Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

# Rotasi kunci untuk AWS KMS dan ruang lingkup dampak
<a name="data-protection-key-rotation"></a>

Kami tidak merekomendasikan AWS Key Management Service (AWS KMS) rotasi kunci kecuali Anda diminta untuk memutar kunci untuk kepatuhan terhadap peraturan. Misalnya, Anda mungkin diminta untuk memutar kunci KMS Anda karena kebijakan bisnis, aturan kontrak, atau peraturan pemerintah. Desain secara AWS KMS signifikan mengurangi jenis risiko yang biasanya digunakan untuk mengurangi rotasi kunci. Jika Anda harus memutar tombol KMS, kami sarankan Anda menggunakan rotasi tombol otomatis dan menggunakan rotasi tombol manual hanya jika rotasi tombol otomatis tidak didukung.

**Topics**
+ [AWS KMS rotasi kunci simetris](#data-protection-key-rotation-symmetric)
+ [Rotasi kunci untuk volume Amazon EBS](#data-protection-key-rotation-ebs)
+ [Rotasi kunci untuk Amazon RDS](#data-protection-key-rotation-rds)
+ [Rotasi kunci untuk Amazon S3 dan Replikasi Wilayah yang Sama](#data-protection-key-rotation-s3)
+ [Memutar kunci KMS dengan bahan impor](#data-protection-key-rotation-imported)

## AWS KMS rotasi kunci simetris
<a name="data-protection-key-rotation-symmetric"></a>

AWS KMS mendukung [rotasi kunci otomatis](https://docs.aws.amazon.com/kms/latest/developerguide/rotate-keys.html) hanya untuk kunci KMS enkripsi simetris dengan bahan kunci yang AWS KMS dibuat. Rotasi otomatis adalah opsional untuk kunci KMS yang dikelola pelanggan. Secara tahunan, AWS KMS memutar materi kunci untuk kunci KMS yang AWS dikelola. AWS KMS menyimpan semua versi sebelumnya dari materi kriptografi selama-lamanya, sehingga Anda dapat mendekripsi data apa pun yang dienkripsi dengan kunci KMS itu. AWS KMS tidak menghapus materi kunci yang diputar sampai Anda menghapus kunci KMS. Juga, ketika Anda mendekripsi objek dengan menggunakan AWS KMS, layanan menentukan bahan pendukung yang benar untuk digunakan untuk operasi dekripsi; tidak ada parameter input tambahan yang perlu disediakan.

Karena AWS KMS mempertahankan versi sebelumnya dari materi kunci kriptografi dan karena Anda dapat menggunakan materi itu untuk mendekripsi data, rotasi kunci tidak memberikan manfaat keamanan tambahan. Mekanisme rotasi kunci ada untuk memudahkan memutar kunci jika Anda mengoperasikan beban kerja dalam konteks di mana peraturan atau persyaratan lain menuntutnya.

## Rotasi kunci untuk volume Amazon EBS
<a name="data-protection-key-rotation-ebs"></a>

Anda dapat memutar kunci data Amazon Elastic Block Store (Amazon EBS) Elastic Block Store (Amazon EBS) dengan menggunakan salah satu pendekatan berikut. Pendekatannya tergantung pada alur kerja, metode penerapan, dan arsitektur aplikasi Anda. Anda mungkin ingin melakukan ini ketika mengubah dari kunci AWS terkelola ke kunci yang dikelola pelanggan.

**Untuk menggunakan alat sistem operasi untuk menyalin data dari satu volume ke volume lainnya**

1. Buat kunci KMS baru. Untuk petunjuk, lihat [Membuat kunci KMS](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html).

1. Buat volume Amazon EBS baru yang ukurannya sama atau lebih besar dari aslinya. Untuk enkripsi, tentukan kunci KMS yang Anda buat. Untuk petunjuk, lihat [Membuat volume Amazon EBS](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-creating-volume.html).

1. Pasang volume baru pada instance atau wadah yang sama dengan volume aslinya. Untuk petunjuk, lihat [Melampirkan volume Amazon EBS ke instans Amazon EC2](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-attaching-volume.html).

1. Menggunakan alat sistem operasi pilihan Anda, salin data dari volume yang ada ke volume baru.

1. Saat sinkronisasi selesai, selama jendela pemeliharaan yang dijadwalkan sebelumnya, hentikan lalu lintas ke instance. Untuk petunjuk, lihat [Menghentikan dan memulai instans Anda secara manual](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/Stop_Start.html#starting-stopping-instances).

1. Lepaskan volume aslinya. Untuk petunjuknya, lihat [Melepaskan volume Amazon EBS dari instans Amazon EC2](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-detaching-volume.html).

1. Pasang volume baru ke titik pemasangan asli.

1. Verifikasi bahwa volume baru beroperasi dengan benar.

1. Hapus volume asli. Untuk petunjuk, lihat [Menghapus volume Amazon EBS](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-deleting-volume.html).

