它。

使用数据密钥加密数据

Amazon KMS 无法使用数据密钥来加密数据。但您可以在 Amazon KMS 之外使用数据密钥，例如使用 OpenSSL 或 Amazon Encryption SDK 等加密库。

在使用明文数据密钥加密数据后，请尽快从内存中将其删除。您可以安全地存储加密数据密钥及加密数据，以便其可根据需要用于解密数据。

使用数据密钥解密数据

要解密数据，请将加密数据密钥传递至 Decrypt 操作。Amazon KMS 使用您的 KMS 密钥解密数据密钥，然后再返回明文数据密钥。使用明文数据密钥解密数据，并尽快从内存中删除该明文数据密钥。

下图显示了如何使用 Decrypt 操作解密加密的数据密钥。

不可用的 KMS 密钥如何影响数据密钥

当 KMS 密钥不可用时，您可以立即发现（取决于最终一致性）。KMS 密钥的密钥状态会出现变更，以反映其新情况，并且加密操作中使用 KMS 密钥的所有请求都将失败。

但是，对由 KMS 密钥加密的数据密钥，以及由数据密钥加密的数据的影响会延迟，直至再次使用 KMS 密钥（例如用于解密数据密钥）。

KMS 密钥状态变为不可用的原因有许多，包括您可能执行的以下操作。

对于许多使用数据密钥来保护服务所管理的资源的 Amazon Web Services 来说，这种效果尤其重要。以下几个示例使用 Amazon Elastic Block Store（Amazon EBS）和 Amazon Elastic Compute Cloud（Amazon EC2）。不同的 Amazon Web Services 以不同方式使用数据密钥。有关详细信息，请参阅 Amazon Web Service 的“安全性”一章的“数据保护”部分。

例如，考虑以下情景：

数据密钥对

数据密钥对是由数学上相关的公有密钥和私有密钥组成的非对称数据密钥。它们设计用于 Amazon KMS 外部的客户端加密和解密或签名和验证。

与 OpenSSL 等工具生成的数据密钥对不同，Amazon KMS 会将每个数据密钥对中的私有密钥置于您指定的 Amazon KMS 中的对称加密 KMS 密钥的保护之下。但是，Amazon KMS 不会存储、管理或跟踪数据密钥对，也不会使用数据密钥对执行加密操作。您必须在 Amazon KMS 之外使用和管理数据密钥对。

Amazon KMS 支持以下类型的数据密钥对：

选择何种数据密钥对通常取决于使用案例或法规要求。大多数证书需要 RSA 密钥。椭圆曲线密钥通常用于数字签名。ECC_SECG_P256K1 密钥通常用于加密数字货币。Amazon KMS 建议您使用 ECC 密钥对进行签名，并将 RSA 密钥对用于加密或签名，但不能同时使用两者。然而，Amazon KMS 无法对 Amazon KMS 以外的数据密钥对使用强制实施任何限制。

创建数据密钥对

要创建数据 key pair，请调用GenerateDataKeyPair或GenerateDataKeyPairWithoutPlaintext操作。指定要用于加密私有密钥的对称加密 KMS 密钥。

GenerateDataKeyPair 返回一个明文公有密钥、一个明文私有密钥和一个加密的私有密钥。如果您即刻需要明文私有密钥，例如生成数字签名，则可使用此操作。

GenerateDataKeyPairWithoutPlaintext 返回一个明文公有密钥和一个加密的私有密钥，但不返回明文私有密钥。如果您并非即刻需要明文私有密钥，例如使用公有密钥进行加密，则可使用此操作。稍后，如果您需要明文私有密钥来解密数据，则可调用 Decrypt 操作。

下图显示了 GenerateDataKeyPair 操作。GenerateDataKeyPairWithoutPlaintext 操作省略了明文私有密钥。

使用数据密钥对加密数据

使用数据密钥对加密时，用该密钥对的公有密钥加密数据，然后用同一密钥对的私有密钥解密数据。通常，当多方需要加密数据，而只有持有私有密钥的一方才能解密该数据时，您可以使用数据密钥对。

