Kunci Simetri, Asimetri dan Berbilang Rantau

KMS menyokong kunci simetri dan asimetri.

• Simetri: satu kunci digunakan untuk menyulitkan dan menyahsulit.
• Asimetri: pasangan kunci awam dan peribadi.

Setiap jenis sesuai untuk keperluan yang berbeza, dan pemilihan yang betul ialah tema peperiksaan yang lazim.

Kunci simetri menggunakan satu kunci rahsia (AES-256) untuk penyulitan dan penyahsulitan.

• Kunci ini ialah pilihan lalai dan paling biasa dalam AWS.
• Hampir semua integrasi perkhidmatan (S3, EBS, RDS) menggunakan kunci simetri.

Kunci tidak pernah meninggalkan KMS, jadi kedua-dua pihak memanggil KMS dan bukannya berkongsi kunci.

Kunci asimetri mempunyai kunci awam yang boleh dikongsi dan kunci peribadi yang kekal dalam KMS.

Kunci ini menyokong penyulitan/penyahsulitan atau penandatanganan/pengesahan. Gunakannya apabila pihak di luar AWS perlu menyulitkan data (dengan kunci awam) atau mengesahkan tandatangan tanpa akses kepada KMS.

Pilih kunci asimetri apabila:

• Data mesti disulitkan di luar AWS apabila pemanggil hanya mempunyai kunci awam.
• Anda memerlukan tandatangan digital untuk membuktikan ketulenan.

Jika tidak, kunci simetri lebih mudah dan merupakan pilihan lalai untuk penyulitan perkhidmatan AWS.

Setiap kunci KMS mempunyai penggunaan kunci (penyulitan/penyahsulitan atau tandatangan/pengesahan) dan spesifikasi kunci (algoritma) yang ditetapkan semasa penciptaan.

Kunci tandatangan tidak boleh menyulitkan, manakala kunci penyulitan tidak boleh menandatangani. Sifat ini ditetapkan selepas kunci dicipta, jadi rancang penggunaan yang dimaksudkan terlebih dahulu.

Bagi kunci terurus pelanggan yang simetri, KMS boleh melaksanakan penggiliran automatik bahan kunci asas setiap tahun.

• ID kunci dan alias kekal sama.
• Bahan lama disimpan untuk menyahsulit data lama.

Kunci asimetri tidak menyokong penggiliran automatik.

Kunci berbilang rantau ialah kunci utama dan replika di rantau lain yang berkongsi ID kunci dan bahan yang sama.

Data yang disulitkan di satu rantau boleh dinyahsulit oleh replika di rantau lain tanpa panggilan KMS merentas rantau. Ini menyokong aplikasi global dan pemulihan bencana.

Kunci Berbilang Wilayah sesuai untuk senario seperti:

• Pemulihan bencana merentas wilayah, apabila sandaran yang disulitkan mesti boleh digunakan di wilayah kedua.
• Jadual global atau data yang direplikasi merentas wilayah.

Untuk data yang kekal dalam satu wilayah, kunci satu wilayah standard adalah lebih mudah.

KMS membolehkan anda mengimport bahan kunci anda sendiri (BYOK) ke dalam kunci simetri.

Anda mengawal penjanaan dan pengekalan, tetapi kehilangan putaran automatik, dan mesti mengimport semula bahan tersebut jika tamat tempoh. Ini memenuhi dasar yang memerlukan kunci dijana di luar AWS.

Untuk keperluan paling ketat, gedung kunci tersuai menyokong kunci KMS dengan kelompok CloudHSM khusus atau HSM luaran.

Operasi kunci berlaku dalam perkakasan yang anda kawal, sementara anda masih menggunakan API KMS yang biasa. Ini dikhaskan untuk mandat pematuhan yang ketat.

Ringkasan pilihan:

• Simetri untuk penyulitan AWS harian (lalai).
• Asimetri untuk penyulitan atau penandatanganan luaran.
• Berbilang Wilayah untuk keperluan merentas wilayah.

Padankan jenis kunci dengan aliran data dalam senario tersebut.

Anda telah membandingkan jenis kunci KMS.

• Simetri ialah lalai AWS; asimetri membolehkan penyulitan dan penandatanganan luaran.
• Kunci Berbilang Wilayah berkongsi bahan merentas wilayah untuk DR.
• Putaran automatik terpakai pada kunci simetri; BYOK dan gedung kunci tersuai memenuhi keperluan ketat.