Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 Amazon Web Services 服务入门。

轮换 Amazon KMS keys

加密最佳实践建议不要广泛重复使用加密密钥。要为客户托管的密钥创建新的加密材料，您可以创建新的 KMS 密钥，然后更改您的应用程序或别名来使用新的 KMS 密钥。或者，您可以为现有 KMS 密钥启用自动密钥轮换。

如果您为 KMS 密钥启用自动密钥轮换，Amazon KMS 会每年为该 KMS 密钥生成新的加密材料。Amazon KMS 会永久保留所有以前版本的加密材料，以便解密使用该 KMS 密钥加密的任何数据。Amazon KMS 不会删除任何轮换的密钥材料，直至您删除 KMS 密钥。您可以跟踪轮换 Amazon CloudWatch 和 Amazon CloudTrail 中 KMS 密钥的密钥材料。

当您使用轮换 KMS 密钥加密数据时，Amazon KMS 会使用当前的密钥材料。当您使用轮换 KMS 密钥解密密文时，Amazon KMS 会使用加密时所用的密钥材料版本。您无法请求特定版本的密钥材料。由于 Amazon KMS 使用适当的密钥材料透明地进行解密，您可以安全地在应用程序和 Amazon Web Services 中使用轮换的 KMS 密钥，无需进行代码更改。

然而，自动密钥轮换对 KMS 密钥所保护的数据无效。它不会轮换 KMS 密钥生成的数据密钥，也不会对任何受 KMS 密钥保护的数据重新加密，并且它无法减轻数据密钥泄露的影响。

Amazon KMS 仅支持具有由 Amazon KMS 创建的密钥材料的对称加密 KMS 密钥进行自动密钥轮换。对于客户托管式 KMS 密钥，自动轮换是可选项。Amazon KMS 始终坚持每年轮换一次 Amazon 托管式 KMS 密钥的密钥材料。Amazon 拥有的 KMS 密钥的轮换有所不同。

密钥轮换只会更改密钥材料，即加密操作中所使用的加密密钥。不管密钥材料有没有变更或变更了多少次，该 KMS 密钥仍是相同的逻辑资源。KMS 密钥的属性不会发生变化，如下图所示。

自动密钥轮换具有以下优点：

您可能决定创建新的 KMS 密钥来替代原有的 KMS 密钥。这跟轮换现有 KMS 密钥的密钥材料具有相同效果，因此这通常被视为手动轮换密钥。如果您想控制密钥轮换计划，手动轮换是很好的选择。对于不符合自动密钥轮换要求的 KMS 密钥，包括非对称 KMS 密钥、HMAC KMS 密钥、自定义密钥存储中的 KMS 密钥以及包含导入的密钥材料的 KMS 密钥，这也提供了一种轮换方式。

密钥轮换和定价

针对为您的 KMS 密钥维护的各个版本的密钥材料，Amazon KMS 会按月收取费用。有关详细信息，请参阅 Amazon Key Management Service 定价。

密钥轮换和配额

在计算密钥资源配额时，无论轮换密钥材料版本的数量如何，每个 KMS 密钥均算作一个密钥。

有关密钥材料和轮换的详细信息，请参阅《Amazon Key Management Service 加密详细信息》。

自动密钥轮换的工作方式

Amazon KMS 中的密钥轮换属于加密最佳实践，特点是透明且易于使用。Amazon KMS 仅对客户托管的密钥支持可选的自动密钥轮换。

如何启用和禁用自动密钥轮换

授权用户可以使用 Amazon KMS 控制台或 Amazon KMS API 启用和禁用自动密钥轮换，并查看密钥的轮换状态。

当您启用自动密钥轮换时，Amazon KMS 会在启用日期一年后轮换 KMS 密钥，并在此后每年轮换一次。

启用和禁用密钥轮换（控制台）

启用和禁用密钥轮换 (Amazon KMS API)

