Klucze symetryczne, asymetryczne i wieloregionowe

KMS obsługuje klucze symetryczne i asymetryczne.

• Symetryczne: ten sam klucz służy do szyfrowania i deszyfrowania.
• Asymetryczne: para kluczy publicznego i prywatnego.

Każdy typ służy innym potrzebom, a jego właściwy wybór jest częstym tematem egzaminacyjnym.

Klucze symetryczne używają jednego tajnego klucza (AES-256) zarówno do szyfrowania, jak i deszyfrowania.

• Są domyślne i najczęściej używane w AWS.
• Niemal wszystkie integracje z usługami (S3, EBS, RDS) korzystają z kluczy symetrycznych.

Klucz nigdy nie opuszcza KMS, dlatego obie strony wywołują KMS zamiast udostępniać sobie klucz.

Klucze asymetryczne mają klucz publiczny, który można udostępniać, oraz klucz prywatny, który pozostaje w KMS.

Obsługują szyfrowanie i deszyfrowanie albo podpisywanie i weryfikację. Należy ich używać, gdy podmiot spoza AWS musi zaszyfrować dane (za pomocą klucza publicznego) lub zweryfikować podpis bez dostępu do KMS.

Klucze asymetryczne należy wybrać, gdy:

• Dane muszą zostać zaszyfrowane poza AWS, a wywołujący ma tylko klucz publiczny.
• Potrzebne są podpisy cyfrowe do potwierdzania autentyczności.

W pozostałych przypadkach klucze symetryczne są prostsze i stanowią domyślny wybór do szyfrowania przez usługi AWS.

Każdy klucz KMS ma zastosowanie klucza (szyfrowanie/deszyfrowanie lub podpisywanie/weryfikacja) oraz specyfikację klucza (algorytm), które są ustalane podczas jego tworzenia.

Klucz do podpisywania nie może służyć do szyfrowania, a klucz szyfrujący nie może służyć do podpisywania. Właściwości te są stałe po utworzeniu klucza, dlatego jego przeznaczenie należy zaplanować z wyprzedzeniem.

W przypadku symetrycznych kluczy zarządzanych przez klienta KMS może przeprowadzać automatyczną rotację bazowego materiału klucza co roku.

• Identyfikator klucza i alias pozostają takie same.
• Stary materiał jest zachowywany, aby można było odszyfrowywać starsze dane.

Klucze asymetryczne nie obsługują automatycznej rotacji.

Klucze wieloregionowe składają się z klucza podstawowego oraz replik w innych regionach, które współdzielą ten sam identyfikator i materiał klucza.

Dane zaszyfrowane w jednym regionie można odszyfrować za pomocą repliki w innym bez wywołania KMS między regionami. Obsługuje to aplikacje globalne i odzyskiwanie po awarii.

Klucze Multi-Region sprawdzają się w scenariuszach takich jak:

• Odzyskiwanie po awarii w wielu regionach, gdy zaszyfrowane kopie zapasowe muszą nadawać się do użycia w drugim regionie.
• Tabele globalne lub dane replikowane między regionami.

W przypadku danych pozostających w jednym regionie prostszy będzie standardowy klucz Single-Region.

KMS umożliwia importowanie własnego materiału klucza (BYOK) do klucza symetrycznego.

Kontrolują Państwo generowanie i przechowywanie materiału, ale tracą Państwo automatyczną rotację i muszą ponownie zaimportować materiał po jego wygaśnięciu. Spełnia to wymagania zasad, które wymagają generowania kluczy poza AWS.

W przypadku najbardziej rygorystycznych wymagań niestandardowy magazyn kluczy wykorzystuje dedykowany klaster CloudHSM lub zewnętrzny moduł HSM do obsługi kluczy KMS.

Operacje na kluczach odbywają się na sprzęcie kontrolowanym przez Państwa, a jednocześnie nadal korzystają Państwo ze znanego interfejsu API KMS. To rozwiązanie jest zarezerwowane dla rygorystycznych wymagań dotyczących zgodności.

Podsumowanie możliwości:

• Symetryczny do codziennego szyfrowania w AWS (domyślnie).
• Asymetryczny do szyfrowania lub podpisywania poza AWS.
• Multi-Region na potrzeby operacji obejmujących wiele regionów.

Należy dopasować typ klucza do przepływu danych w danym scenariuszu.

Proszę wybrać właściwy klucz.

Porównali Państwo typy kluczy KMS.

• Symetryczny jest domyślnym kluczem w AWS; asymetryczny umożliwia szyfrowanie i podpisywanie poza AWS.
• Klucze Multi-Region współdzielą materiał między regionami na potrzeby DR.
• Automatyczna rotacja dotyczy kluczy symetrycznych; BYOK i niestandardowe magazyny kluczy spełniają rygorystyczne wymagania.