Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

计划导入密钥材料

导入的密钥材料允许您在生成的加密密钥下保护您的 Amazon 资源。您导入的密钥材料与特定的 KMS 密钥相关联。您可以将相同的密钥材料重新导入到同一 KMS 密钥中，但不能将不同的密钥材料导入 KMS 密钥，也无法将专为导入的密钥材料设计的 KMS 密钥转换为带有密钥材料的 KMS Amazon KMS 密钥。

了解更多：

关于导入的密钥材料

在决定将密钥材料导入之前 Amazon KMS，您应该了解导入的密钥材料的以下特征。

保护导入的密钥材料

您导入的密钥材料在传输中和静态时都受到保护。在导入密钥材料之前，您需要使用在 FIPS 140-2 加密模块验证计划下验证的 Amazon KMS 硬件安全模块 (HSM) 中生成的 RSA 密钥对的公钥来加密（或 “包装”）密钥材料。您可以使用包装公有密钥直接加密密钥材料，也可以使用 AES 对称密钥加密密钥材料，然后使用 RSA 公有密钥加密 AES 对称密钥。

收到后，使用 HSM 中的相应私钥对 Amazon KMS 密钥材料进行解密，然后使用仅存在于 Amazon KMS HSM 易失性存储器中的 AES 对称密钥对其进行重新加密。您的密钥材料绝不会让 HSM 处于纯文本状态。它仅在使用时解密，并且仅在 HSM 中 Amazon KMS 解密。

您的 KMS 密钥与导入的密钥材料的使用完全取决于您在 KMS 密钥上设置的访问控制策略。此外，您还可以使用别名和标签来识别和控制对 KMS 密钥的访问。您可以启用和禁用密钥，查看和编辑其属性，并使用类似于 Amazon CloudTrail的服务对其进行监控。

但是，您将保留密钥材料的唯一故障保护副本。作为这种额外控制措施的回报，您应对进口密钥材料的耐用性和整体可用性负责。 Amazon KMS 旨在保持导入的密钥材料的高可用性。但是 Amazon KMS 不能将进口密钥材料的耐久性保持在与 Amazon KMS 生成的密钥材料相同的水平。

在以下情况下，这种持久性的差异是有意义的：

您必须在您控制的系统之外保留一份导入 Amazon 的密钥材料的副本。我们建议您将导入的密钥材料的可导出副本存储在密钥管理系统中，例如 HSM。如果您导入的密钥材料被删除或过期，则其关联的 KMS 密钥将无法使用，直到您重新导入相同的密钥材料。如果您导入的密钥材料永久丢失，则以 KMS 密钥加密的任何加密文字都将无法恢复。

导入密钥材料的权限

要使用导入的密钥材料创建和管理 KMS 密钥，用户需要在此过程中执行操作的权限。在您创建 KMS 密钥时，您可以在密钥策略中提供 kms:GetParametersForImport、kms:ImportKeyMaterial 和 kms:DeleteImportedKeyMaterial 权限。在 Amazon KMS 控制台中，当您使用外部密钥材料来源创建密钥时，会自动为密钥管理员添加这些权限。

若要使用导入的密钥材料创建 KMS 密钥，委托人需要以下权限。

要重新导入导入的密钥材料，委托人需要 k ms: GetParametersForImport 和 kms: ImportKeyMaterial 权限。

要删除导入的密钥材料，委托人需要 kms: DeleteImportedKeyMaterial 权限。

例如，要授予示例使用导入的密钥材料管理 KMS 密钥所有方面的 KMSAdminRole 权限，请在 KMS 密钥的密钥策略中加入如下所示的密钥策略声明。

{
  "Sid": "Manage KMS keys with imported key material",
  "Effect": "Allow",
  "Resource": "*",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/KMSAdminRole"
  },
  "Action": [
    "kms:GetParametersForImport",
    "kms:ImportKeyMaterial",
    "kms:DeleteImportedKeyMaterial"
  ]  
}

导入密钥材料的要求

您导入的密钥材料必须与相关 KMS 密钥的密钥规范兼容。对于非对称密钥对，仅导入密钥对的私钥。 Amazon KMS 从私钥派生公钥。

Amazon KMS 支持使用导入的密钥材料的 KMS 密钥的以下密钥规范。在中国区域，只有 SYMMETRIC_DEFAULT 密钥规范支持导入的密钥材料。