信封加密与数据密钥
了解 KMS 如何保护用于加密实际数据的数据密钥。
信封加密与数据密钥 是 CoddyKit 上的免费 AWS Security Academy 课时。 这是第 4 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 AWS Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 AWS Security Academy 课程共包含 4 节课。
大数据问题
KMS 只能直接加密较小的有效负载（约 4 KB）。实际数据、文件、卷和数据库都要大得多。
信封加密解决了这个问题：您使用数据密钥加密大型数据，然后使用 KMS 密钥加密该数据密钥。这正是 AWS 大规模加密所有数据的方式。
数据密钥是什么
数据密钥是由 KMS 生成的普通加密密钥（例如 AES-256），用于加密您的实际数据。
- 与 KMS 密钥不同，数据密钥的明文会短暂离开 KMS，以便您使用它。
- KMS 还会返回数据密钥的加密副本。
GenerateDataKey
您调用 GenerateDataKey 并指定一个 KMS 密钥。KMS 会返回：
- 用于立即加密数据的明文数据密钥。
- 用于与密文一起存储的加密数据密钥（由 KMS 密钥封装）。
随后，您应从内存中丢弃明文数据密钥。
aws kms generate-data-key \
--key-id alias/my-app-key \
--key-spec AES_256信封模式
流程如下：
- 使用明文数据密钥加密数据。
- 将加密数据密钥与密文存放在一起。
- 丢弃明文数据密钥。
数据密钥被 KMS 密钥封装，仿佛位于一个“信封”中，因此得名。
使用信封解密
解密时，按相反顺序执行：
- 将加密数据密钥发送给 KMS 的 Decrypt。
- KMS 返回明文数据密钥。
- 使用它解密数据，然后将其丢弃。
只有 KMS 能解封数据密钥，因此对 KMS 密钥的访问控制着全部数据。
信封加密的优势
信封加密兼具两方面的优势：
- 使用数据密钥对大型数据进行快速的本地加密。
- 由于没有 KMS 密钥数据密钥就毫无用处，因此具备集中控制能力。
此外，还可以减少 KMS 调用，因为一个数据密钥可以保护大量数据。
缓存数据密钥
对于高吞吐量工作负载，AWS Encryption SDK 可以缓存数据密钥，以便在多次加密操作之间重复使用。
这样可以降低 KMS 请求成本和延迟；同时还可以配置限制，避免缓存的密钥被重复使用过长时间或用于过多数据，从而在性能与安全性之间取得平衡。
服务如何在内部使用它
当您为 S3、EBS 或 RDS 启用加密时，AWS 会为您执行信封加密。
该服务会从您的 KMS 密钥请求数据密钥，加密数据，并存储封装后的数据密钥。您只需选择 KMS 密钥；信封加密机制会自动完成。
AWS Encryption SDK
AWS Encryption SDK 是一个客户端库，可在您自己的应用中正确实现信封加密。
它会处理数据密钥生成、加密上下文，以及将封装后的密钥与密文一起存储，因此您不必自行实现容易出错的密码学底层逻辑。
GenerateDataKeyWithoutPlaintext
GenerateDataKeyWithoutPlaintext 的变体只返回加密数据密钥。
当您希望现在生成并存储数据密钥、稍后在实际使用时才解密它时，可以使用此操作。这样可以让明文密钥在真正需要之前一直不进入内存，从而降低提前配置的密钥暴露风险。
为什么考试会考到它
信封加密说明了KMS 为什么能够扩展，以及单个 KMS 密钥如何保护数 TB 的数据。
请重点掌握 GenerateDataKey 流程、哪些内容会离开 KMS（数据密钥，而且只是短暂离开），以及为什么控制 KMS 密钥就能控制所有派生数据。
快速检查
测试信封加密流程。
回顾
您了解了信封加密。
- GenerateDataKey 会返回一个明文数据密钥和一个加密数据密钥。
- 使用明文密钥在本地加密数据，存储封装后的密钥，并丢弃明文密钥。
- 只有 KMS 密钥能够解封数据密钥，从而集中控制所有数据。
常见问题解答
「信封加密与数据密钥」课时是免费的吗？
是的 — 「信封加密与数据密钥」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 AWS Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 AWS Security Academy 课程共包含 4 节课。
「信封加密与数据密钥」这节课中我会学到什么？
了解 KMS 如何保护用于加密实际数据的数据密钥。 你通过在浏览器中直接运行的动手代码来练习 AWS Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 AWS Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 AWS Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 4 节课，共 4 节。
「信封加密与数据密钥」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 AWS Security Academy 课中编写并运行代码吗？
能。每节 AWS Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。