Simetrik, Asimetrik ve Çok Bölgeli Anahtarlar

KMS hem simetrik hem de asimetrik anahtarları destekler.

• Simetrik: Şifreleme ve şifre çözme işlemlerinin ikisinde de tek anahtar kullanılır.
• Asimetrik: Herkese açık ve özel anahtar çifti kullanılır.

Her biri farklı ihtiyaçlara uygundur ve doğru seçimi yapmak sınavlarda sık karşılaşılan bir konudur.

Simetrik anahtarlar, hem şifreleme hem de şifre çözme için tek bir gizli anahtar (AES-256) kullanır.

• AWS'de varsayılan ve en yaygın kullanılan anahtar türüdür.
• Neredeyse tüm hizmet entegrasyonları (S3, EBS, RDS) simetrik anahtarları kullanır.

Anahtar KMS'den asla çıkmaz; bu nedenle her iki taraf da anahtarı paylaşmak yerine KMS'yi çağırır.

Asimetrik anahtarların paylaşabileceğiniz bir herkese açık anahtarı ve KMS içinde kalan bir özel anahtarı vardır.

Şifreleme ve şifre çözmenin yanı sıra imzalama ve doğrulamayı destekler. AWS dışındaki bir tarafın verileri (herkese açık anahtarla) şifrelemesi veya KMS'ye erişmeden bir imzayı doğrulaması gerektiğinde bunları kullanın.

Şu durumlarda asimetrik anahtarları seçin:

• Verilerin, çağrıyı yapan tarafın yalnızca herkese açık anahtara sahip olduğu AWS dışında şifrelenmesi gerekiyorsa.
• Özgünlüğü kanıtlamak için dijital imzalara ihtiyaç duyuyorsanız.

Bunların dışındaki durumlarda simetrik anahtarlar daha basittir ve AWS hizmet şifrelemesi için varsayılan seçenektir.

Her KMS anahtarının oluşturulurken belirlenen bir anahtar kullanımı (şifreleme/şifre çözme veya imzalama/doğrulama) ve bir anahtar özelliği (algoritması) vardır.

İmzalama anahtarı şifreleme yapamaz; şifreleme anahtarı da imza oluşturamaz. Bu özellikler anahtar oluşturulduktan sonra değiştirilemez; bu nedenle amaçlanan kullanımı baştan planlayın.

Simetrik, müşteri tarafından yönetilen anahtarlar için KMS, temel anahtar materyalini her yıl otomatik olarak döndürebilir.

• Anahtar kimliği ve takma ad aynı kalır.
• Eski verilerin şifresini çözmek için eski materyal saklanır.

Asimetrik anahtarlar otomatik döndürmeyi desteklemez.

Çok bölgeli anahtarlar, diğer bölgelerde bulunan ve aynı anahtar kimliği ile materyalini paylaşan bir birincil anahtar ve kopyalardan oluşur.

Bir bölgede şifrelenen verilerin şifresi, bölgeler arası KMS çağrısı yapılmadan başka bir bölgedeki kopya tarafından çözülebilir. Bu özellik, küresel uygulamaları ve olağanüstü durum kurtarmayı destekler.

Çok bölgeli anahtarlar şu senaryolara uygundur:

• Bölgeler arası olağanüstü durum kurtarma; şifrelenmiş yedeklerin ikinci bir bölgede kullanılabilir olması gerektiğinde.
• Genel tablolar veya bölgeler arasında çoğaltılan veriler.

Tek bir bölgede kalan veriler için standart tek bölgeli anahtar daha basittir.

KMS, kendi anahtar malzemenizi (BYOK) simetrik bir anahtara içe aktarmanıza olanak tanır.

Oluşturma ve saklama süresini siz denetlersiniz; ancak otomatik döndürmeyi kaybedersiniz ve malzemenin süresi dolarsa yeniden içe aktarmanız gerekir. Bu, anahtarların AWS dışında oluşturulmasını gerektiren politikaları karşılar.

En katı gereksinimler için bir özel anahtar deposu, KMS anahtarlarını özel bir CloudHSM kümesiyle veya harici bir HSM ile destekler.

Anahtar işlemleri, denetlediğiniz donanımda gerçekleşirken tanıdık KMS API'sini kullanmaya devam edersiniz. Bu seçenek, katı uyumluluk zorunlulukları için ayrılmıştır.

Seçeneklerin özeti:

• Günlük AWS şifrelemesi için Simetrik (varsayılan).
• Harici şifreleme veya imzalama için Asimetrik.
• Bölgeler arası gereksinimler için Çok Bölgeli.

Anahtar türünü senaryodaki veri akışına uygun seçin.

Doğru anahtarı seçin.

KMS anahtar türlerini karşılaştırdınız.

• Simetrik AWS'nin varsayılanıdır; asimetrik harici şifreleme ve imzalamayı mümkün kılar.
• Çok bölgeli anahtarlar, DR için malzemeyi bölgeler arasında paylaşır.
• Otomatik döndürme simetrik anahtarlar için geçerlidir; BYOK ve özel anahtar depoları katı gereksinimleri karşılar.