Symmetrische, asymmetrische und Multi-Region-Schlüssel

KMS unterstützt sowohl symmetrische als auch asymmetrische Schlüssel.

• Symmetrisch: Ein Schlüssel verschlüsselt und entschlüsselt.
• Asymmetrisch: Ein öffentliches/privates Schlüsselpaar.

Jeder Typ eignet sich für unterschiedliche Anforderungen, und die richtige Auswahl ist ein häufiges Prüfungsthema.

Symmetrische Schlüssel verwenden denselben geheimen Schlüssel (AES-256) zum Verschlüsseln und Entschlüsseln.

• Sie sind der Standard und in AWS am weitesten verbreitet.
• Fast alle Service-Integrationen (S3, EBS, RDS) verwenden symmetrische Schlüssel.

Der Schlüssel verlässt KMS niemals. Daher rufen beide Parteien KMS auf, statt den Schlüssel gemeinsam zu verwenden.

Asymmetrische Schlüssel verfügen über einen öffentlichen Schlüssel, den Sie weitergeben können, und einen privaten Schlüssel, der in KMS verbleibt.

Sie unterstützen Verschlüsselung/Entschlüsselung oder Signieren/Überprüfen. Verwenden Sie sie, wenn eine Partei außerhalb von AWS Daten verschlüsseln (mit dem öffentlichen Schlüssel) oder eine Signatur überprüfen muss, ohne Zugriff auf KMS zu haben.

Wählen Sie asymmetrische Schlüssel, wenn:

• Daten außerhalb von AWS verschlüsselt werden müssen und der Aufrufer nur den öffentlichen Schlüssel besitzt.
• Sie digitale Signaturen benötigen, um die Authentizität nachzuweisen.

Andernfalls sind symmetrische Schlüssel einfacher und die Standardwahl für die AWS-Service-Verschlüsselung.

Jeder KMS-Schlüssel verfügt über eine bei der Erstellung festgelegte Schlüsselverwendung (Verschlüsseln/Entschlüsseln oder Signieren/Überprüfen) und eine Schlüsselspezifikation (Algorithmus).

Ein Signaturschlüssel kann nicht verschlüsseln, und ein Verschlüsselungsschlüssel kann nicht signieren. Diese Eigenschaften sind nach der Erstellung des Schlüssels festgelegt. Planen Sie daher die vorgesehene Verwendung im Voraus.

Bei symmetrischen, vom Kunden verwalteten Schlüsseln kann KMS das zugrunde liegende Schlüsselmaterial jedes Jahr automatisch rotieren.

• Schlüssel-ID und Alias bleiben unverändert.
• Das alte Material wird beibehalten, um alte Daten zu entschlüsseln.

Asymmetrische Schlüssel unterstützen keine automatische Rotation.

Multi-Region-Schlüssel bestehen aus einem Primärschlüssel und Replikaten in anderen Regionen, die dieselbe Schlüssel-ID und dasselbe Schlüsselmaterial verwenden.

In einer Region verschlüsselte Daten können vom Replikat in einer anderen Region ohne regionsübergreifenden KMS-Aufruf entschlüsselt werden. Dies unterstützt globale Anwendungen und die Notfallwiederherstellung.

Multi-Region-Schlüssel eignen sich für Szenarien wie:

• Regionsübergreifende Notfallwiederherstellung, bei der verschlüsselte Backups in einer zweiten Region nutzbar sein müssen.
• Globale Tabellen oder Daten, die über mehrere Regionen repliziert werden.

Für Daten, die in einer Region bleiben, ist ein herkömmlicher Single-Region-Schlüssel einfacher.

Mit KMS können Sie eigenes Schlüsselmaterial importieren (BYOK) und in einem symmetrischen Schlüssel verwenden.

Sie kontrollieren die Generierung und Aufbewahrung, verlieren jedoch die automatische Rotation und müssen das Material erneut importieren, wenn es abläuft. Damit erfüllen Sie Richtlinien, die außerhalb von AWS generierte Schlüssel voraussetzen.

Für besonders strenge Anforderungen kann ein benutzerdefinierter Key Store KMS-Schlüssel mit einem dedizierten CloudHSM-Cluster oder einem externen HSM absichern.

Schlüsseloperationen finden auf Hardware statt, die Sie kontrollieren, während Sie weiterhin die vertraute KMS-API verwenden. Diese Option ist strengen Compliance-Vorgaben vorbehalten.

Zusammenfassung der Optionen:

• Symmetrisch für die alltägliche Verschlüsselung in AWS (Standard).
• Asymmetrisch für externe Verschlüsselung oder Signierung.
• Multi-Region für regionsübergreifende Anforderungen.

Wählen Sie den Schlüsseltyp passend zum Datenfluss im jeweiligen Szenario.

Wählen Sie den richtigen Schlüssel.

Sie haben die KMS-Schlüsseltypen verglichen.

• Symmetrisch ist der AWS-Standard; asymmetrisch ermöglicht externe Verschlüsselung und Signierung.
• Multi-Region-Schlüssel verwenden regionsübergreifend dasselbe Material für die Notfallwiederherstellung.
• Die automatische Rotation gilt für symmetrische Schlüssel; BYOK und benutzerdefinierte Key Stores erfüllen strenge Anforderungen.