密钥类型引用
不过，对于不同类型的 KMS 密钥，Amazon KMS 支持不同功能。例如，只能使用对称加密 KMS 密钥生成对称数据密钥和非对称数据密钥对。此外，只有对称加密 KMS 密钥支持导入密钥材料和自动密钥轮换，并且在自定义密钥存储中只能创建对称加密 KMS 密钥。
除了此表中的信息外，KMS 密钥还可用于以下 Amazon KMS 特殊功能。
-
-
所有支持对称 KMS 密钥的 API 操作也支持多区域对称 KMS 密钥。所有支持非对称 KMS 密钥的 API 操作也支持多区域非对称 KMS 密钥。
-
您不能在自定义密钥存储中创建多区域密钥。
-
-
-
只有对称加密 KMS 密钥可具有导入的密钥材料。
-
非对称 KMS 密钥、HMAC KMS 密钥和自定义密钥存储中的 KMS 密钥不能具有导入的密钥材料。
-
多区域对称加密密钥可具有导入的密钥材料。
-
具有导入的密钥材料的密钥不支持自动密钥转换（EnableKeyRotation、DisableKeyRotation）。
-
-
-
自定义密钥存储仅支持对称 KMS 密钥。
-
自定义密钥存储中的密钥不支持自动密钥转换（EnableKeyRotation、DisableKeyRotation）。
-
您不能在自定义密钥存储中创建多区域密钥。
-
下表列出了可用于创建和管理每种类型的 KMS 密钥的 Amazon KMS 操作。如果对 KMS 密钥执行不受支持的操作，则该操作将失败。
您可能需要水平或垂直滚动才能查看此表中的所有数据。
| Amazon KMS API 操作 | 对称加密 KMS 密钥 | HMAC KMS 密钥 | 非对称 KMS 密钥 (ENCRYPT_DECRYPT) | 非对称 KMS 密钥 (SIGN_VERIFY) |
|---|---|---|---|---|
|
|
 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
- 拥有导入密钥材料（Origin (源) = EXTERNAL）
- 在自定义密钥存储中 (Origin = AWS_CLOUDHSM)
- 创建多区域主密钥 |
|
|
|
|
|
|
 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
- 在多区域密钥受支持 - 在非对称 KMS 密钥、HMAC KMS 密钥或自定义密钥存储中的 KMS 密钥中不受支持。 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
- 在非对称 KMS 密钥、HMAC KMS 密钥、自定义密钥存储中的 KMS 密钥，以及具有导入的密钥材料的 KMS 密钥中不受支持。 |
|
|
|
|
|
|
|
|
|
|
|
- 在非对称 KMS 密钥、HMAC KMS 密钥、自定义密钥存储中的 KMS 密钥，以及具有导入的密钥材料的 KMS 密钥中不受支持。 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
| GenerateMac | |
|
|
|
|
|
|
|
|
|
|
|
（ |
（ |
（ |
|
|
- 在多区域密钥受支持 - 在非对称 KMS 密钥、HMAC KMS 密钥、自定义密钥存储中的 KMS 密钥，以及具有导入的密钥材料的 KMS 密钥中不受支持。 |
|
|
|
|
|
|
|
|
|
|
|
- 在多区域密钥受支持 - 在非对称 KMS 密钥、HMAC KMS 密钥、自定义密钥存储中的 KMS 密钥，以及具有导入的密钥材料的 KMS 密钥中不受支持。 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
- 仅在多区域密钥上有效 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
当前 KMS 密钥和新的 KMS 密钥必须是相同的类型（要么都是对称的，要么都是非对称的），并且它们必须用于相同的密钥用途。 |
|
|
|
|
|
|
|
|
|
|
|
- 仅在多区域密钥上有效 |
|
|
|
|
|
|
|
|
|
|
| VerifyMac | |
|
|
|
[1] GenerateDataKeyPair 和 GenerateDataKeyPairWithoutPlaintext 生成受对称加密 KMS 密钥保护的非对称数据密钥对。