Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
# Pengantar rincian kriptografi AWS KMS
AWS Key Management Service (AWS KMS) menyediakan antarmuka web untuk menghasilkan dan mengelola kunci kriptografi dan beroperasi sebagai penyedia layanan kriptografi untuk melindungi data. AWS KMS menawarkan layanan manajemen kunci tradisional yang terintegrasi dengan AWS layanan untuk memberikan pandangan yang konsisten tentang kunci pelanggan AWS, dengan manajemen dan audit terpusat. Whitepaper ini memberikan penjelasan rinci tentang operasi kriptografi AWS KMS untuk membantu Anda dalam mengevaluasi fitur yang ditawarkan oleh layanan.
AWS KMS [mencakup antarmuka web melalui, antarmuka baris perintah Konsol Manajemen AWS, dan operasi RESTful API untuk meminta operasi kriptografi dari armada terdistribusi modul keamanan perangkat keras tervalidasi FIPS 140-3 () [HSMs1].](kms-bibliography.md#fips-hsms) AWS KMS HSM adalah alat kriptografi perangkat keras mandiri multichip yang dirancang untuk menyediakan fungsi kriptografi khusus untuk memenuhi persyaratan keamanan dan skalabilitas. AWS KMS Anda dapat membuat hierarki kriptografi berbasis HSM Anda sendiri di bawah kunci yang Anda kelola sebagai. AWS KMS keys Kunci-kunci ini hanya tersedia di memori HSMs dan hanya untuk waktu yang diperlukan untuk memproses permintaan kriptografi Anda. Anda dapat membuat beberapa kunci KMS, masing-masing diwakili oleh ID kuncinya. Hanya di bawah peran AWS IAM dan akun yang dikelola oleh setiap pelanggan, kunci KMS pelanggan dapat dibuat, dihapus, atau digunakan untuk mengenkripsi, mendekripsi, menandatangani, atau memverifikasi data. Anda dapat menentukan kontrol akses pada siapa yang dapat mengelola and/or menggunakan kunci KMS dengan membuat kebijakan yang dilampirkan ke kunci. Kebijakan tersebut memungkinkan Anda untuk menentukan penggunaan khusus aplikasi untuk kunci Anda bagi setiap operasi API.
Selain itu, sebagian besar AWS layanan mendukung enkripsi data saat istirahat menggunakan kunci KMS. Kemampuan ini memungkinkan pelanggan untuk mengontrol bagaimana dan kapan AWS layanan dapat mengakses data terenkripsi dengan mengontrol bagaimana dan kapan kunci KMS dapat diakses.
![\[AWS KMS arsitektur.\]](http://docs.aws.amazon.com/id_id/kms/latest/cryptographic-details/images/KMS-Architecture.png)
AWS KMS adalah layanan berjenjang yang terdiri dari AWS KMS host yang menghadap ke web dan tingkat. HSMs Pengelompokan host berjenjang ini membentuk tumpukan. AWS KMS Semua permintaan AWS KMS harus dibuat melalui protokol Transport Layer Security (TLS) dan berakhir AWS KMS pada host. AWS KMS [host hanya mengizinkan TLS dengan ciphersuite yang memberikan kerahasiaan maju yang sempurna.](http://dx.doi.org/10.6028/NIST.SP.800-52r2) AWS KMS mengautentikasi dan mengotorisasi permintaan Anda menggunakan mekanisme kredensyal dan kebijakan AWS Identity and Access Management (IAM) yang sama yang tersedia untuk semua operasi API lainnya. AWS
# Konsep Basic
Mempelajari beberapa istilah dan konsep dasar akan membantu Anda mendapatkan hasil maksimal AWS Key Management Service.
**AWS KMS key**
AWS KMS mengganti istilah *customer master key (CMK)* dengan *AWS KMS key*dan kunci *KMS*. Konsepnya tidak berubah. Untuk mencegah perubahan yang melanggar, AWS KMS adalah menjaga beberapa variasi istilah ini.