持有公有密钥的多方使用该密钥加密数据，如下图所示。

使用数据密钥对解密数据

要解密数据，请使用数据密钥对中的私有密钥。为使操作成功，公有密钥和私有密钥必须来自同一数据密钥对，并且必须使用相同的加密算法。

要对加密的私有密钥进行解密，请将其传递给 Decrypt 操作。使用明文私有密钥解密数据。然后尽快从内存中删除明文私有密钥。

下图显示了如何使用数据密钥对中的私有密钥解密密文。

使用数据密钥对签署消息

要为消息生成加密签名，请使用数据密钥对中的私有密钥。持有公有密钥的任何人都可以使用该密钥来验证消息已使用私有密钥签名，并且自签名以后未曾更改。

如果加密私有密钥，请将加密的私有密钥传递给 Decrypt 操作。Amazon KMS 使用 KMS 密钥对数据密钥进行解密，然后返回明文私有密钥。使用明文私有密钥生成签名。然后尽快从内存中删除明文私有密钥。

要签署消息，请使用加密哈希函数（如 OpenSSL 中的 dgst 命令）创建消息摘要。然后，将明文私有密钥传递给签名算法。结果是一个表示消息内容的签名。（您可能无需先创建摘要即可签署较短的消息。最大消息大小因您使用的签名工具而异。）

下图显示了如何使用数据密钥对中的私有密钥签署消息。

使用数据密钥对验证签名

持有数据密钥对中公有密钥的任何人，都可以使用该密钥来验证使用私有密钥生成的签名。验证确认已授权用户使用指定的私有密钥和签名算法签署了消息，并且消息自签名以后未曾更改。

要使验证成功，验证签名的一方必须生成相同类型的摘要，使用相同的算法，并使用与用于签署消息的私有密钥相对应的公有密钥。

下图显示了如何使用数据密钥对中的公有密钥验证消息签名。

别名

使用别名作为 KMS 密钥的友好名称。例如，您可以将 KMS 密钥引用为 test-key，而不是 1234abcd-12ab-34cd-56ef-1234567890ab。

别名可以更轻松地识别 Amazon Web Services Management Console 中的 KMS 密钥。您可以使用别名在某些 Amazon KMS 操作中识别 KMS 密钥，包括加密操作。在应用程序中，您可以使用单个别名引用每个 Amazon Web Services 区域 中的不同 KMS 密钥。

您还可以根据 KMS 密钥的别名允许和拒绝访问 KMS 密钥，而无需编辑策略或管理授权。此功能是 Amazon KMS 对基于属性的访问控制 (ABAC) 的支持的一部分。有关更多信息，请参阅 Amazon KMS 中的 ABAC。

在 Amazon KMS 中，别名是独立的资源，而不是 KMS 密钥的属性。因此，您可以添加、更改和删除别名，而不会影响关联的 KMS 密钥。

了解更多：

自定义密钥存储

自定义密钥存储是由您拥有和管理的 Amazon KMS 之外的密钥管理器支持的 Amazon KMS 资源。在自定义密钥存储中使用 KMS 密钥进行加密操作时，加密操作实际上是在您的密钥管理器中使用加密密钥来执行。

Amazon KMS 支持由 Amazon CloudHSM 集群支持的 Amazon CloudHSM 密钥存储以及由 Amazon 之外的密钥管理器支持的外部密钥存储。

有关更多信息，请参阅 自定义密钥存储。

加密操作

在 Amazon KMS 中，加密操作 是使用 KMS 密钥保护数据的 API 操作。由于 KMS 密钥保留在 Amazon KMS 中，因此，您必须调用 Amazon KMS 才能在加密操作中使用 KMS 密钥。

要使用 KMS 密钥执行加密操作，请使用 Amazon 开发工具包、Amazon Command Line Interface (Amazon CLI) 或 Amazon Tools for PowerShell。无法在 Amazon KMS 控制台中执行加密操作。有关使用多种编程语言调用加密操作的示例，请参阅使用 Amazon KMS API 进行编程。

下表列出了 Amazon KMS 加密操作。它还显示操作中使用的 KMS 密钥的密钥类型和密钥使用要求。

[1] 生成受对称加密 KMS 密钥保护的非对称数据密钥对。

有关加密操作的权限的信息，请参阅 Amazon KMS 权限。

为了使 Amazon KMS 对所有用户具有响应性和较强的功能，Amazon KMS 为每秒可以调用的加密操作数设置了配额。有关更多信息，请参阅 加密操作的共享配额。

密钥标识符 (KeyId)

密钥标识符用作 KMS 密钥的名称。它们可帮助您在控制台中识别 KMS 密钥。您可以使用它们来指示要在 Amazon KMS API 操作、密钥策略、IAM policy 和授权中使用的 KMS 密钥。密钥标识符值跟与 KMS 密钥关联的密钥材料完全无关。

