创建 HMAC KMS 密钥

登录到 AWS 管理控制台，然后通过以下网址打开 AWS Key Management Service（AWS KMS）控制台：https://console.aws.amazon.com/kms。

要更改 AWS 区域，请使用页面右上角的区域选择器。

在导航窗格中，选择客户托管密钥。

选择创建密钥。

对于 Key type (密钥类型)，选择 Symmetric (对称)。

HMAC KMS 密钥是对称密钥。您可以使用相同的密钥生成和验证 HMAC 标签。

对于 Key usage（密钥用法），请选择 Generate and verify MAC（生成并验证 MAC）。

生成并验证 MAC 是 HMAC KMS 密钥的唯一有效密钥用法。

为 HMAC KMS 密钥选择规范（密钥规范）。

您选择的密钥规范可取决于法规、安全或业务要求。一般来说，较长的密钥更安全。

要创建多区域 主 HMAC 密钥，在 Advanced options（高级选项）下，选择 Multi-Region key（多区域密钥）。您为此 KMS 密钥定义的共享属性（例如密钥类型和密钥用法）将与其副本密钥共享。

您无法使用该过程创建副本密钥。要创建多区域副本 HMAC 密钥，请按照创建副本密钥的说明。

选择下一步。

为 KMS 密钥键入别名。别名名称不能以 aws/ 开头。aws/ 前缀由 Amazon Web Services 预留，用于在您的账户中表示 AWS 托管式密钥。

我们建议您使用将 KMS 密钥标识为 HMAC 密钥的别名，例如 HMAC/test-key。这将便于您在 AWS KMS 控制台中识别 HMAC 密钥，您可以在其中按标签和别名对密钥进行排序，但不能按密钥规范或密钥用法进行排序和筛选。

在 AWS 管理控制台 中创建 KMS 密钥时需要别名。您不能在使用 CreateKey 操作时指定别名，但您可以使用控制台或 CreateAlias 操作为现有 KMS 密钥创建别名。有关更多信息，请参阅 AWS KMS 中的别名。

（可选）为 KMS 密钥输入描述。

输入一个描述，用来说明您计划保护的数据类型或计划与 KMS 密钥配合使用的应用程序。

现在，除非密钥状态为 Pending Deletion 或 Pending Replica Deletion，否则您可以随时添加描述或更新描述。要添加、更改或删除现有客户管理密钥的描述，请在详细信息页面上编辑对 AWS 管理控制台中的 AWS 管理控制台 中 KMS 密钥的描述，或使用 UpdateKeyDescription 操作。

（可选）输入标签键和一个可选标签值。要向 KMS 密钥添加多个标签，请选择 Add tag（添加标签）。

考虑添加将密钥识别为 HMAC 密钥的标签，例如 Type=HMAC。这将便于您在 AWS KMS 控制台中识别 HMAC 密钥，您可以在其中按标签和别名对密钥进行排序，但不能按密钥规范或密钥用法进行排序和筛选。

在将标签添加到 AWS 资源时，AWS 可生成成本分配报告，其中按标签汇总了使用情况和成本。标签还可以用来控制对 KMS 密钥的访问。有关轮换 KMS 密钥的信息，请参阅 AWS KMS 中的标签 和 AWS KMS 中的 ABAC。

选择下一步。

选择可管理 KMS 密钥的 IAM 用户和角色。

（可选）要阻止选定 IAM 用户和角色删除此 KMS 密钥，请在页面底部的 Key deletion（密钥删除）部分中，清除 Allow key administrators to delete this key（允许密钥管理员删除此密钥）复选框。

选择下一步。

选择可将 KMS 密钥用于加密操作的 IAM 用户和角色。

（可选）您可以允许其他 AWS 账户 将此 KMS 密钥用于加密操作。为此，请在页面底部的其他 AWS 账户部分中选择添加其他 AWS 账户，然后输入外部账户的 AWS 账户 标识号。要添加多个外部账户，请重复此步骤。

选择下一步。

检查密钥的密钥策略语句。要对密钥策略进行更改，请选择编辑。

选择下一步。

检视您选择的密钥设置。您仍然可以返回并更改所有设置。

选择 Finish（完成）以创建 HMAC KMS 密钥。