本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
外部密钥存储
外部密钥存储允许您使用外部的加密密钥来保护您的 Amazon 资源。 Amazon此高级功能专为受监管的工作负载设计，这些工作负载必须使用存储在您控制的外部密钥管理系统中的加密密钥加以保护。外部密钥存储支持Amazon 数字主权承诺
外部密钥存储库是由您拥有并在外部管理的外部密钥管理器支持的自定义密钥存储库 Amazon。您的外部密钥管理器可以是实体或虚拟硬件安全模块（HSM），也可以是任何能够生成和使用加密密钥的基于硬件或软件的系统。在外部密钥存储中使用 KMS 密钥的加密和解密操作，由您的外部密钥管理器使用加密密钥材料执行，该功能称为持有自己的密钥（HYOK）。
Amazon KMS 切勿直接与外部密钥管理器交互，也无法创建、查看、管理或删除您的密钥。相反，仅与您提供的外部密钥存储代理（XKS 代理）软件进行 Amazon KMS 交互。您的外部密钥存储代理负责调解与您的外部密钥管理器 Amazon KMS 之间的所有通信。它会将来自 Amazon KMS 您的外部密钥管理器的所有请求传送回您的外部密钥管理器，并将来自外部密钥管理器的响应传回到。 Amazon KMS外部密钥存储代理还将来自 Amazon KMS 的通用请求转换为外部密钥管理器可以理解的供应商特定格式，允许您将外部密钥存储与来自不同供应商的密钥管理器一起使用。
您可以在外部密钥存储中使用 KMS 密钥进行客户端加密，包括使用 Amazon Encryption SDK。但是外部密钥存储是服务器端加密的重要资源，它允许您使用外部的加密密钥对 Amazon 资源 Amazon Web Services 进行多重保护。 Amazon Amazon Web Services
支持用于对称加密的客户托管密钥还支持外部密钥存储中的 KMS 密钥。有关服务支持的详细信息，请参阅 Amazon 服务集成
外部密钥存储允许您 Amazon KMS 用于受监管的工作负载，在这些工作负载中，加密密钥必须在外部存储和使用 Amazon。不过，这样的工作负载与标准责任共担模型相去甚远，会造成额外的运营负担。对大多数客户而言，可用性和延迟的更大风险将超过外部密钥存储的预期安全优势。
外部密钥存储允许您控制信任根密钥。在外部密钥存储中以 KMS 密钥加密的数据，只能使用您控制的外部密钥管理器进行解密。如果您暂时撤消对外部密钥管理器的访问权限，例如断开外部密钥存储库的连接或断开外部密钥管理器与外部密钥存储代理的连接，则在恢复加密密钥之前，将 Amazon 失去对加密密钥的所有访问权限。在此期间，无法解密以 KMS 密钥加密的加密文字。如果您永久撤消对外部密钥管理器的访问权限，在外部密钥存储中以 KMS 密钥加密的所有加密文字都不可恢复。唯一的例外是那些会短暂缓存受您的 KMS 密钥保护的数据密钥的 Amazon 服务。这些数据密钥将继续有效，直到您停用资源或缓存过期。有关更多信息，请参阅 不可用的 KMS 密钥如何影响数据密钥。
外部密钥存储可以解锁受监管工作负载的少数用例，在这些用例中，加密密钥必须完全由您控制且无法访问 Amazon。不过，这是您运营基于云的基础设施方式的重大变化，也是责任共担模型的重大转变。对大多数工作负载而言，额外的运营负担以及可用性和性能的更大风险将超过外部密钥存储所带来的预期安全优势。
了解更多：
Amazon 新闻博客中的宣布推出 Amazon KMS 外部密钥存储
。
我需要外部密钥存储吗？
对于大多数用户而言，受 FIPS 140-2 Security Level 3 验证的硬件安全模块保护的默认 Amazon KMS 密钥存储可以满足他们的安全
在考虑外部密钥存储时，请花一些时间了解备选方案，包括由您拥有和管理的 Amazon CloudHSM 集群支持的 Amazon CloudHSM 密钥存储，以及在您自己的 HSM 中生成并可以按需从 KMS 密钥中删除的带有导入密钥材料的 KMS 密钥。特别要注意的是，导入过期间隔非常短的密钥材料可以提供类似级别的控制，却不会带来性能或可用性风险。
