本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
密钥类型引用
Amazon KMS 支持不同类型的 KMS 密钥的不同功能。例如，只能使用对称加密 KMS 密钥生成对称数据密钥和非对称数据密钥对。此外，只有对称加密 KMS 密钥支持导入密钥材料和自动密钥轮换，并且在自定义密钥存储中只能创建对称加密 KMS 密钥。
此参考包括两个表。
密钥类型表
您可能需要水平或垂直滚动才能查看此表中的所有数据。
| Amazon KMS API 操作 | 对称加密 KMS 密钥 | HMAC KMS 密钥 | 非对称 KMS 密钥 (ENCRYPT_DECRYPT) | 非对称 KMS 密钥 (SIGN_VERIFY) | 非对称 KMS 密钥（KEY_AGREEMENT） |
|---|---|---|---|---|---|
|
支持 |
是 |
是 |
是 | 是 | |
| 是 | 是 | 是 | 是 | 是 | |
|
是 |
是 |
是 |
是 | 是 | |
|
是 |
是 |
是 |
是 |
是 | |
|
是 |
否 |
是 |
否 | 否 | |
|
是 |
是 |
是 |
是 | 是 | |
|
仅在包含导入的密钥材料的 KMS 密钥上有效（ |
支持 |
是 | 是 | 是 | 是 |
| 否 | 否 | 否 | 否 | 是 | |
|
是 |
是 |
是 |
是 | 是 | |
|
是 |
是 |
是 |
是 | 是 | |
| 是 仅对带有密钥材料 (is |
否 |
否 |
否 | 否 | |
|
是 |
是 |
是 |
是 | 是 | |
|
是 仅对带有密钥材料 (is |
否 |
否 |
否 | 否 | |
|
是 |
否 |
是 |
否 | 否 | |
|
是 |
否 |
否 |
否 | 否 | |
|
生成受对称加密 KMS 密钥保护的非对称数据密钥对。 |
是 在自定义密钥存储中的 KMS 密钥上无效。 |
否 |
否 |
否 | 否 |
|
GenerateDataKeyPairWithoutPlaintext 生成受对称加密 KMS 密钥保护的非对称数据密钥对。 |
是 在自定义密钥存储中的 KMS 密钥上无效。 |
否 |
否 |
否 | 否 |
|
是 |
否 |
否 |
否 | 否 | |
| GenerateMac | 否 | 是 | 否 | 否 | 否 |
|
是 |
是 |
是 |
是 | 是 | |
|
是 |
是 （ |
是 （ |
是 （ |
是 （ |
|
|
仅在包含导入的密钥材料的 KMS 密钥上有效（ |
支持 |
是 |
是 |
是 | 是 |
|
否 |
否 |
是 |
是 | 是 | |
|
仅在包含导入的密钥材料的 KMS 密钥上有效（ |
支持 |
是 |
是 |
是 | 是 |
|
是 |
是 |
是 |
是 | 是 | |
|
是 |
是 |
是 |
是 | 是 | |
|
是 |
是 |
是 |
是 | 是 | |
| 是 | 是 （ |
是 （ |
是 （ |
是 （ |
|
|
支持 |
是 |
是 |
是 | 是 | |
|
是 |
是 |
是 |
是 | 是 | |
|
是 |
是 |
是 |
是 | 是 | |
|
是 |
否 |
是 |
否 | 否 | |
|
- 仅在多区域密钥上有效 |
支持 |
是 |
是 |
是 |
是 |
|
是 |
是 |
是 |
是 |
是 | |
|
是 |
是 |
是 |
是 | 是 | |
| 是 仅对客户管理的对称加密 KMS 密钥 |
否 | 否 | 否 | 否 | |
|
是 |
是 |
是 |
是 | 是 | |
|
否 |
否 |
否 |
是 | 否 | |
|
是 |
是 |
是 |
是 | 是 | |
|
是 |
是 |
是 |
是 | 是 | |
|
当前 KMS 密钥和新的 KMS 密钥必须为相同类型（要么都是对称的，要么都是非对称的，要么都是 HMAC），并且它们必须用于相同的密钥用途。 |
支持 | 是 |
是 |
是 | 是 |
|
