创建密钥

可以在Amazon KMS keys中创建Amazon Web Services Management Console，也可以使用CreateKey操作或Amazon CloudFormation模板创建。在此过程中，您可以选择 KMS 密钥的类型、其区域性（单区域或多区域）以及密钥材料的来源（默认由 Amazon KMS 为您创建密钥材料）。创建 KMS 密钥后，这些属性无法更改。您还可以设置 KMS 密钥的密钥策略，可以随时更改该策略。

本主题介绍如何创建基本 KMS 密钥、对称加密 KMS 密钥用于具有来自 Amazon KMS 的密钥材料的单区域。您可以在 Amazon Web Service 中使用此 KMS 密钥保护您的资源。有关对称加密 KMS 密钥的详细信息，请参阅 SYMMETRIC_DEFAULT 密钥规范。有关创建其他类型密钥的帮助，请参阅 特殊用途密钥。

如果您要创建 KMS 密钥来加密在 Amazon 服务中存储或管理的数据，请创建对称加密 KMS 密钥。与 Amazon KMS 集成的 Amazon 服务仅使用对称加密 KMS 密钥来加密您的数据。这些服务不支持使用非对称 KMS 密钥进行加密。有关如何确定要创建的 KMS 密钥类型的帮助信息，请参阅 选择一种 KMS 密钥类型。

当您在 Amazon KMS 控制台中创建 KMS 密钥时，需要为其指定一个别名（友好名称）。CreateKey 操作不会为新 KMS 密钥创建别名。要为新的或现有的 KMS 密钥创建别名，请使用CreateAlias操作。有关在 Amazon KMS 中的别名的详细信息，请参阅 使用别名。

本主题介绍如何创建对称加密 KMS 密钥。

了解更多：

创建 KMS 密钥的权限

要在控制台中或使用 API 创建 KMS 密钥，您必须在 IAM policy 中具有以下权限。在可能的情况下，使用条件键来限制权限。例如，您可以使用 IAM p olicy 中的 kms:KeySpec 条件键，允许主体仅创建对称加密密钥。

有关创建密钥的委托人的 IAM policy 的示例，请参阅 允许用户创建 KMS 密钥。

创建 KMS 密钥不需要 kms:PutKeyPolicy 权限。kms:CreateKey 权限包括设置初始密钥策略的权限。但是，您必须在创建 KMS 密钥时将此权限添加到密钥策略中，以确保您可以控制对 KMS 密钥的访问。替代方法是使用BypassLockoutSafetyCheck参数，不建议这样做。

KMS 密钥属于创建它们的 Amazon 账户。创建 KMS 密钥的 IAM 用户不会被视为密钥的拥有者，且他们不会自动获得使用或管理自己所创建 KMS 密钥的权限。与任何其他主体一样，密钥创建者需要通过密钥策略、IAM policy 或授权获得权限。但是，拥有 kms:CreateKey 权限的主体可以设置初始密钥策略，并授予自己使用或管理密钥的权限。

创建对称加密 KMS 密钥

您可以在 Amazon Web Services Management Console 中或使用 Amazon KMS API 创建 KMS 密钥。

本主题介绍如何创建基本 KMS 密钥、对称加密 KMS 密钥用于具有来自 Amazon KMS 的密钥材料的单区域。您可以在 Amazon Web Service 中使用此 KMS 密钥保护您的资源。有关创建其他类型密钥的帮助，请参阅 特殊用途密钥。

创建对称加密 KMS 密钥（控制台）

您可以使用 Amazon Web Services Management Console 创建 Amazon KMS keys（KMS 密钥）。

创建对称加密 KMS 密钥（Amazon KMS API）

您可以使用该CreateKey操作来创建Amazon KMS keys所有类型。这些示例使用 Amazon Command Line Interface (Amazon CLI)，但您可以使用任何受支持的编程语言。

以下操作会创建最常用的 KMS 密钥，这是由 Amazon KMS 生成的密钥材料提供支持的、单个区域中的对称加密密钥。该操作没有必需参数。不过，您可能还希望使用 Policy 参数指定密钥策略。您可以随时更改密钥策略 (PutKeyPolicy) 并添加可选元素，例如描述和标签。您还可以创建非对称密钥、多区域密钥、具有导入密钥材料的密钥以及自定义密钥存储中的密钥。

$ aws kms create-key
{
    "KeyMetadata": {
        "Origin": "AWS_KMS",
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "Description": "",
        "KeyManager": "CUSTOMER",
        "Enabled": true,
        "KeySpec": "SYMMETRIC_DEFAULT",
        "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "KeyState": "Enabled",
        "CreationDate": 1502910355.475,
        "Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "AWSAccountId": "111122223333",
        "MultiRegion": false
        "EncryptionAlgorithms": [
            "SYMMETRIC_DEFAULT"
        ],
    }
}

$ aws kms get-key-policy --key-id 1234abcd-12ab-34cd-56ef-1234567890ab --policy-name default --output text
{
  "Version" : "2012-10-17",
  "Id" : "key-default-1",
  "Statement" : [ {
    "Sid" : "Enable IAM policies",
    "Effect" : "Allow",
    "Principal" : {
      "AWS" : "arn:aws:iam::111122223333:root"
    },
    "Action" : "kms:*",
    "Resource" : "*"
  } ]
}