如果您有以下要求，则外部密钥存储可能是适合您组织的解决方案：
-
您需要在本地密钥管理器中使用加密密钥，或者在您控制范围之外的密钥管理器中使用加密密钥。 Amazon
-
您必须证明，在云端之外，您加密密钥的保留完全由自己控制。
-
您必须使用具有独立授权的加密密钥进行加密和解密。
-
密钥材料必须受辅助、独立的审计路径的约束。
如果您选择外部密钥存储，请将其使用限制在需要使用 Amazon之外的加密密钥进行保护的工作负载。
责任共担模式
标准 KMS 密钥使用在 Amazon KMS 拥有和管理的 HSM 中生成和使用的密钥材料。您可以在 KMS 密钥上建立访问控制策略，并配置 Amazon Web Services 该策略使用 KMS 密钥来保护您的资源。 Amazon KMS 负责您的 KMS 密钥中密钥材料的安全性、可用性、延迟和耐久性。
外部密钥存储中的 KMS 密钥依赖外部密钥管理器中的密钥材料和操作。因此，责任的天平朝着您的方向移动。您对外部密钥管理器中加密密钥的安全性、可靠性、耐用性和性能负责。 Amazon KMS 负责迅速响应请求并与您的外部密钥存储代理进行通信，并负责维护我们的安全标准。为确保每个外部密钥存储的密文至少与标准密文一样强，请 Amazon KMS 先使用您的 KMS Amazon KMS 密钥特有的 Amazon KMS 密钥材料对所有明文进行加密，然后将其发送给您的外部密钥管理器以使用您的外部密钥进行加密，这种过程称为双重加密。因此，无论是 Amazon KMS 还是外部密钥材料的所有者，都无法单独解密双重加密的加密文字。
您要对以下事项负责：维护符合您监管和性能标准的外部密钥管理器，提供和维护符合 Amazon KMS 外部密钥存储代理 API 规范
查看 Amazon KMS 记录外部密钥存储的 Amazon CloudWatch 指标和维度。 Amazon KMS 强烈建议您创建 CloudWatch 警报来监控您的外部密钥存储，这样您就可以在性能和操作问题出现之前检测到这些问题的早期迹象。
发生了什么变化？
外部密钥存储仅支持对称加密 KMS 密钥。在内部 Amazon KMS，您使用和管理外部密钥存储库中的 KMS 密钥的方式与管理其他客户托管密钥的方式大致相同，包括设置访问控制策略和监控密钥使用情况。您可以使用具有相同参数的相同 API 来请求使用了外部密钥存储中的 KMS 密钥的加密操作，该外部密钥存储可用于任何 KMS 密钥。定价也与标准 KMS 密钥相同。有关详细信息，请参阅 在外部密钥存储中管理 KMS 密钥、在外部密钥存储中使用 KMS 密钥 和 Amazon Key Management Service
定价
不过，使用外部密钥存储时，以下原则会发生变化：
-
您对密钥操作的可用性、持久性和延迟负责。
-
您对外部密钥管理器系统的开发、购买、运营和许可的所有费用负责。
-
您可以对来自 Amazon KMS 外部密钥存储代理的所有请求实施独立授权。
-
您可以监控、审核和记录外部密钥存储代理的所有操作以及外部密钥管理器中与 Amazon KMS 请求相关的所有操作。
从何处开始？
要创建和管理外部密钥存储，您需要选择外部密钥存储代理连接选项、汇编先决条件，然后创建和配置外部密钥存储。要开始使用，请参阅 规划外部密钥存储。
配额
Amazon KMS 允许每个 Amazon Web Services 账户 和区域中最多有 10 个自定义密钥存储库，包括Amazon CloudHSM 密钥存储库和外部密钥存储库，无论其连接状态如何。此外，使用外部密钥存储中 KMS 密钥 存在 Amazon KMS 请求限额。
如果您为外部密钥存储代理选择 VPC 代理连接，则所需组件（例如 VPC、子网和网络负载均衡器）也可能存在限额。有关这些限额的信息，请使用服务限额控制台
区域
为了最大限度地减少网络延迟，请在离外部密钥管理器最近的 Amazon Web Services 区域 中创建外部密钥存储组件。如果可行，请选择网络往返时间（RTT）不超过 35 毫秒的区域。