Kunci logis yang mewakili bagian atas hierarki kunci Anda. Kunci KMS diberikan Amazon Resource Name (ARN) yang menyertakan pengenal kunci unik, atau ID kunci. AWS KMS keys memiliki tiga jenis:
+ **Kunci terkelola pelanggan** — Pelanggan membuat dan mengontrol siklus hidup dan kebijakan kunci kunci yang dikelola pelanggan. Semua permintaan yang dibuat terhadap kunci ini dicatat sebagai CloudTrail peristiwa.
+ **Kunci yang dikelola AWS**— AWS membuat dan mengontrol siklus hidup dan kebijakan utama Kunci yang dikelola AWS, yang merupakan sumber daya dalam pelanggan. Akun AWS Pelanggan dapat melihat kebijakan dan CloudTrail acara akses untuk Kunci yang dikelola AWS, tetapi tidak dapat mengelola aspek apa pun dari kunci ini. Semua permintaan yang dibuat terhadap kunci ini dicatat sebagai CloudTrail peristiwa.
+ **Kunci milik AWS**— Kunci ini dibuat dan secara eksklusif digunakan oleh AWS untuk operasi enkripsi internal di berbagai AWS layanan. Pelanggan tidak memiliki visibilitas ke dalam kebijakan utama atau Kunci milik AWS penggunaan di CloudTrail.
**Alias**
Nama yang ramah pengguna yang dikaitkan dengan kunci KMS. Alias dapat digunakan secara bergantian dengan ID kunci di banyak operasi API. AWS KMS
**Izin**
Kebijakan yang dilampirkan pada kunci KMS yang menentukan izin pada kunci tersebut. Kebijakan default memungkinkan prinsip apa pun yang Anda tentukan, serta memungkinkan Akun AWS untuk menambahkan kebijakan IAM yang mereferensikan kunci.
**Izin**
Izin yang didelegasikan untuk menggunakan kunci KMS ketika prinsip IAM yang dimaksud atau durasi penggunaan tidak diketahui sejak awal dan oleh karena itu tidak dapat ditambahkan ke kunci atau kebijakan IAM. Salah satu penggunaan hibah adalah untuk menentukan izin tercakup bawah untuk bagaimana layanan dapat menggunakan kunci KMS. AWS Layanan mungkin perlu menggunakan kunci Anda untuk melakukan pekerjaan asinkron atas nama Anda pada data terenkripsi tanpa adanya panggilan API yang ditandatangani langsung dari Anda.
**Kunci data**
Kunci kriptografi dihasilkan HSMs, dilindungi oleh kunci KMS. AWS KMS memungkinkan entitas yang berwenang untuk mendapatkan kunci data yang dilindungi oleh kunci KMS. Kunci data tersebut dapat dikembalikan baik sebagai plaintext (tidak terenkripsi) kunci data dan sebagai kunci data terenkripsi. Kunci data dapat simetris atau asimetris (dengan kedua bagian publik dan privat dikembalikan).
**Ciphertext**
Output terenkripsi dari AWS KMS, kadang-kadang disebut sebagai ciphertext pelanggan untuk menghilangkan kebingungan. Ciphertext berisi data terenkripsi dengan informasi tambahan yang mengidentifikasi kunci KMS untuk digunakan dalam proses dekripsi. Kunci data terenkripsi adalah salah satu contoh umum ciphertext yang dihasilkan saat menggunakan kunci KMS, tetapi data apa pun di bawah 4 KB dalam ukuran dapat dienkripsi di bawah kunci KMS untuk menghasilkan ciphertext.
**Konteks enkripsi**
Peta pasangan kunci-nilai informasi tambahan yang terkait dengan AWS KMS informasi yang dilindungi. AWS KMS menggunakan enkripsi yang diautentikasi untuk melindungi kunci data. Konteks enkripsi dimasukkan ke dalam AAD dari enkripsi yang diautentikasi dalam ciphertext yang dienkripsi AWS KMS. Informasi konteks ini opsional dan tidak dikembalikan ketika meminta kunci (atau operasi enkripsi). Namun, jika digunakan, nilai konteks ini diperlukan untuk berhasil menyelesaikan operasi dekripsi. Penggunaan dimaksudkan konteks enkripsi adalah untuk memberikan informasi terautentikasi tambahan. Informasi ini dapat membantu Anda menegakkan kebijakan dan disertakan dalam AWS CloudTrail log. Misalnya, Anda dapat menggunakan sepasang kunci-nilai \$1"key name”:” satellite uplink key"\$1 untuk memberikan nama kunci data. Penggunaan kunci selanjutnya menciptakan AWS CloudTrail entri yang mencakup “nama kunci”: “kunci uplink satelit.” Informasi tambahan ini dapat memberikan konteks yang berguna untuk memahami mengapa kunci KMS yang diberikan digunakan.
