10、AWS KMS：加密管理的全方位解析

AWS KMS：加密管理的全方位解析

1. CMK 删除保护机制

AWS 深知删除客户主密钥（CMK）及其所有相关材料的严重性，因此提供了强制等待期来防止误删。用户可以设置 7 天到 30 天的等待期，默认是 30 天。在等待期内，可撤销已安排的删除操作，恢复密钥。处于待删除状态的 CMK 不能用于任何加密操作，也不会自动轮换。

不过，对于导入密钥材料的 CMK 是个例外，可按需删除密钥材料。删除后，CMK 不可用，但重新导入材料即可恢复。而一旦删除 CMK 本身，则无法恢复。

2. 区域与 KMS

KMS 是区域服务，在两种特殊情况下需特别留意：
- 全球复制服务 ：使用 KMS 密钥的全球复制服务，数据全球复制可能需用同一密钥，加密涉及跨区域通信，会增加费用。
- 数据地理限制 ：监管机构要求确保数据地理范围时，AWS 需使用同一地理区域的密钥。特别是在跨区域传输加密材料或移动数据时，这点尤为重要。

建议 ：将加密数据移到新区域时，考虑用新区域的新数据密钥和不同 CMK 重新加密，避免跨区域调用，符合特定监管和安全要求。

3. 成本、复杂性和监管考量

• 成本 ：KMS 成本分两部分，一是每个 CMK 的固定费用，二是对 CMK 每次请求的费用。
• 吞吐量限制 ：每个账户每秒每个区域对 CMK 的 API 调用限制为 10,000 次，包括加密、解密、