10、AWS KMS 加密密钥管理全解析

AWS KMS 加密密钥管理全解析

1. CMK 及其组成部分

CMK（Customer Master Key）并非单一的逻辑实体，而是由多个部分构成：
- 密钥元数据 ：用于识别和描述密钥的属性，包含常见的密钥 ID、亚马逊资源名称（ARN）、密钥标签等。
- 密钥别名 ：是对实际密钥的逻辑引用，在应用程序中可与 CMK 互换使用。
- 密钥材料 ：构成实际密钥的加密数据，是加密知识的核心所在。加密或解密算法会将其作为加密过程的输入，最终负责数据的加密和解密。多数情况下，创建密钥时亚马逊会自动生成密钥材料，提供无缝使用体验。不过，了解密钥材料与其他元数据分开存储，对一些高级应用场景（尤其是合规性相关场景）很有帮助。

2. 导入密钥材料

KMS 会独立生成和维护密钥材料。创建新 CMK 时，KMS 会将密钥材料和相关元数据存储在 HSM 中。同时，KMS 也允许用户导入自己的密钥材料，主要有以下两个原因：
- 出于监管原因，组织希望控制密钥的生命周期，导入密钥材料可实现这一控制。
- KMS 为防止意外删除对象，不允许立即删除密钥，而导入密钥材料可绕过这一限制。
导入密钥材料可通过 UI 或 API 完成。

3. CMK 的类型

AWS 中有多种类型的 CMK：
| CMK 类型 | 说明 |
| ---- | ---- |
| AWS 托管 CMK | 用于支持在您账户上创建的 AWS 服务的加密。您拥有这些 CMK，但由 AWS