除中国（北京）和中国（宁夏）外， Amazon KMS 所有支持外部密钥存储的 Amazon Web Services 区域 地区均支持外部密钥存储。
不支持的功能
Amazon KMS 不支持自定义密钥存储库中的以下功能。
外部密钥存储概念
本主题介绍了外部密钥存储中用到的一些概念。
外部密钥存储
外部密钥存储库是由您拥有和管理的外部密钥管理器支持的 Amazon KMS 自定义密钥存储库。 Amazon 外部密钥存储中的每个 KMS 密钥都与您外部密钥管理器中的外部密钥相关联。在外部密钥存储中使用 KMS 密钥进行加密或解密时，该操作将在您的外部密钥管理器中使用您的外部密钥执行，这种安排称为持有自己的密钥（HYOK）。此功能专为需要在自己的外部密钥管理器中维护加密密钥的组织设计。
外部密钥存储可确保保护您的 Amazon 资源的加密密钥和操作保留在您的外部密钥管理器中，由您控制。 Amazon KMS 向您的外部密钥管理器发送请求以加密和解密数据，但 Amazon KMS 无法创建、删除或管理任何外部密钥。来自 Amazon KMS 外部密钥管理器的所有请求均由您提供、拥有和管理的外部密钥存储代理软件组件进行中介。
Amazon 支持 Amazon KMS 客户托管密钥的服务可以使用外部密钥存储区中的 KMS 密钥来保护您的数据。因此，您的数据最终由使用您外部密钥管理器中的加密操作的密钥进行保护。
与标准 KMS 密钥相比，外部密钥存储中的 KMS 密钥具有根本上不同的信任模型、责任共担安排和性能预期。使用外部密钥存储时，您要对密钥材料和加密操作的安全性和完整性负责。外部密钥存储中 KMS 密钥的可用性和延迟情况，受硬件、软件、网络组件以及 Amazon KMS 与外部密钥管理器之间的距离的影响。您还可能会为外部密钥管理器以及外部密钥管理器与之通信所需的网络和负载平衡基础设施支付额外费用 Amazon KMS
您可以将外部密钥存储作为更广泛的数据保护策略的一部分加以使用。对于您保护的每项 Amazon 资源，您可以决定哪些资源需要在外部密钥存储中使用 KMS 密钥，哪些可以由标准 KMS 密钥保护。这可以让您灵活地为特定的数据分类、应用程序或项目选择 KMS 密钥。
外部密钥管理器
外部密钥管理器是 Amazon 之外的组件，可以生成 256 位 AES 对称密钥并执行对称加密和解密。外部密钥存储的外部密钥管理器，可以是实体硬件安全模块（HSM）、虚拟 HSM 或带/不带 HSM 组件的软件密钥管理器。它可以位于外部的任何地方 Amazon，包括您的本地、本地或远程数据中心或任何云中。您的外部密钥存储可以由单个外部密钥管理器提供支持，也可以由共享加密密钥的多个相关密钥管理器实例（例如 HSM 集群）提供支持。外部密钥存储旨在支持来自不同供应商的各种外部管理器。有关外部密钥管理器要求的详细信息，请参阅 规划外部密钥存储。
外部密钥
外部密钥存储中的每个 KMS 密钥都与外部密钥管理器中的加密密钥（称为外部密钥）相关联。在使用外部密钥存储中的 KMS 密钥加密或解密时，将使用外部密钥在外部密钥管理器中执行加密操作。
警告
外部密钥对 KMS 密钥的操作至关重要。如果外部密钥丢失或遭删除，则以相关 KMS 密钥加密的加密文字将无法恢复。
使用外部密钥存储时，外部密钥必须是已启用且可以执行加密和解密的 256 位 AES 密钥。有关详细的外部密钥要求，请参阅 外部密钥存储中 KMS 密钥的要求。
Amazon KMS 无法创建、删除或管理任何外部密钥。您的加密密钥材料永远不会离开外部密钥管理器。在外部密钥存储中创建 KMS 密钥时，您需要提供外部密钥的 ID（XksKeyId）。您无法更改与 KMS 密钥关联的外部密钥 ID，即便外部密钥管理器可以轮换与外部密钥 ID 关联的密钥材料。
除了外部密钥，外部密钥存储中的 KMS 密钥还具有 Amazon KMS 密钥材料。受 KMS 密钥保护的数据首先 Amazon KMS 使用密 Amazon KMS 钥材料进行加密，然后由您的外部密钥管理器使用您的外部密钥进行加密。这种双重加密过程可确保受您 KMS 密钥保护的加密文字始终至少与仅受 Amazon KMS保护的加密文字一样强大。