Amazon KMS 定义了多个密钥标识符。创建 KMS 密钥时，Amazon KMS 生成密钥 ARN 和密钥 ID，这些是 KMS 密钥的属性。创建别名时，Amazon KMS 会根据您定义的别名生成别名 ARN。您可以在 Amazon Web Services Management Console 和 Amazon KMS API 中查看密钥及别名标识符。

在 Amazon KMS 控制台中，您可以按密钥 ARN、密钥 ID 或别名名称查看和筛选 KMS 密钥，并可按密钥 ID 和别名排序。有关在控制台中查找密钥标识符的帮助，请参阅查找密钥 ID 和密钥 ARN。

在 Amazon KMS API 中，用于标识 KMS 密钥的参数名为 KeyId 或其变体（例如 TargetKeyId 或 DestinationKeyId）。但是，这些参数的值不限于密钥 ID。一些参数可以使用任意有效的密钥标识符。有关每个参数值的信息，请参阅 Amazon Key Management Service API 参考中的参数描述。

Amazon KMS 支持以下密钥标识符。

密钥材料

密钥材料是加密算法中使用的位串。秘密密钥材料必须保密，以保护使用它的加密操作。公有密钥材料旨在用于共享。

每个 KMS 密钥的元数据中都包含对其密钥材料的引用。对称加密 KMS 密钥的密钥材料源可能会有所不同。您可以使用 Amazon KMS 生成的密钥材料、在自定义密钥存储的 Amazon CloudHSM 集群中生成的密钥材料，或者导入自己的密钥材料。如果您将 Amazon KMS 密钥材料用于对称加密 KMS 密钥，您可以启用您的密钥材料自动轮换。

默认情况下，每个 KMS 密钥都具有唯一的密钥材料。但是，您可以使用相同的密钥材料创建一组多区域密钥。

密钥材料源

密钥材料源是标识 KMS 密钥中密钥材料的来源的 KMS 密钥属性。您在创建 KMS 密钥时选择密钥材料源，并且无法更改。密钥材料的来源会影响 KMS 密钥的安全性、耐久性、可用性、延迟和吞吐量特性。

要查找 KMS 密钥的密钥材料来源，请使用DescribeKey操作，或者在Amazon KMS控制台中查看 KMS 密钥详情页面的 “加密配置” 选项卡上的 O rigin 值。有关帮助信息，请参阅查看密钥。

KMS 密钥可以具有以下密钥材料源值之一。

密钥规范

密钥规范 是一种属性，用于表示密钥的加密配置。密钥规范的含义因密钥类型而异。

密钥用法

密钥用法属性决定密钥支持的加密操作。KMS 密钥的密钥用法可以是 ENCRYPT_DECRYPT、SIGN_VERIFY 或 GENERATE_VERIFY_MAC。每个 KMS 密钥都只能有一个密钥用法。将 KMS 密钥用于多种操作类型，会使两种操作的产物更容易受到攻击。

有关选择 KMS 密钥的密钥用法的帮助，请参阅 选择密钥用法。要查找 KMS 密钥的密钥使用情况，请使用DescribeKey操作，或者在Amazon KMS控制台中选择 KMS 密钥详情页面上的加密配置选项卡。有关帮助信息，请参阅查看密钥。

信封加密

在您加密数据后，数据将受到保护，但您必须保护加密密钥。一种策略是对其进行加密。信封加密 是一种加密方法，它使用数据密钥对明文数据进行加密，然后使用其他密钥对数据密钥进行加密。

您甚至可以使用其他加密密钥对数据加密密钥进行加密，并且在另一个加密密钥下加密该加密密钥。但是，最后，一个密钥必须以明文形式保留，以便您可以解密密钥和数据。此顶级明文密钥加密密钥称为根密钥。

Amazon KMS 可通过安全地存储和管理加密密钥来帮助您保护它们。存储在 Amazon KMS 中的根密钥（称为 Amazon KMS keys）绝不会让 Amazon KMS 经 FIPS 验证的硬件安全模块处于不加密状态。要使用 KMS 密钥，您必须调用 Amazon KMS。

信封加密可提供以下多种优势：

加密上下文

所有使用对称加密 KMS 密钥的 Amazon KMS 加密操作都接受“加密上下文”，它是一组包含有关数据的额外上下文信息的非机密可选键/值对。Amazon KMS 将加密上下文用作额外验证数据（AAD）以支持身份验证加密。

