Symmetriske, asymmetriske og multiregionale nøgler

KMS understøtter både symmetriske og asymmetriske nøgler.

• Symmetrisk: én nøgle krypterer og dekrypterer.
• Asymmetrisk: et offentligt og privat nøglepar.

De egner sig til forskellige behov, og korrekt valg er et almindeligt tema til eksamen.

Symmetriske nøgler bruger én hemmelig nøgle (AES-256) til både kryptering og dekryptering.

• De er standardvalget og de mest almindelige i AWS.
• Næsten alle tjenesteintegrationer (S3, EBS, RDS) bruger symmetriske nøgler.

Nøglen forlader aldrig KMS, så begge parter kalder KMS i stedet for at dele nøglen.

Asymmetriske nøgler har en offentlig nøgle, som du kan dele, og en privat nøgle, der forbliver i KMS.

De understøtter kryptering/dekryptering eller signering/verifikation. Brug dem, når en part uden for AWS skal kryptere data (med den offentlige nøgle) eller verificere en signatur uden adgang til KMS.

Vælg asymmetriske nøgler, når:

• Data skal krypteres uden for AWS, hvor den kaldende part kun har den offentlige nøgle.
• Du har brug for digitale signaturer til at bevise ægthed.

Ellers er symmetriske nøgler enklere og standardvalget til kryptering med AWS-tjenester.

Hver KMS-nøgle har et nøgleformål (kryptering/dekryptering eller signering/verifikation) og en nøglespecifikation (algoritme), som angives ved oprettelsen.

En signeringsnøgle kan ikke kryptere, og en krypteringsnøgle kan ikke signere. Disse egenskaber er faste, når nøglen først er oprettet, så planlæg det tilsigtede brug på forhånd.

For symmetriske kundeadministrerede nøgler kan KMS udføre automatisk rotation af det underliggende nøglemateriale hvert år.

• Nøgle-id'et og aliaset forbliver de samme.
• Gammelt materiale bevares, så gamle data kan dekrypteres.

Asymmetriske nøgler understøtter ikke automatisk rotation.

Multi-region-nøgler består af en primær nøgle og replikaer i andre regioner, som deler samme nøgle-id og nøglemateriale.

Data, der er krypteret i én region, kan dekrypteres af replikaen i en anden region uden et KMS-kald på tværs af regioner. Det understøtter globale applikationer og disaster recovery.

Nøgler til flere regioner egner sig til scenarier som:

• Katastrofeberedskab på tværs af regioner, hvor krypterede sikkerhedskopier skal kunne bruges i en anden region.
• Globale tabeller eller data, der replikeres på tværs af regioner.

For data, der forbliver i én region, er en almindelig nøgle til én region enklere.

KMS lader dig importere dit eget nøglemateriale (BYOK) til en symmetrisk nøgle.

Du styrer generering og opbevaring, men mister automatisk rotation, og du skal importere materialet igen, hvis det udløber. Det opfylder politikker, der kræver nøgler genereret uden for AWS.

Til de strengeste krav kan et brugerdefineret nøglelager understøtte KMS-nøgler med en dedikeret CloudHSM-klynge eller en ekstern HSM.

Nøglehandlinger foregår på hardware, som du kontrollerer, mens du stadig bruger den velkendte KMS API. Dette er forbeholdt strenge krav fra compliance.

Oversigt over valgmulighederne:

• Symmetrisk til almindelig AWS-kryptering (standard).
• Asymmetrisk til ekstern kryptering eller signering.
• Flere regioner til behov på tværs af regioner.

Tilpas nøgletypen til dataflowet i scenariet.

Du sammenlignede KMS-nøg letyper.

• Symmetrisk er AWS-standarden; asymmetrisk muliggør ekstern kryptering og signering.
• Nøgler til flere regioner deler materiale på tværs af regioner til katastrofeberedskab.
• Automatisk rotation gælder for symmetriske nøgler; BYOK og brugerdefinerede nøglelagre opfylder strenge behov.