Kunci Simetris, Asimetris, dan Multi-Wilayah

KMS mendukung kunci simetris dan asimetris.

• Simetris: satu kunci digunakan untuk mengenkripsi dan mendekripsi.
• Asimetris: pasangan kunci publik dan privat.

Masing-masing sesuai untuk kebutuhan yang berbeda, dan memilih dengan tepat merupakan tema umum dalam ujian.

Kunci simetris menggunakan satu kunci rahasia (AES-256) untuk mengenkripsi dan mendekripsi.

• Kunci ini merupakan pilihan bawaan dan yang paling umum di AWS.
• Hampir semua integrasi layanan (S3, EBS, RDS) menggunakan kunci simetris.

Kunci tidak pernah keluar dari KMS, sehingga kedua pihak memanggil KMS, bukan saling membagikan kunci.

Kunci asimetris memiliki kunci publik yang dapat Anda bagikan dan kunci privat yang tetap berada di KMS.

Kunci ini mendukung enkripsi/dekripsi atau penandatanganan/verifikasi. Gunakan kunci ini saat pihak di luar AWS harus mengenkripsi data (dengan kunci publik) atau memverifikasi tanda tangan tanpa akses ke KMS.

Pilih kunci asimetris jika:

• Data harus dienkripsi di luar AWS oleh pemanggil yang hanya memiliki kunci publik.
• Anda memerlukan tanda tangan digital untuk membuktikan keaslian.

Jika tidak, kunci simetris lebih sederhana dan menjadi pilihan bawaan untuk enkripsi layanan AWS.

Setiap kunci KMS memiliki penggunaan kunci (enkripsi/dekripsi atau penandatanganan/verifikasi) dan spesifikasi kunci (algoritme) yang ditetapkan saat pembuatan.

Kunci penandatanganan tidak dapat mengenkripsi, dan kunci enkripsi tidak dapat menandatangani. Properti ini tetap setelah kunci dibuat, jadi rencanakan penggunaannya sejak awal.

Untuk kunci yang dikelola pelanggan dan bersifat simetris, KMS dapat melakukan rotasi otomatis material kunci dasar setiap tahun.

• ID kunci dan alias tetap sama.
• Material lama dipertahankan untuk mendekripsi data lama.

Kunci asimetris tidak mendukung rotasi otomatis.

Kunci multi-region terdiri atas kunci utama dan replika di region lain yang menggunakan ID kunci dan material yang sama.

Data yang dienkripsi di satu region dapat didekripsi oleh replika di region lain tanpa panggilan KMS lintas region. Hal ini mendukung aplikasi global dan pemulihan bencana.

Kunci Multi-Region cocok untuk skenario seperti:

• Pemulihan bencana lintas wilayah, ketika cadangan terenkripsi harus dapat digunakan di wilayah kedua.
• Tabel global atau data yang direplikasi di seluruh wilayah.

Untuk data yang tetap berada di satu wilayah, kunci standar satu wilayah lebih sederhana.

KMS memungkinkan Anda mengimpor materi kunci Anda sendiri (BYOK) ke dalam kunci simetris.

Anda mengendalikan pembuatan dan penyimpanannya, tetapi kehilangan rotasi otomatis dan harus mengimpor ulang jika materi tersebut kedaluwarsa. Hal ini memenuhi kebijakan yang mengharuskan kunci dibuat di luar AWS.

Untuk persyaratan yang paling ketat, penyimpanan kunci kustom mendukung kunci KMS dengan klaster CloudHSM khusus atau HSM eksternal.

Operasi kunci berlangsung pada perangkat keras yang Anda kendalikan, sementara Anda tetap menggunakan API KMS yang sudah dikenal. Fitur ini diperuntukkan bagi mandat kepatuhan yang sangat ketat.

Ringkasan pilihan:

• Simetris untuk enkripsi AWS sehari-hari (bawaan).
• Asimetris untuk enkripsi atau penandatanganan eksternal.
• Multi-Region untuk kebutuhan lintas wilayah.

Sesuaikan jenis kunci dengan aliran data dalam skenario tersebut.

Anda telah membandingkan jenis kunci KMS.

• Simetris adalah bawaan AWS; asimetris memungkinkan enkripsi dan penandatanganan eksternal.
• Kunci Multi-Region membagikan materi kunci di seluruh wilayah untuk DR.
• Rotasi otomatis berlaku untuk kunci simetris; BYOK dan penyimpanan kunci kustom memenuhi kebutuhan yang ketat.