Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 Amazon Web Services 服务入门。

Amazon Secrets Manager 中的数据保护

Amazon责任共担模式适用于 Amazon Secrets Manager 中的数据保护。如该模式中所述，Amazon 负责保护运行所有 Amazon Web Services 云 的全球基础设施。您负责维护对托管在此基础设施上的内容的控制。此内容包括您所使用的 Amazon Web Services 的安全配置和管理任务。有关数据隐私的更多信息，请参阅数据隐私常见问题。

出于数据保护目的，我们建议您保护 Amazon Web Services 账户 凭证并使用 Amazon IAM Identity Center (successor to Amazon Single Sign-On) 或 Amazon Identity and Access Management (IAM) 设置单个用户。这样，每个用户只获得履行其工作职责所需的权限。我们还建议您通过以下方式保护您的数据：

我们强烈建议您切勿将机密信息或敏感信息（例如您客户的电子邮件地址）放入标签或自由格式字段（例如名称字段）。这包括使用控制台、API、Amazon CLI 或 Amazon 开发工具包处理 Secrets Manager 或其他 Amazon 服务时。您在用于名称的标签或自由格式字段中输入的任何数据都可能会用于计费或诊断日志。当您向外部服务器提供 URL 时，强烈建议您不要在 URL 中包含凭证信息来验证您对该服务器的请求。

静态加密

Secrets Manager 使用通过 Amazon Key Management Service (Amazon KMS) 来保护静态数据的机密性。Amazon KMS 提供由许多 Amazon 服务使用的密钥存储和加密服务。Secrets Manager 中的每个密钥都使用唯一的数据密钥加密。每个数据密钥都由一个 KMS 密钥保护。您可以选择对账户使用 Secrets Manager Amazon 托管式密钥 的默认加密，也可以在 Amazon KMS 中创建自己的客户托管密钥。使用客户托管密钥可让您对 KMS 密钥活动进行更精细的授权控制。有关更多信息，请参阅Amazon Secrets Manager 中的密钥加密和解密。

传输中加密

Secrets Manager 为传输中的加密数据提供安全的私有终端节点。通过安全的私有终端节点，Amazon 可以保护向 Secrets Manager 发出的 API 请求的完整性。Amazon 要求调用方使用 X.509 证书和/或 Secrets Manager 秘密访问密钥对 API 调用进行签名。签名版本 4 签名流程 (Sigv4) 中阐述了此要求。

如果您将 Amazon Command Line Interface (Amazon CLI) 或任何 Amazon SDK 要调用 Amazon 中，您可以配置要使用的访问密钥。然后，这些工具会自动使用访问密钥为您签署请求。

后量子 TLS

Secrets Manager 支持对传输层安全 (TLS) 网络加密协议使用混合后量子密钥交换选项。当您连接到 Secrets Manager API 终端节点时，可以使用此 TLS 选项。我们在标准化后量子算法之前提供了此功能，因此您可以开始测试这些密钥交换协议对 Secrets Manager 调用产生的影响。这些混合后量子密钥交换功能是可选的，至少与我们目前使用的 TLS 加密一样安全，并且有可能会提供额外的安全优势。不过，与目前使用的传统密钥交换协议相比，它们会影响延迟和吞吐量性能。

为了保护今天加密的数据，让这些数据在未来免受可能的攻击，Amazon 正在积极参与密码社区，一起开发抗量子密码算法或后量子算法。我们已经在 Secrets Manager 端点中实施了混合后量子密钥交换密码套件。这些混合密码套件将传统加密算法与后量子算法相结合，可确保 TLS 连接至少与传统密码套件一样强大。不过，由于混合密码套件的性能特征及带宽要求与传统密钥交换机制的性能特征及带宽要求有所不同，我们建议您针对 API 调用开展测试。

有关使用混合后量子 TLS 的更多信息，请参阅：

Secrets Manager 的后量子 TLS 在几乎所有 Amazon Web Services 区域 中都可用，但 Amazon GovCloud (US) 和中国除外。

加密密钥管理

当 Secrets Manager 需要加密受保护密钥数据的新版本，Secrets Manager 会将请求发送到 Amazon KMS 在 KMS 密钥生成新的数据密钥。Secrets Manager 使用此数据密钥进行信封加密。Secrets Manager 将加密的数据密钥与加密的密钥储存在一起。密钥需要解密时，Secrets Manager 会询问 Amazon KMS 来解密数据密钥。然后，Secrets Manager 使用解密的数据密钥来解密加密的密钥。Secrets Manager 从不以未加密的形式存储数据密钥，并尽快从内存中删除密钥。有关更多信息，请参阅Amazon Secrets Manager 中的密钥加密和解密。

互联网络流量隐私

Amazon 提供了多个用于在通过已知的私有网络路由来路由流量时维护隐私的选项。

服务与本地客户端和应用之间的流量

在您的私有网络和 Amazon Secrets Manager 之间有两个连接选项：

同一区域中 Amazon 资源之间的流量

如果要保护 Secrets Manager 和 Amazon 中的 API 客户端之间的流量，请设置一个 Amazon PrivateLink 以私下访问 Secrets Manager API 端点。