Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

中的非对称密钥 Amazon KMS

Amazon KMS 支持表示数学上相关的 RSA、椭圆曲线 (ECC) 或 SM2（仅限中国区域）公钥和私钥对的非对称 KMS 密钥。这些密钥对是在经过 FIPS 140-2 加密模块验证计划认证的 Amazon KMS 硬件安全模块中生成的，但中国（北京）和中国（宁夏）地区除外。私钥永远不会让 Amazon KMS HSM 保持未加密状态。您可以下载公钥进行分发并在外部使用 Amazon。您可以创建非对称 KMS 密钥用于加密和解密、签名和验证或获取共享密钥（必须选择一种密钥使用类型）。

您可以在中创建和管理非对称 KMS 密钥 Amazon Web Services 账户，包括设置控制密钥访问权限的密钥策略、IAM 策略和授权、启用和禁用 KMS 密钥、创建标签和别名以及删除 K MS 密钥。您可以在Amazon CloudTrail 日志中审核所有使用或管理您的非对称 KMS 密钥 Amazon 的操作。

Amazon KMS 还提供了非对称数据密钥对，这些密钥对旨在用于外部的客户端加密。 Amazon KMS非对称数据密钥对中的私有密钥由 Amazon KMS中的对称加密 KMS 密钥保护。

本主题将介绍非对称 KMS 密钥的工作原理、它们与其他 KMS 密钥之间的差异，以及如何确定需要采用哪种 KMS 密钥保护数据。它还解释了非对称数据密钥对的工作原理 Amazon KMS以及如何在外部使用它们。

区域

所有 Amazon Web Services 区域 支持的密钥都支持非对称 KMS 密钥和非对称数据密钥对。 Amazon KMS

了解更多

非对称 KMS 密钥

您可以在 Amazon KMS中创建非对称 KMS 密钥。非对称 KMS 密钥表示数学上相关的公有密钥和私有密钥对。公有密钥可以交给任何人，即使他们不可靠，但私有密钥必须保密。

在非对称 KMS 密钥中，私钥是在中创建的 Amazon KMS ，永远不会处于 Amazon KMS 未加密状态。要使用私钥，您必须致电 Amazon KMS。您可以 Amazon KMS 通过调用 Amazon KMS API 操作来使用其中的公钥。或者，您可以下载公钥并在外部使用 Amazon KMS。

如果您的用例要求无法呼叫的用户在外部 Amazon 进行加密 Amazon KMS，那么非对称 KMS 密钥是一个不错的选择。但是，如果您要创建 KMS 密钥来加密您在 Amazon 服务中存储或管理的数据，请使用对称加密 KMS 密钥。 Amazon 与之集成的服务仅 Amazon KMS使用对称加密 KMS 密钥来加密您的数据。这些服务不支持使用非对称 KMS 密钥进行加密。

Amazon KMS 支持三种类型的非对称 KMS 密钥。

有关选择非对称密钥配置的帮助，请参阅 选择一种 KMS 密钥类型。有关 Amazon KMS 支持 RSA KMS 密钥的加密和签名算法的技术细节，请参阅 RSA 密钥规范。有关 Amazon KMS 支持 ECC KMS 密钥的签名算法的技术细节，请参阅椭圆曲线密钥规范。有关 Amazon KMS 支持 SM2 KMS 密钥的加密和签名算法（仅限中国区域）的技术细节，请参阅 SM2 密钥规范。

有关可以对对称 KMS 密钥和非对称 KMS 密钥执行的操作的比较表格，请参阅比较对称 KMS 密钥与非对称 KMS 密钥。要获取确定 KMS 密钥是对称还是非对称的帮助，请参阅 识别非对称 KMS 密钥。

区域

所有 Amazon Web Services 区域 支持的密钥都支持非对称 KMS 密钥和非对称数据密钥对。 Amazon KMS