本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# ML-DSA 键入 AWS KMS
<a name="mldsa"></a>

AWS Key Management Service (AWS KMS) 支持模块-莱迪思数字签名算法 (ML-DSA)，用于后量子加密签名。该实现遵循[联邦信息处理标准（FIPS）204 标准](https://csrc.nist.gov/pubs/fips/204/final)，有助于抵御未来的量子计算威胁。 AWS KMS 在 FIPS 140-3 安全性 3 级认证硬件安全模块中创建和保护所有 ML-DSA 密钥和签名操作。为了帮助在安全性与性能之间取得平衡，ML-DSA 通过不同的密钥规范 AWS KMS 提供了三个不同的安全级别，即 ML\$1DSA\$144、ML\$1DSA\$165 和 ML\$1DSA\$187。

AWS KMS 支持使用消息类型对不超过 4 KB 的消息进行非对称密钥签名。`RAW`对于超过此大小的消息，必须按 NIST FIPS 204 第 6.2 节所定义，在外部计算 ML-DSA 签名中使用的 64 字节消息表示值 μ。使用 “ AWS KMS [签名](https://docs.aws.amazon.com/kms/latest/APIReference/API_Sign.html)” 操作中的`EXTERNAL_MU`消息类型来指定此预处理的 64 字节消息。使用同一消息和私有密钥时，由外部计算的 μ 所生成的签名与 `RAW` 生成的签名相同。请注意，此签名不同于 NIST FIPS 204 第 5.4 节中的“预哈希” ML-DSA 或 HashML-DSA。

有关使用 ML-DSA 和 EXTERNAL\$1MU 消息类型的更多信息，请参阅 [ML-DSA 密钥规范](symm-asymm-choose-key-spec.md#key-spec-mldsa)。

有关使用 ML-DSA 和 EXTERNAL\$1MU 消息类型的示例，请参阅[使用 ML-DSA 密钥对进行离线验证](offline-operations.md#mldsa-offline-verification)。