Symmetriset, asymmetriset ja monialueiset avaimet

KMS tukee sekä symmetrisiä että asymmetrisiä avaimia.

• Symmetrinen: sama avain salaa ja purkaa salauksen.
• Asymmetrinen: julkisen ja yksityisen avaimen muodostama pari.

Kumpikin sopii erilaisiin tarpeisiin, ja oikean vaihtoehdon valinta on yleinen koeteema.

Symmetriset avaimet käyttävät yhtä salaista avainta (AES-256) sekä salaamiseen että salauksen purkamiseen.

• Ne ovat AWS:n oletus ja yleisin vaihtoehto.
• Lähes kaikki palveluintegraatiot (S3, EBS, RDS) käyttävät symmetrisiä avaimia.

Avain ei koskaan poistu KMS:stä, joten molemmat osapuolet kutsuvat KMS:ää sen sijaan, että jakaisivat avaimen.

Asymmetrisillä avaimilla on jaettava julkinen avain ja KMS:ssä säilyvä yksityinen avain.

Ne tukevat salausta ja salauksen purkamista tai allekirjoittamista ja allekirjoitusten tarkistamista. Käyttäkää niitä, kun AWS:n ulkopuolisen osapuolen on salattava tietoja julkisella avaimella tai tarkistettava allekirjoitus ilman KMS-käyttöoikeutta.

Valitkaa asymmetriset avaimet, kun:

• Tiedot on salattava AWS:n ulkopuolella, missä kutsujalla on käytettävissään vain julkinen avain.
• Tarvitsette digitaalisia allekirjoituksia aitouden todentamiseen.

Muussa tapauksessa symmetriset avaimet ovat yksinkertaisempia ja AWS:n palvelusalauksen oletusvalinta.

Jokaisella KMS-avaimella on luontivaiheessa määritettävä avaimen käyttötarkoitus (salaus/salauksen purku tai allekirjoitus/tarkistus) ja avainmääritys (algoritmi).

Allekirjoitusavain ei voi salata, eikä salausavain voi allekirjoittaa. Nämä ominaisuudet ovat kiinteitä avaimen luonnin jälkeen, joten suunnitelkaa käyttötarkoitus etukäteen.

Symmetrisille asiakkaan hallinnoimille avaimille KMS voi suorittaa taustalla olevan avainmateriaalin automaattisen kierrätyksen vuosittain.

• Avain­tunniste ja alias pysyvät samoina.
• Vanha materiaali säilytetään vanhojen tietojen salauksen purkamista varten.

Asymmetriset avaimet eivät tue automaattista kierrätystä.

Monialueiset avaimet koostuvat ensisijaisesta avaimesta ja muiden alueiden replikoista, joilla on sama avaintunniste ja avainmateriaali.

Yhdellä alueella salatut tiedot voidaan purkaa toisen alueen replikan avulla ilman alueiden välistä KMS-kutsua. Tämä tukee maailmanlaajuisia sovelluksia ja katastrofipalautusta.

Monialueavaimet sopivat esimerkiksi seuraaviin tilanteisiin:

• Alueiden välinen palautuminen katastrofitilanteessa, jossa salattujen varmuuskopioiden on oltava käytettävissä toisella alueella.
• Globaalit taulut tai alueiden välillä replikoitava data.

Yhdelle alueelle jäävälle datalle tavallinen yhden alueen avain on yksinkertaisempi.

KMS:n avulla voitte tuoda oman avainmateriaalinne (BYOK) symmetriseen avaimeen.

Hallitsette avainmateriaalin luontia ja säilyttämistä, mutta menetätte automaattisen kierrätyksen, ja avainmateriaali on tuotava uudelleen sen vanhentuessa. Tämä täyttää käytännöt, jotka edellyttävät avainten luomista AWS:n ulkopuolella.

Tiukimpia vaatimuksia varten mukautettu avainsäilö käyttää KMS-avainten taustalla erillistä CloudHSM-klusteria tai ulkoista HSM:ää.

Avainoperaatiot suoritetaan hallitsemassanne laitteistossa, mutta käytätte edelleen tuttua KMS APIa. Tämä on tarkoitettu tiukkojen vaatimustenmukaisuusvaatimusten täyttämiseen.

Valintojen yhteenveto:

• Symmetrinen tavalliseen AWS-salaukseen (oletus).
• Asymmetrinen ulkoiseen salaukseen tai allekirjoittamiseen.
• Monialueinen alueiden välisiin tarpeisiin.

Sovittakaa avaimen tyyppi tilanteen tietovirtaan.

Vertailitte KMS-avainten tyyppejä.

• Symmetrinen on AWS:n oletus; asymmetrinen mahdollistaa ulkoisen salauksen ja allekirjoittamisen.
• Monialueiset avaimet jakavat avainmateriaalin alueiden välillä DR:ää varten.
• Automaattinen kierrätys koskee symmetrisiä avaimia; BYOK ja mukautetut avainsäilöt vastaavat tiukkoihin tarpeisiin.