是 |
是 |
是 |
是 | 是 | |
|
- 仅在多区域密钥上有效 |
支持 |
是 |
是 |
是 |
是 |
|
否 |
否 |
否 |
是 | 否 | |
| VerifyMac | 否 | 是 | 否 | 否 | 否 |
特殊功能表
下表显示了每种类型的特殊用途密钥支持的 Amazon KMS API 操作。
在阅读此表时，请注意以下交互：
-
-
多区域密钥可以是对称加密 KMS 密钥、非对称 KMS 密钥、HMAC KMS 密钥，以及包含导入的密钥材料的 KMS 密钥。
-
您不能在自定义密钥存储中创建多区域密钥。
-
-
-
您可以导入对称加密 KMS 密钥、非对称 KMS 密钥和 HMAC KMS 密钥的密钥材料。
-
您可创建具有导入密钥材料的多区域密钥。
-
您不能在自定义密钥存储中使用导入的密钥材料创建密钥。
-
带有导入密钥材料的 KMS 密钥不支持自动密钥轮换 (
EnableKeyRotation、DisableKeyRotation)。 -
使用导入的密钥材料的单区域、对称加密 KMS 密钥支持按需密钥轮换 (
RotateKeyOnDemand)。
-
-
-
自定义密钥存储仅支持对称加密 KMS 密钥。
-
自定义密钥存储中的 KMS 密钥不支持对非对称密钥对（
GenerateDataKeyPair、GenerateDataKeyPairWithoutPlaintext）进行对称操作。 -
自定义密钥存储中的 KMS 密钥不支持自动密钥转换 (
EnableKeyRotation、DisableKeyRotation)。 -
您不能在自定义密钥存储中创建多区域密钥。
-
您可能需要水平或垂直滚动才能查看此表中的所有数据。
| Amazon KMS API 操作 | 多区域密钥 | 导入的密钥材料 | 自定义密钥存储中的 KMS 密钥 |
|---|---|---|---|
|
|
 |
|
|
|
|
|
|
|
|
|
|
|
| CreateKey
您可以使用 |
|
|
|
|
仅当 |
|
|
|
|
|
|
|
|
|
仅对包含导入的密钥材料的密钥有效（ |
|
 |
|
|
仅在 |
仅在 |
|
|
|
|
|
|
|
|
|
|
|
|
|
仅对带有密钥材料 ( |
|
|
|
|
仅在对称加密 KMS 密钥上有效 |
|
|
|
|
仅对带有密钥材料 ( |
|
|
|
|
仅当 |
|
|
|
|
仅在对称加密 KMS 密钥上有效 |
|
|
|
|
仅在对称加密 KMS 密钥上有效 |
|
|
|
|
仅在对称加密 KMS 密钥上有效 |
|
|
|
|
仅在对称加密 KMS 密钥上有效 |
|
|
|
| GenerateMac 仅在 HMAC KMS 密钥上有效 |
|
|
|
|
|
|
|
|
|
|
（ |
|
|
|
仅对包含已导入的密钥材料的密钥有效（ |
|
|
|
|
仅对非对称 KMS 密钥有效。 |
|
|
|
|
仅对包含已导入的密钥材料的密钥有效（ |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
仅对具有 |
仅对单区域对称加密密钥有效。 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
仅当 |
|
|
|
|
仅在多区域主键上有效。 |
仅在多区域主键上有效。 |
|
|
|
|
|
|
|
|
|
|
|
|
|
仅对具有 |
仅对单区域对称加密密钥有效。 |
|
|
|
|
|
|
|
|
仅当 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
– 当前 KMS 密钥和新的 KMS 密钥必须为相同类型（要么都是对称的，要么都是非对称的，要么都是 HMAC），并且它们必须用于相同的密钥用途。 |
|
|
|
|
|
|
|
|
|
|
仅在多区域密钥上有效。 |
|
|
|
仅当 |
|
|
|
| VerifyMac 仅在 HMAC KMS 密钥上有效 |
|
|
|