创建非对称 KMS 密钥 - Amazon Key Management Service
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

创建非对称 KMS 密钥

您可以在 Amazon KMS 控制台中，通过使用 CreateKey API 或通过使用 AWS::KMS::Key Amazon CloudFormation 模板创建非对称 KMS 密钥。非对称 KMS 密钥表示可用于加密、签名或派生共享密钥的公有密钥和私有密钥对。私有密钥保留在 Amazon KMS 内。要下载公有密钥在 Amazon KMS 外部使用，请参阅 下载公有密钥。

创建非对称 KMS 密钥时，必须选择密钥规范。通常，选择哪个密钥规范取决于法规、安全或业务要求。也可能受需要加密或签名的消息大小的影响。一般来说，加密密钥越长，对暴力攻击的抵抗力越强。有关所有支持的密钥规范的详细说明，请参阅密钥规范引用。

与 Amazon KMS 集成的 Amazon 服务不支持非对称 KMS 密钥。如果要创建 KMS 密钥来加密在 Amazon 服务中存储或管理的数据，请创建对称加密 KMS 密钥。

有关创建 KMS 密钥所需权限的信息，请参阅 创建 KMS 密钥的权限。

您可以使用 Amazon Web Services 管理控制台 创建非对称 Amazon KMS keys（KMS 密钥）。每个非对称 KMS 密钥表示一个公有密钥和私有密钥对。

重要

不要在别名、描述或标签中包含机密或敏感信息。这些字段可能以纯文本形式出现在 CloudTrail 日志和其他输出中。

  1. 登录到 Amazon Web Services 管理控制台，然后通过以下网址打开 Amazon Key Management Service（Amazon KMS）控制台：https://console.aws.amazon.com/kms。

  2. 要更改 Amazon Web Services 区域，请使用页面右上角的区域选择器。

  3. 在导航窗格中，选择客户托管密钥。

  4. 选择创建密钥。

  5. 要创建非对称 KMS 密钥，请在 Key type（密钥类型）中选择 Asymmetric（非对称）。

  6. 要创建用于公有密钥加密的非对称 KMS 密钥，请在 Key usage（密钥用法）中选择 Encrypt and decrypt（加密和解密）。

    要创建用于签署消息和验证签名的非对称 KMS 密钥，请在密钥用法中选择签名和验证。

    要创建用于派生共享密钥的非对称 KMS 密钥，请在密钥用法中，选择密钥协议。

    有关选择密钥用法值的帮助信息，请参阅选择要创建的 KMS 密钥的类型。

  7. 为非对称 KMS 密钥选择规范（密钥规范）。

  8. 选择下一步。

  9. 为 KMS 密钥键入别名。别名名称不能以 aws/ 开头。aws/ 前缀由 Amazon Web Services 预留，用于在您的账户中表示 Amazon 托管式密钥。

    别名是您可以用于标识控制台和一些 Amazon KMS API 中的 KMS 密钥的友好名称。我们建议您选择一个别名，用来指示您计划保护的数据类型或计划与 KMS 密钥搭配使用的应用程序。

    在 Amazon Web Services 管理控制台 中创建 KMS 密钥时需要别名。您不能在使用 CreateKey 操作时指定别名，但您可以使用控制台或 CreateAlias 操作为现有 KMS 密钥创建别名。有关更多信息，请参阅 Amazon KMS 中的别名。

  10. （可选）为 KMS 密钥键入描述。

    输入一个描述，用来说明您计划保护的数据类型或计划与 KMS 密钥配合使用的应用程序。

    现在，除非密钥状态为 Pending Deletion 或 Pending Replica Deletion，否则您可以随时添加描述或更新描述。要添加、更改或删除现有客户管理密钥的描述，请在详细信息页面上编辑对 Amazon Web Services 管理控制台 中 KMS 密钥的描述，或使用 UpdateKeyDescription 操作。

  11. (可选) 键入标签键和一个可选标签值。要向 KMS 密钥添加多个标签，请选择 Add tag（添加标签）。

    在将标签添加到 Amazon 资源时，Amazon 可生成成本分配报告，其中按标签汇总了使用情况和成本。标签还可以用来控制对 KMS 密钥的访问。有关轮换 KMS 密钥的信息，请参阅 Amazon KMS 中的标签 和 Amazon KMS 中的 ABAC。

  12. 选择下一步。

  13. 选择可管理 KMS 密钥的 IAM 用户和角色。

    备注

    此密钥策略将授予 Amazon Web Services 账户 对此 KMS 密钥的完全控制权。此控制权允许账户管理员使用 IAM policy 授予其他主体管理 KMS 密钥的权限。有关更多信息，请参阅 默认密钥策略。

    IAM 最佳实践不鼓励使用具有长期凭证的 IAM 用户。而应尽可能使用提供临时凭证的 IAM 角色。有关更多信息，请参阅《IAM 用户指南》中的 IAM 安全最佳实践。

    Amazon KMS 控制台会在语句标识符 "Allow access for Key Administrators" 下将密钥管理员添加到密钥策略中。如果修改此语句标识符，则可能会影响控制台显示您对该语句所做修改的方式。

  14. （可选）要阻止选定 IAM 用户和角色删除此 KMS 密钥，请在页面底部的 Key deletion（密钥删除）部分中，清除 Allow key administrators to delete this key（允许密钥管理员删除此密钥）复选框。