许多加密密钥具有不同类型的标识符。在外部密钥存储中创建 KMS 密钥时，您要提供外部密钥存储代理用来引用外部密钥的外部密钥 ID。如果使用了错误的标识符，尝试在外部密钥存储中创建 KMS 密钥会失败。
外部密钥存储代理
外部密钥存储代理（“XKS 代理”）是客户拥有和客户管理的软件应用程序，用于调解与您的外部密钥管理器 Amazon KMS 之间的所有通信。它还将通用 Amazon KMS 请求转换为供应商特定的外部密钥管理器可以理解的格式。外部密钥存储需要外部密钥存储代理。每个外部密钥存储会关联一个外部密钥存储代理。
Amazon KMS 无法创建、删除或管理任何外部密钥。您的加密密钥材料永远不会离开外部密钥管理器。 Amazon KMS 与您的外部密钥管理器之间的所有通信均由您的外部密钥存储代理进行中介。 Amazon KMS 向外部密钥存储代理发送请求并接收来自外部密钥存储代理的响应。外部密钥存储代理负责将请求从您的外部密钥管理器传输 Amazon KMS 到您的外部密钥管理器，并将来自外部密钥管理器的响应传回到 Amazon KMS
您拥有并管理外部密钥存储的外部密钥存储代理，并负责其维护和操作。您可以根据开源外部密钥存储代理 API 规范开发外部密钥存储代理 API 规范，该规范
要进行身份验证 Amazon KMS，代理使用服务器端 TLS 证书。要向您的代理进行身份验证， Amazon KMS 请使用 Sigv4 代理身份验证凭据对外部密钥存储代理的所有请求进行签名。或者，您的代理可以启用双向 TLS (mTLS)，以进一步保证它只接受来自 Amazon KMS的请求。
您的外部密钥存储代理必须支持 HTTP/1.1 或更高版本以及 TLS 1.2 或更高版本，并至少使用以下密码套件之一：
-
TLS_AES_256_GCM_SHA384 (TLS 1.3)
-
TLS_CHACHA20_POLY1305_SHA256 (TLS 1.3)
注意
Amazon GovCloud (US) Region 不支持 TLS_CHACHA20_POLY1305_SHA256。
-
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (TLS 1.2)
-
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 (TLS 1.2)
要在外部密钥存储中创建和使用 KMS 密钥，必须先将外部密钥存储连接到其外部密钥存储代理。您也可以根据需要断开外部密钥存储与其代理的连接。在这样做时，外部密钥存储中的所有 KMS 密钥都会变得不可用，也不能用于任何加密操作。
外部密钥存储代理连接
外部密钥存储代理连接（“XKS 代理连接”）描述了 Amazon KMS 用于与外部密钥存储代理进行通信的方法。
您在创建外部密钥存储时指定代理连接选项，该选项将成为外部密钥存储的属性。您可以通过更新自定义密钥存储属性来更改代理连接选项，但必须确定外部密钥存储代理仍然可以访问相同的外部密钥。
Amazon KMS 支持以下连接选项：
-
公共终端节点连接-通过 Internet 将外部密钥存储代理的请求 Amazon KMS 发送到您控制的公共终端节点。此选项易于创建和维护，但可能无法满足每次安装的安全要求。
-
VPC 终端节点服务连接 — Amazon KMS 向您创建和维护的亚马逊虚拟私有云（亚马逊 VPC）终端节点服务发送请求。您可以在 Amazon VPC 内托管外部密钥存储代理，也可以将外部密钥存储代理托管在 Amazon VPC 之外 Amazon 并仅用于通信。
有关外部密钥存储代理连接选项的详细信息，请参阅 选择代理连接选项。
外部密钥存储代理身份验证凭证
要向外部密钥存储代理进行身份验证， Amazon KMS 请使用签名 V4 (Sigv4) 身份验证凭据对外部密钥存储代理的所有请求进行签名。您在代理上建立并维护身份验证凭据，然后在创建外部存储 Amazon KMS 时提供此凭据。
注意