您可以使用 Amazon Key Management Service (Amazon KMS) API 启用和禁用自动密钥轮换，并查看任何客户托管式密钥的当前轮换状态。这些示例使用 Amazon Command Line Interface (Amazon CLI)，但您可以使用任何受支持的编程语言。

EnableKeyRotation 操作可以为指定 KMS 密钥启用自动密钥轮换。DisableKeyRotation 操作会禁用它。要在这些操作中标识 KMS 密钥，请使用其密钥 ID 或密钥 ARN。在默认情况下，客户托管密钥的密钥轮换处于禁用状态。

以下示例对指定的对称加密 KMS 密钥启用密钥轮换，并使用 GetKeyRotationStatus 操作查看结果。然后，它禁用了密钥轮换，并使用 GetKeyRotationStatus 查看更改。

$ aws kms enable-key-rotation --key-id 1234abcd-12ab-34cd-56ef-1234567890ab

$ aws kms get-key-rotation-status --key-id 1234abcd-12ab-34cd-56ef-1234567890ab
{
    "KeyRotationEnabled": true
}

$ aws kms disable-key-rotation --key-id 1234abcd-12ab-34cd-56ef-1234567890ab

$ aws kms get-key-rotation-status --key-id 1234abcd-12ab-34cd-56ef-1234567890ab
{
    "KeyRotationEnabled": false
}
            

手动轮换密钥

您可能希望创建一个新的 KMS 密钥，并使用它替代当前的 KMS 密钥，而不启用自动密钥轮换。当新的 KMS 密钥使用的加密材料与当前 KMS 密钥使用的加密材料不相同时，使用新的 KMS 密钥与更改现有 KMS 密钥的密钥材料具有相同的效果。使用一个 KMS 密钥替换另一个 KMS 密钥的过程被称为手动密钥轮换。

如果您希望控制轮换的频率，建议您通过手动的方式轮换密钥。对于不符合自动密钥轮换要求的 KMS 密钥，例如非对称 KMS 密钥、HMAC KMS 密钥、自定义密钥存储中的 KMS 密钥，以及具有导入的密钥材料的 KMS 密钥，这也是一种很好的解决方案。

当您手动轮换 KMS 密钥时，您还需要更新应用程序中对 KMS 密钥 ID 或密钥 ARN 的引用。将友好名称与 KMS 密钥关联的别名，可以使得这个过程变得更容易。使用别名来引用应用程序中的 KMS 密钥。之后，当您想更改应用程序所使用的 KMS 密钥（而不是编辑应用程序代码）时，更改别名的目标 KMS 密钥即可。有关详细信息，请参阅在应用程序中使用别名。

要更改别名的目标 KMS 密钥，请使用 Amazon KMS API 中的 UpdateAlias 操作。例如，此命令会更新 alias/TestKey 别名以指向新 KMS 密钥。由于该操作不返回任何输出，该示例使用 ListAliases 操作以显示该别名已关联到不同的 KMS 密钥且 LastUpdatedDate 字段已更新。ListAliases 命令使用 Amazon CLI 中的 query 参数来仅获取 alias/TestKey 别名。

$ aws kms list-aliases --query 'Aliases[?AliasName==`alias/TestKey`]'
{
    "Aliases": [
        {
            "AliasArn": "arn:aws:kms:us-west-2:111122223333:alias/TestKey",
            "AliasName": "alias/TestKey",
            "TargetKeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
            "CreationDate": 1521097200.123,
            "LastUpdatedDate": 1521097200.123
        },
    ]
}


$ aws kms update-alias --alias-name alias/TestKey --target-key-id 0987dcba-09fe-87dc-65ba-ab0987654321
            
$ aws kms list-aliases --query 'Aliases[?AliasName==`alias/TestKey`]'
{
    "Aliases": [
        {
            "AliasArn": "arn:aws:kms:us-west-2:111122223333:alias/TestKey",
            "AliasName": "alias/TestKey",
            "TargetKeyId": "0987dcba-09fe-87dc-65ba-ab0987654321",
            "CreationDate": 1521097200.123,
            "LastUpdatedDate": 1604958290.722
        },
    ]
}