**Kunci publik**
Bila menggunakan cipher asimetris (RSA atau kurva elips), kunci publik adalah “komponen publik” dari pasangan kunci publik-privat. Kunci publik dapat dibagi dan didistribusikan ke entitas yang perlu mengenkripsi data untuk pemilik pasangan kunci publik-privat. Untuk operasi tanda tangan digital, pasangan kunci publik digunakan untuk memverifikasi tanda tangan.
**Kunci privat**
Bila menggunakan cipher asimetris (RSA atau kurva elips), kunci publik adalah “komponen publik” dari pasangan kunci publik-privat. Kunci privat digunakan untuk mendekripsi data atau membuat tanda tangan digital. Mirip dengan kunci KMS simetris, kunci pribadi dienkripsi. HSMs Kunci tersebut didekripsi hanya ke dalam memori jangka pendek HSM dan hanya untuk waktu yang dibutuhkan untuk memproses permintaan kriptografi Anda.
# AWS KMS tujuan desain
AWS KMS dirancang untuk memenuhi persyaratan berikut.
**Daya tahan**
Daya tahan kunci kriptografi dirancang untuk menyamai layanan dengan daya tahan tertinggi di AWS. Kunci kriptografi tunggal dapat mengenkripsi volume besar data Anda yang telah terakumulasi dalam waktu lama.
**Dapat Dipercaya**
Penggunaan kunci dilindungi oleh kebijakan kontrol akses yang Anda tetapkan dan kelola. Tidak ada mekanisme untuk mengekspor kunci KMS plaintext. Kerahasiaan kunci kriptografi Anda sangat penting. Beberapa karyawan Amazon dengan akses khusus peran ke kontrol akses berbasis kuorum diperlukan untuk melakukan tindakan administratif pada. HSMs
**Latensi rendah dan throughput yang tinggi**
AWS KMS menyediakan operasi kriptografi pada tingkat latensi dan throughput yang cocok untuk digunakan oleh layanan lain di. AWS
**Daerah Independen**
AWS menyediakan Wilayah independen untuk pelanggan yang perlu membatasi akses data di Wilayah yang berbeda. Penggunaan kunci dapat diisolasi dalam file Wilayah AWS.
**Sumber nomor acak yang aman**
Karena kriptografi yang kuat bergantung pada generasi angka acak yang benar-benar tidak dapat diprediksi, AWS KMS menyediakan sumber angka acak berkualitas tinggi dan tervalidasi.
**Audit**
AWS KMS mencatat penggunaan dan pengelolaan kunci kriptografi dalam AWS CloudTrail log. Anda dapat menggunakan AWS CloudTrail log untuk memeriksa penggunaan kunci kriptografi Anda, termasuk penggunaan kunci oleh AWS layanan atas nama Anda.
Untuk mencapai tujuan ini, AWS KMS sistem mencakup seperangkat AWS KMS operator dan operator host layanan (secara kolektif, “operator”) yang mengelola “domain.” Domain adalah seperangkat AWS KMS server,, HSMs dan operator yang ditentukan secara regional. Setiap AWS KMS operator memiliki token perangkat keras yang berisi key pair pribadi dan publik yang digunakan untuk mengotentikasi tindakannya. Mereka HSMs memiliki tambahan private dan public key pair untuk membangun kunci enkripsi yang melindungi sinkronisasi status HSM.
Paper ini menggambarkan bagaimana AWS KMS melindungi kunci Anda dan data lain yang ingin Anda enkripsi. Dalam seluruh dokumen ini, kunci enkripsi atau data yang ingin Anda enkripsi disebut sebagai “rahasia” atau “materi rahasia”.