Amazon KMS 用于签署 XKS 代理请求的 Sigv4 凭据与您的中的委托人关联的任何 Sigv4 凭据无关。 Amazon Identity and Access Management Amazon Web Services 账户不要将任何 IAM SigV4 凭证重复用于外部密钥存储代理。
每个代理身份验证凭证有两个部分。在创建外部密钥存储或更新外部密钥存储的身份验证凭证时，必须提供这两部分。
-
访问密钥 ID：标识秘密访问密钥。您能以明文形式提供此 ID。
-
秘密访问密钥：凭证的秘密部分。 Amazon KMS 在存储凭据之前对凭据中的私有访问密钥进行加密。
您随时可以编辑凭证设置，例如输入了错误值时、在代理上更改凭证时或者代理轮换证书时。有关对外部密钥存储代理 Amazon KMS
进行身份验证的技术细节，请参阅《 Amazon KMS 外部密钥存储代理 API 规范》中的身份验证
为了允许您在不中断外部密钥存储中使用 KMS 密钥的凭证的情况下轮换凭证，我们建议外部密钥存储代理至少支持两个有效的身份验证凭据。 Amazon Web Services Amazon KMS这样可以确保在您向 Amazon KMS提供新凭证时，以前的凭证继续有效。
为了帮助您跟踪代理身份验证凭证的使用年限， Amazon KMS 定义了 Amazon CloudWatch 指标。XksProxyCredentialAge您可以使用此指标创建 CloudWatch 警报，当您的凭证期限达到您设定的阈值时，该警报会通知您。
为了进一步确保您的外部密钥存储代理仅响应 Amazon KMS，一些外部密钥代理支持相互传输层安全性协议（mTLS）。有关更多信息，请参阅 mTLS 身份验证（可选）。
代理 API
要支持 Amazon KMS 外部密钥存储，外部密钥存储代理必须实现所需的代理 API，如Amazon KMS 外部密钥存储代理 API 规范
下表列出并描述了每个代理 API。它还包括触发对 Amazon KMS 代理 API 的调用的 Amazon KMS 操作以及与代理 API 相关的任何操作异常。
| 代理 API | 描述 | 相关 Amazon KMS 操作 |
|---|---|---|
| Decrypt | Amazon KMS 发送要解密的密文以及要使用的外部密钥的 ID。所需的加密算法为 AES_GCM。 | 解密，ReEncrypt |
| Encrypt | Amazon KMS 发送要加密的数据以及要使用的外部密钥的 ID。所需的加密算法为 AES_GCM。 | 加密、GenerateDataKey、GenerateDataKeyWithoutPlaintext、ReEncrypt |
| GetHealthStatus | Amazon KMS 请求有关代理和您的外部密钥管理器状态的信息。 每个外部密钥管理器的状态可以是以下状态之一。
|
CreateCustomKeyStore（用于公共终端节点连接）、ConnectCustomKeyStore（用于 VPC 终端节点服务连接） 如果所有外部密钥管理器实例都处于 |
| GetKeyMetadata | Amazon KMS 请求有关与您的外部密钥存储库中的 KMS 密钥关联的外部密钥的信息。 响应内容包含密钥规范（ |
CreateKey 如果密钥规范不是 |
双重加密
由外部密钥存储中的 KMS 密钥加密的数据经过两次加密。首先， Amazon KMS 使用特定于 KMS Amazon KMS 密钥的密钥材料对数据进行加密。然后，外部密钥管理器使用外部密钥加密经过 Amazon KMS加密的加密文字。此过程称为双重加密。
双重加密可确保外部密钥存储中经 KMS 密钥加密的数据至少与经标准 KMS 密钥加密的加密文字一样强大。它还可以保护您从外部密钥存储代理传输 Amazon KMS 的纯文本。您可以借助双重加密保留对加密文字的完全控制。如果您通过外部代理永久撤消 Amazon 对外部密钥的访问权限， Amazon 中剩余的任何加密文字都会受到有效的加密粉碎处理。