在加密请求中包含加密上下文时，它以加密方式绑定到密文，这样就需要相同的加密上下文来解密（或解密并重新加密）数据。如果解密请求中提供的加密上下文不是区分大小写的完全匹配，解密请求将失败。只有加密上下文中键/值对的顺序可以改变。

加密上下文不是密钥，且没有加密。它以明文显示在 Amazon CloudTrail 日志中，以便您可以使用它来标识和分类加密操作。您的加密上下文不应包含敏感信息。我们建议您的加密上下文描述正在加密或解密的数据。例如，在加密文件时，您可以将文件路径的一部分用作加密上下文。

"encryptionContext": {
    "department": "10103.0"
}    

例如，在加密使用亚马逊弹性块存储 (Amazon EBS) CreateSnapshot操作创建的卷和快照时，Amazon EBS 使用卷 ID 作为加密上下文值。

"encryptionContext": {
  "aws:ebs:id": "vol-abcde12345abc1234"
}

您还可以使用加密上下文来细化或限制对您账户中 Amazon KMS keys 的访问。您可以使用加密上下文作为授权中的约束，以及作为策略语句中的条件。

要了解如何使用加密上下文来保护加密数据的完整性，请参阅Amazon安全博客 EncryptionContext上的 “如何通过使用Amazon Key Management Service来保护加密数据的完整性” 一文。

有关加密上下文的更多信息。

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/RoleForExampleApp"
  },
  "Action": "kms:Decrypt",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:AppName": "ExampleApp"
    }
  }
}

$ aws kms create-grant \
    --key-id 1234abcd-12ab-34cd-56ef-1234567890ab \
    --grantee-principal arn:aws:iam::111122223333:user/exampleUser \
    --retiring-principal arn:aws:iam::111122223333:role/adminRole \
    --operations GenerateDataKey \
    --constraints EncryptionContextEquals={Purpose=Test}

$ aws kms generate-data-key \
    --key-id 1234abcd-12ab-34cd-56ef-1234567890ab \
    --key-spec AES_256 \
    --encryption-context Purpose=Test

密钥策略

在创建 KMS 密钥时，您可以确定可以使用和管理该 KMS 密钥的人员。这些权限包含在名为密钥策略的文档中。您可以使用密钥策略随时为客户托管密钥添加、删除或更改权限。但是，您无法编辑 Amazon 托管式密钥 的密钥策略。有关更多信息，请参阅 Amazon KMS 中的密钥策略。

授权

授权是一种策略分析工具，允许 Amazon 委托人将 Amazon KMS keys 用于加密操作中。它还可以让他们查看 KMS 密钥 (DescribeKey) 以及创建和管理授权。在授权访问 KMS 密钥时，将考虑授权与密钥策略和 IAM policy。授权通常用于临时权限，因为您可以在不更改密钥策略或 IAM policy 的情况下创建授权、使用其权限并将其删除。由于授权可能非常具体，并且易于创建和撤销，因此它们通常用于提供临时权限或更精细的权限。

有关授权（包括授权术语）的详细信息，请参阅 Amazon KMS 中的授权。

审核 KMS 密钥用法

您可以使用Amazon CloudTrail来审核密钥使用情况。 CloudTrail 创建包含您账户的 Amazon API 调用和相关事件历史记录的日志文件。这些日志文件包含通过 Amazon 管理控制台、Amazon 软件开发工具包和命令行工具发出的所有 Amazon KMS API 请求。日志文件还包含 Amazon 服务代表您向 Amazon KMS 发出的请求。您可以使用这些日志文件来查找重要信息，包括使用 KMS 密钥的时间、所请求的操作、请求者的身份以及源 IP 地址。有关更多信息，请参阅 使用 Amazon CloudTrail 进行日志记录 和 Amazon CloudTrail 用户指南。

密钥管理基础设施

加密术的常见做法是使用公开可用且经过同行评审的算法进行加密和解密，例如使用 AES (高级加密标准) 和私有密钥。加密术的主要问题之一是很难保持密钥的私密性。这通常是密钥管理基础设施 (KMI) 的工作。Amazon KMS 可为您操作密钥基础设施。Amazon KMS 会创建并安全地存储称为 Amazon KMS keys 的根密钥。有关 Amazon KMS 如何操作的更多信息，请参阅 Amazon Key Management Service 加密详细信息。