คีย์สมมาตร อสมมาตร และหลายรีเจียน

KMS รองรับคีย์ทั้งแบบ สมมาตรและ ไม่สมมาตร

• สมมาตร: ใช้คีย์เดียวกันทั้งเข้ารหัสและถอดรหัส
• ไม่สมมาตร: ใช้คู่คีย์สาธารณะและคีย์ส่วนตัว

แต่ละแบบเหมาะกับความต้องการต่างกัน และการเลือกให้ถูกต้องเป็นหัวข้อที่พบบ่อยในการสอบ

คีย์สมมาตรใช้คีย์ลับหนึ่งคีย์ (AES-256) ทั้งสำหรับเข้ารหัสและถอดรหัส

• เป็นตัวเลือก เริ่มต้นและใช้กันมากที่สุดบน AWS
• การผสานรวมกับบริการเกือบทั้งหมด (S3, EBS, RDS) ใช้คีย์สมมาตร

คีย์จะไม่ออกจาก KMS ดังนั้นทั้งสองฝ่ายจึงเรียกใช้ KMS แทนการแบ่งปันคีย์

คีย์ไม่สมมาตรมี คีย์สาธารณะที่คุณแบ่งปันได้ และ คีย์ส่วนตัวที่อยู่ใน KMS

คีย์เหล่านี้รองรับการเข้ารหัสและถอดรหัส หรือ การลงนามและการตรวจสอบ ใช้คีย์เหล่านี้เมื่อฝ่ายภายนอก AWS ต้องเข้ารหัสข้อมูล (ด้วยคีย์สาธารณะ) หรือตรวจสอบลายเซ็นโดยไม่ต้องเข้าถึง KMS

เลือกใช้คีย์ไม่สมมาตรเมื่อ:

• ต้องเข้ารหัสข้อมูล นอก AWS โดยผู้เรียกมีเพียงคีย์สาธารณะ
• ต้องใช้ ลายเซ็นดิจิทัลเพื่อพิสูจน์ความถูกต้องแท้จริง

หากไม่เข้าเงื่อนไขดังกล่าว คีย์สมมาตรจะเรียบง่ายกว่าและเป็นตัวเลือกเริ่มต้นสำหรับการเข้ารหัสโดยบริการ AWS

KMS key แต่ละรายการมี การใช้งานคีย์ (เข้ารหัสและถอดรหัส หรือลงนามและตรวจสอบ) และ ข้อมูลจำเพาะคีย์ (อัลกอริทึม) ซึ่งกำหนดไว้ตอนสร้าง

คีย์สำหรับลงนามไม่สามารถใช้เข้ารหัสได้ และคีย์สำหรับเข้ารหัสไม่สามารถใช้ลงนามได้ คุณสมบัติเหล่านี้จะกำหนดตายตัวเมื่อสร้างคีย์แล้ว ดังนั้นควรวางแผนการใช้งานที่ต้องการไว้ล่วงหน้า

สำหรับคีย์ที่ลูกค้าจัดการแบบสมมาตร KMS สามารถดำเนินการ หมุนเวียนคีย์อัตโนมัติของข้อมูลคีย์พื้นฐานได้ทุกปี

• รหัสคีย์และชื่อแทนยังคงเดิม
• ระบบเก็บข้อมูลคีย์เดิมไว้เพื่อถอดรหัสข้อมูลเก่า

คีย์ไม่สมมาตรไม่รองรับการหมุนเวียนอัตโนมัติ

คีย์หลายภูมิภาคประกอบด้วยคีย์หลักและ คีย์จำลองในภูมิภาคอื่น ๆ ซึ่งใช้รหัสคีย์และข้อมูลคีย์เดียวกัน

ข้อมูลที่เข้ารหัสในภูมิภาคหนึ่งสามารถถอดรหัสด้วยคีย์จำลองในอีกภูมิภาคได้ โดยไม่ต้องเรียกใช้ KMS ข้ามภูมิภาค ซึ่งรองรับแอปทั่วโลกและการกู้คืนจากภัยพิบัติ

คีย์หลายภูมิภาคเหมาะกับสถานการณ์ต่าง ๆ เช่น:

• การกู้คืนจากภัยพิบัติข้ามภูมิภาค ซึ่งข้อมูลสำรองที่เข้ารหัสแล้วต้องใช้งานได้ในภูมิภาคที่สอง
• ตารางทั่วโลก หรือข้อมูลที่จำลองข้ามภูมิภาค

สำหรับข้อมูลที่อยู่ในภูมิภาคเดียว คีย์มาตรฐานแบบภูมิภาคเดียวจะเรียบง่ายกว่า

KMS อนุญาตให้คุณ นำเข้าสื่อคีย์ของคุณเอง (BYOK) ลงในคีย์สมมาตร

คุณเป็นผู้ควบคุมการสร้างและการเก็บรักษา แต่จะสูญเสียการหมุนเวียนอัตโนมัติ และต้องนำเข้าใหม่หากสื่อคีย์หมดอายุ วิธีนี้รองรับนโยบายที่กำหนดให้สร้างคีย์นอก AWS

สำหรับข้อกำหนดที่เข้มงวดที่สุด คลังเก็บคีย์แบบกำหนดเองจะใช้คลัสเตอร์ CloudHSM เฉพาะหรือ HSM ภายนอกเพื่อรองรับคีย์ KMS

การดำเนินการเกี่ยวกับคีย์เกิดขึ้นบนฮาร์ดแวร์ที่คุณควบคุม ขณะที่คุณยังคงใช้ API ของ KMS ที่คุ้นเคย วิธีนี้สงวนไว้สำหรับข้อบังคับด้านการปฏิบัติตามข้อกำหนดที่เข้มงวดมาก

สรุปตัวเลือก:

• สมมาตร สำหรับการเข้ารหัส AWS ในชีวิตประจำวัน (ค่าเริ่มต้น)
• อสมมาตร สำหรับการเข้ารหัสหรือการลงลายมือชื่อภายนอก
• หลายภูมิภาค สำหรับความต้องการข้ามภูมิภาค

เลือกประเภทคีย์ให้สอดคล้องกับการไหลของข้อมูลในสถานการณ์นั้น

เลือกคีย์ที่เหมาะสม

คุณได้เปรียบเทียบประเภทคีย์ของ KMS แล้ว

• สมมาตร เป็นค่าเริ่มต้นของ AWS ส่วนอสมมาตรรองรับการเข้ารหัสและการลงลายมือชื่อภายนอก
• คีย์หลายภูมิภาคใช้สื่อคีย์ร่วมกันข้ามภูมิภาคเพื่อรองรับ DR
• การหมุนเวียนอัตโนมัติใช้กับคีย์สมมาตร ส่วน BYOK และคลังเก็บคีย์แบบกำหนดเองรองรับความต้องการที่เข้มงวด