View a markdown version of this page

导入的密钥材料 AWS KMS 键 - AWS Key Management Service

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

导入的密钥材料 AWS KMS 键

您可以使用您提供的密钥材料创建 AWS KMS keys （KMS 密钥）。

KMS 密钥是数据密钥的逻辑表示形式。KMS 密钥的元数据包括用于执行加密操作的密钥材料的 ID。创建 KMS 密钥时，默认情况下会为该 KMS 密钥 AWS KMS 生成密钥材料。但是，您可以创建不带密钥材料的 KMS 密钥，然后将自己的密钥材料导入该 KMS 密钥中，这个功能通常被称为“自带密钥 (BYOK)”。

突出显示其所代表的密钥材料的钥匙图标。
注意

AWS KMS 不支持对称加密 KMS AWS KMS 密钥之外的任何密文进行解密，即使密文是使用导入的 AWS KMS密钥材料在 KMS 密钥下加密的。 AWS KMS 不发布此任务所需的密文格式，格式可能会更改，恕不另行通知。

当您使用导入的密钥材料时，您仍对密钥材料负责，同时 AWS KMS 允许使用其副本。出于以下一个或多个原因，您可以选择执行该操作：

  • 证明使用符合您要求的熵源生成了密钥材料。

  • 将您自己的基础设施中的密钥材料与 AWS 服务一起使用，并 AWS KMS 用于管理该密钥材料的生命周期 AWS。

  • 在中使用现有的、完善的密钥 AWS KMS，例如用于代码签名、PKI 证书签名和证书固定的应用程序的密钥

  • 为密钥材料设置过期时间 AWS 并手动将其删除，但也要使其在将来再次可用。相比之下，计划密钥删除需要 7 到 30 天的等待期限，之后，您不能恢复已删除的 KMS 密钥。

  • 拥有密钥材料的原始副本，并将其保存在外部，以便在密钥材料 AWS 的整个生命周期内提高耐久性和灾难恢复能力。

  • 对于非对称密钥和 HMAC 密钥，导入会创建可在内部和外部运行的兼容且可互操作的密钥。 AWS

支持的 KMS 密钥类型

AWS KMS 支持以下类型的 KMS 密钥的导入密钥材料。您无法将密钥材料导入自定义密钥存储中的 KMS 密钥。

区域

所有 AWS 区域 支持项均支持导入的密钥材料。 AWS KMS

在中国区域，对称加密 KMS 密钥的密钥材料要求与其他区域不同。有关更多信息，请参阅 步骤 3：加密密钥材料。

了解详情