Симметричные, асимметричные и многорегиональные ключи

KMS поддерживает как симметричные, так и асимметричные ключи.

• Симметричные: один ключ используется и для шифрования, и для расшифровки.
• Асимметричные: пара открытого и закрытого ключей.

Каждый тип подходит для разных задач, и правильный выбор часто проверяется на экзамене.

Симметричные ключи используют один секретный ключ (AES-256) и для шифрования, и для расшифровки.

• Это тип по умолчанию и самый распространенный тип в AWS.
• Почти все интеграции с сервисами (S3, EBS, RDS) используют симметричные ключи.

Ключ никогда не покидает KMS, поэтому обе стороны обращаются к KMS вместо передачи ключа.

Асимметричные ключи включают открытый ключ, которым можно поделиться, и закрытый ключ, который остается в KMS.

Они поддерживают шифрование и расшифровку либо подписание и проверку подписи. Используйте их, когда стороне за пределами AWS необходимо зашифровать данные с помощью открытого ключа или проверить подпись без доступа к KMS.

Выбирайте асимметричные ключи, когда:

• Данные необходимо зашифровать за пределами AWS, а вызывающая сторона располагает только открытым ключом.
• Для подтверждения подлинности нужны цифровые подписи.

В остальных случаях симметричные ключи проще и являются стандартным выбором для шифрования сервисами AWS.

Для каждого ключа KMS при создании задаются назначение ключа (шифрование и расшифровка либо подписание и проверка подписи) и характеристики ключа (алгоритм).

Ключ для подписания нельзя использовать для шифрования, а ключ для шифрования — для подписания. Эти свойства нельзя изменить после создания ключа, поэтому заранее определите его назначение.

Для симметричных ключей, управляемых клиентом, KMS может выполнять автоматическую ротацию базового ключевого материала раз в год.

• Идентификатор ключа и псевдоним остаются прежними.
• Старый материал сохраняется для расшифровки старых данных.

Асимметричные ключи не поддерживают автоматическую ротацию.

Мультирегиональные ключи состоят из основного ключа и реплик в других регионах, которые используют один и тот же идентификатор и материал ключа.

Данные, зашифрованные в одном регионе, можно расшифровать с помощью реплики в другом без межрегионального вызова KMS. Это поддерживает глобальные приложения и аварийное восстановление.

Многорегиональные ключи подходят для таких сценариев:

• Аварийное восстановление между регионами, когда зашифрованные резервные копии должны быть доступны во втором регионе.
• Глобальные таблицы или данные, реплицируемые между регионами.

Для данных, которые остаются в одном регионе, стандартный однорегиональный ключ проще.

KMS позволяет импортировать собственный ключевой материал (BYOK) в симметричный ключ.

Вы контролируете создание и хранение материала, но теряете автоматическую ротацию и должны повторно импортировать его после истечения срока действия. Это соответствует политикам, требующим создания ключей за пределами AWS.

Для самых строгих требований пользовательское хранилище ключей использует для ключей KMS выделенный кластер CloudHSM или внешний HSM.

Операции с ключами выполняются на оборудовании, которое контролируете Вы, а для работы по-прежнему используется привычный API KMS. Такой вариант предназначен для строгих требований соответствия нормативам.

Краткий обзор вариантов:

• Симметричные — для повседневного шифрования в AWS (по умолчанию).
• Асимметричные — для внешнего шифрования или подписывания.
• Многорегиональные — для задач между регионами.

Выбирайте тип ключа в соответствии с потоком данных в конкретном сценарии.

Выберите подходящий ключ.

Вы сравнили типы ключей KMS.

• Симметричный — вариант AWS по умолчанию; асимметричный поддерживает внешнее шифрование и подписывание.
• Многорегиональные ключи используют общий материал в разных регионах для DR.
• Автоматическая ротация применяется к симметричным ключам; BYOK и пользовательские хранилища ключей подходят для строгих требований.