**Untuk menggunakan snapshot Amazon EBS untuk menyalin data dari satu volume ke volume lainnya**

1. Buat kunci KMS baru. Untuk petunjuk, lihat [Membuat kunci KMS](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html).

1. Buat snapshot Amazon EBS dari volume aslinya. Untuk petunjuk, lihat [Membuat snapshot Amazon EBS](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-creating-snapshot.html).

1. Buat snapshot volume baru dari snapshot. Untuk enkripsi, tentukan kunci KMS baru yang Anda buat. Untuk petunjuk, lihat [Membuat volume Amazon EBS](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-creating-volume.html).
**catatan**  
Bergantung pada beban kerja Anda, Anda mungkin ingin menggunakan [pemulihan snapshot cepat Amazon EBS](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-fast-snapshot-restore.html) untuk meminimalkan latensi awal pada volume.

1. Buat instans Amazon EC2 baru. Untuk petunjuknya, lihat [Meluncurkan instans Amazon EC2](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/LaunchingAndUsingInstances.html).

1. Lampirkan volume yang Anda buat ke instans Amazon EC2. Untuk petunjuk, lihat [Melampirkan volume Amazon EBS ke instans Amazon EC2](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-attaching-volume.html).

1. Putar instance baru ke dalam produksi.

1. Putar instance asli dari produksi dan hapus. Untuk petunjuk, lihat [Menghapus volume Amazon EBS](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-deleting-volume.html).

**catatan**  
Dimungkinkan untuk menyalin snapshot dan memodifikasi kunci enkripsi yang digunakan untuk salinan target. Setelah Anda menyalin snapshot dan mengenkripsi dengan kunci KMS pilihan Anda, Anda juga dapat membuat Amazon Machine Image (AMI) dari snapshot. Untuk informasi selengkapnya, lihat [enkripsi Amazon EBS](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/EBSEncryption.html) di dokumentasi Amazon EC2.

## Rotasi kunci untuk Amazon RDS
<a name="data-protection-key-rotation-rds"></a>

Untuk beberapa layanan, seperti Amazon Relational Database Service (Amazon RDS), enkripsi data terjadi dalam layanan dan disediakan oleh. AWS KMS Gunakan petunjuk berikut untuk memutar kunci untuk instance database Amazon RDS.

**Untuk memutar kunci KMS untuk database Amazon RDS**

1. Buat snapshot dari database terenkripsi asli. Untuk petunjuk, lihat [Mengelola backup manual](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_ManagingManualBackups.html) dalam dokumentasi Amazon RDS.

1. Salin snapshot ke snapshot baru. Untuk enkripsi, tentukan kunci KMS baru. Untuk petunjuk, lihat [Menyalin snapshot DB untuk Amazon](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_CopySnapshot.html) RDS.

1. Gunakan snapshot baru untuk membuat cluster Amazon RDS baru. Untuk petunjuknya, lihat [Memulihkan ke instans DB](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_RestoreFromSnapshot.html) dalam dokumentasi Amazon RDS. Secara default, cluster menggunakan kunci KMS baru.

1. Verifikasi pengoperasian database baru dan data di dalamnya.

1. Putar database baru ke dalam produksi.

1. Putar database lama dari produksi dan hapus. Untuk petunjuk, lihat [Menghapus instans DB](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_DeleteInstance.html).

## Rotasi kunci untuk Amazon S3 dan Replikasi Wilayah yang Sama
<a name="data-protection-key-rotation-s3"></a>

Untuk Amazon Simple Storage Service (Amazon S3), untuk mengubah kunci enkripsi objek, Anda perlu membaca dan menulis ulang objek. Saat Anda menulis ulang objek, Anda secara eksplisit menentukan kunci enkripsi baru dalam operasi tulis. Untuk melakukan ini untuk banyak objek, Anda dapat menggunakan Operasi [Batch Amazon S3](https://docs.aws.amazon.com/AmazonS3/latest/userguide/batch-ops.html). Dalam pengaturan pekerjaan, untuk operasi penyalinan, tentukan pengaturan enkripsi baru. **Misalnya, Anda dapat memilih **SSE-KMS** dan memasukkan KeyID.**

Atau, Anda dapat menggunakan [Amazon S3 Same-Region Replication](https://docs.aws.amazon.com/AmazonS3/latest/userguide/replication.html#srr-scenario) (SRR). SSR dapat mengenkripsi ulang objek dalam perjalanan.

## Memutar kunci KMS dengan bahan impor
<a name="data-protection-key-rotation-imported"></a>

AWS KMS tidak memulihkan atau memutar [materi kunci impor](https://docs.aws.amazon.com/kms/latest/developerguide/importing-keys-conceptual.html#import-keys-protect) Anda. Untuk memutar kunci KMS dengan bahan kunci yang diimpor, Anda harus [memutar tombol secara manual](https://docs.aws.amazon.com/kms/latest/developerguide/rotate-keys.html#rotate-keys-manually).