  15. 选择下一步。

  16. 选择可将 KMS 密钥用于加密操作的 IAM 用户和角色。

    备注

    IAM 最佳实践不鼓励使用具有长期凭证的 IAM 用户。而应尽可能使用提供临时凭证的 IAM 角色。有关更多信息，请参阅《IAM 用户指南》中的 IAM 安全最佳实践。

    Amazon KMS 控制台会在语句标识符 "Allow use of the key" 和 "Allow attachment of persistent resources" 下将密钥管理员添加到密钥策略中。如果修改这些语句标识符，则可能会影响控制台显示您对该语句所做修改的方式。

  17. （可选）您可以允许其他 Amazon Web Services 账户 将此 KMS 密钥用于加密操作。为此，请在页面底部的其他 Amazon Web Services 账户部分中选择添加其他 Amazon Web Services 账户，然后输入外部账户的 Amazon Web Services 账户 标识号。要添加多个外部账户，请重复此步骤。

    注意

    若要允许外部账户中的主体使用 KMS 密钥，外部账户的管理员必须创建提供这些权限的 IAM policy。有关更多信息，请参阅 允许其他账户中的用户使用 KMS 密钥。

  18. 选择下一步。

  19. 检查密钥的密钥策略语句。要对密钥策略进行更改，请选择编辑。

  20. 选择下一步。

  21. 检视您选择的密钥设置。您仍然可以返回并更改所有设置。

  22. 选择 Finish（完成）以创建 KMS 密钥。

您可以使用 CreateKey 操作创建非对称 Amazon KMS key。这些示例使用 Amazon Command Line Interface (Amazon CLI)，但您可以使用任何受支持的编程语言。

创建非对称 KMS 密钥时，必须指定 KeySpec 参数，该参数决定了所创建的密钥类型。此外，还必须指定 KeyUsage 值是 ENCRYPT_DECRYPT、SIGN_VERIFY 还是 KEY_AGREEMENT。创建 KMS 密钥后，这些属性无法更改。

CreateKey 操作不允许您指定别名，但您可以使用 CreateAlias 操作为新 KMS 密钥创建别名。

重要

不要在 Description 或 Tags 字段中包含机密或敏感信息。这些字段可能以纯文本形式出现在 CloudTrail 日志和其他输出中。

创建非对称 KMS 密钥对用于公共加密

以下示例使用 CreateKey 操作，创建一个 4096 位 RSA 密钥的非对称 KMS 密钥，用于公有密钥加密。

$ aws kms create-key --key-spec RSA_4096 --key-usage ENCRYPT_DECRYPT
{
    "KeyMetadata": {
        "KeyState": "Enabled",
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "KeyManager": "CUSTOMER",
        "Description": "",
        "Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "CreationDate": 1569973196.214,
        "MultiRegion": false,
        "KeySpec": "RSA_4096",
        "CustomerMasterKeySpec": "RSA_4096",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "EncryptionAlgorithms": [
            "RSAES_OAEP_SHA_1",
            "RSAES_OAEP_SHA_256"
        ],
        "AWSAccountId": "111122223333",
        "Origin": "AWS_KMS",
        "Enabled": true
    }
}
创建非对称 KMS 密钥对用于签名和验证

以下示例命令创建一个非对称 KMS 密钥，表示一对用于签名和验证的 ECC 密钥。不能创建用于加密和解密的椭圆曲线密钥对。

$ aws kms create-key --key-spec ECC_NIST_P521 --key-usage SIGN_VERIFY
{
    "KeyMetadata": {
        "KeyState": "Enabled",
        "KeyId": "0987dcba-09fe-87dc-65ba-ab0987654321",
        "CreationDate": 1570824817.837,
        "Origin": "AWS_KMS",
        "SigningAlgorithms": [
            "ECDSA_SHA_512"
        ],
        "Arn": "arn:aws:kms:us-west-2:111122223333:key/0987dcba-09fe-87dc-65ba-ab0987654321",
        "AWSAccountId": "111122223333",
        "KeySpec": "ECC_NIST_P521",
        "CustomerMasterKeySpec": "ECC_NIST_P521",
        "KeyManager": "CUSTOMER",
        "Description": "",
        "Enabled": true,
        "MultiRegion": false,
        "KeyUsage": "SIGN_VERIFY"
    }
}
创建非对称 KMS 密钥对，用于派生共享密钥

以下示例命令创建一个非对称 KMS 密钥，表示一对用于派生共享密钥的 ECDH 密钥。不能创建用于加密和解密的椭圆曲线密钥对。

$ aws kms create-key --key-spec ECC_NIST_P256 --key-usage KEY_AGREEMENT
{
    "KeyMetadata": {
        "AWSAccountId": "111122223333",
        "KeyId": "0987dcba-09fe-87dc-65ba-ab0987654321",
        "Arn": "arn:aws:kms:us-west-2:111122223333:key/0987dcba-09fe-87dc-65ba-ab0987654321",
        "CreationDate": "2023-12-27T19:10:15.063000+00:00",
        "Enabled": true,
        "Description": "",
        "KeyUsage": "KEY_AGREEMENT",
        "KeyState": "Enabled",
        "Origin": "AWS_KMS",
        "KeyManager": "CUSTOMER",
        "CustomerMasterKeySpec": "ECC_NIST_P256",
        "KeySpec": "ECC_NIST_P256",
        "KeyAgreementAlgorithms": [
            "ECDH"
        ],
        "MultiRegion": false
    }
}