要启用双重加密，外部密钥存储中的每个 KMS 密钥都有两个加密备用密钥：
-
KMS Amazon KMS 密钥独有的密钥材料。此密钥材料是生成的，仅用于 Amazon KMS FIPS 140-2 安全等级 3 认证的硬件安全
模块 (HSM)。 -
外部密钥管理器中的外部密钥。
双重加密具有以下效果：
-
Amazon KMS 如果不通过外部密钥存储代理访问您的外部密钥，则无法解密外部密钥存储库中由 KMS 密钥加密的任何密文。
-
即使您有外部密钥材料，也无法解密外部密钥存储库中由 KMS 密钥加密的任何密文。 Amazon
-
即使您拥有外部密钥材料，也无法重新创建已从外部密钥存储中删除的 KMS 密钥。每个 KMS 密钥都有包含在对称加密文字中的唯一元数据。新的 KMS 密钥将无法解密由原始密钥加密的加密文字，即使其使用相同的外部密钥材料也是如此。
有关实际应用中的双重加密示例，请参见 外部密钥存储的工作原理。
外部密钥存储的工作原理
您的外部密钥存储、外部密钥存储代理和外部密钥管理器会协同保护您的 Amazon 资源。以下过程描述了典型 Amazon Web Service 的加密工作流程，即使用由 KMS 密钥保护的唯一数据密钥对每个对象进行加密。在本例中，您选择了外部密钥存储中的 KMS 密钥来保护对象。该示例说明了如何 Amazon KMS 使用双重加密来保护传输中的数据密钥，并确保外部密钥存储库中的 KMS 密钥生成的密文始终至少与由标准对称 KMS 密钥加密并包含密钥材料的密文一样强大。 Amazon KMS
与之集成的每个实际 Amazon Web Service 使用的加密方法各 Amazon KMS 不相同。有关详细信息，请参阅 Amazon Web Service 文档“安全”章节中的“数据保护”主题。
-
您向 Amazon Web Service 资源中添加了一个新对象。要加密对象，请 Amazon KMS 使用外部密钥存储库中的 KMS 密钥 Amazon Web Service 向发送GenerateDataKey请求。
-
Amazon KMS 生成 256 位对称数据密钥，并准备通过外部密钥存储代理将纯文本数据密钥的副本发送到外部密钥管理器。 Amazon KMS 使用与外部密钥存储库中的 KMS 密钥关联的密钥材料对纯文本数据Amazon KMS 密钥进行加密，从而开始双重加密过程。
-
Amazon KMS 向与外部密钥存储关联的外部密钥存储代理发送加密请求。该请求包括要加密的数据密钥密文以及与 KMS 密钥关联的外部密钥的 ID。 Amazon KMS 使用外部密钥存储代理的代理身份验证凭据对请求进行签名。
数据密钥的明文副本不会发送到外部密钥存储代理。
-
外部密钥存储代理对请求进行身份验证，然后将加密请求传递给您的外部密钥管理器。
一些外部密钥存储代理还实现了可选的授权策略，该策略仅允许选定的主体在特定条件下执行操作。
-
您的外部密钥管理器使用指定的外部密钥对数据密钥加密文字进行加密。外部密钥管理器将经过双重加密的数据密钥返回给外部密钥存储代理，后者再将其返回给 Amazon KMS。
-
Amazon KMS 将纯文本数据密钥和该数据密钥的双重加密副本返回到。 Amazon Web Service
-
Amazon Web Service 使用纯文本数据密钥对资源对象进行加密，销毁纯文本数据密钥，并将加密的数据密钥与加密对象一起存储。
有些人 Amazon Web Services 可能会缓存纯文本数据密钥以用于多个对象，或者在使用资源时重复使用。有关更多信息，请参阅 不可用的 KMS 密钥如何影响数据密钥。
要解密加密对象， Amazon Web Service 必须在 Decrypt 请求 Amazon KMS 中将加密的数据密钥发回给。要解密加密的数据密钥， Amazon KMS 必须使用外部密钥的 ID 将加密的数据密钥发送回您的外部密钥存储代理服务器。如果对外部密钥存储代理的解密请求因任何原因失败，则 Amazon KMS 无法解密加密的数据密钥， Amazon Web Service 也无法解密加密对象。