保护导入的密钥材料

您导入的密钥材料在传输中和静态时都受到保护。在导入密钥材料之前，应使用在 FIPS 140-3 加密模块验证计划下验证的 AWS KMS 硬件安全模块 (HSM) 中生成的 RSA 密钥对的公钥来加密（或 “包装”）密钥材料。您可以使用包装公有密钥直接加密密钥材料，也可以使用 AES 对称密钥加密密钥材料，然后使用 RSA 公有密钥加密 AES 对称密钥。

收到后，使用 HSM 中的相应私钥对 AWS KMS 密钥材料进行解密，并使用仅存在于 AWS KMS HSM 易失性存储器中的 AES 对称密钥对其进行重新加密。您的密钥材料绝不会让 HSM 处于纯文本状态。它仅在使用时解密，并且仅在 HSM 中 AWS KMS 解密。

您的 KMS 密钥与导入的密钥材料的使用完全取决于您在 KMS 密钥上设置的访问控制策略。此外，您还可以使用别名和标签来识别和控制对 KMS 密钥的访问。您可以使用 AWS CloudTrail等服务启用和禁用密钥，以及查看和监控密钥。

但是，您将保留密钥材料的唯一故障保护副本。作为这种额外控制措施的回报，您应对进口密钥材料的耐用性和整体可用性负责。 AWS KMS 旨在保持进口密钥材料的高可用性。但 AWS KMS 不能将进口密钥材料的耐久性保持在与 AWS KMS 生成的密钥材料相同的水平。

在以下情况下，这种持久性的差异是有意义的：

您必须将导入的密钥材料的副本保留 AWS 在您控制的系统外部。我们建议您将导入的密钥材料的可导出副本存储在密钥管理系统中，例如 HSM。根据最佳实践要求，应将 AWS KMS 生成的对 KMS 密钥 ARN 和生成的密钥材料 ID 的引用与该密钥材料的可导出副本一同保存。如果您导入的密钥材料被删除或过期，则其关联的 KMS 密钥将无法使用，直到您重新导入相同的密钥材料。如果您导入的密钥材料永久丢失，则以 KMS 密钥加密的任何加密文字都将无法恢复。