本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 密钥轮换 AWS KMS 和影响范围
<a name="data-protection-key-rotation"></a>

除非为了合规要求您轮换密钥，否则我们不建议 AWS Key Management Service (AWS KMS) 密钥轮换。例如，由于业务政策、合同规则或政府法规，您可能需要轮换 KMS 密钥。的设计 AWS KMS 大大减少了通常使用密钥轮换来缓解的风险类型。如果您必须轮换 KMS 密钥，我们建议您使用自动密钥轮换，并且仅在不支持自动密钥轮换时才使用手动密钥轮换。

**Topics**
+ [AWS KMS 对称密钥轮换](#data-protection-key-rotation-symmetric)
+ [亚马逊 EBS 卷的密钥轮换](#data-protection-key-rotation-ebs)
+ [亚马逊 RDS 的密钥轮换](#data-protection-key-rotation-rds)
+ [Amazon S3 和同区域复制的密钥轮换](#data-protection-key-rotation-s3)
+ [使用导入的材料轮换 KMS 密钥](#data-protection-key-rotation-imported)

## AWS KMS 对称密钥轮换
<a name="data-protection-key-rotation-symmetric"></a>

AWS KMS 仅支持对称加密 KMS 密钥使用 AWS KMS 创建的密钥材料进行[自动密钥轮换](https://docs.aws.amazon.com/kms/latest/developerguide/rotate-keys.html)。对于客户托管的 KMS 密钥，自动轮换是可选的。每年 AWS KMS 轮换 AWS 托管 KMS 密钥的密钥材料。 AWS KMS 永久保存所有先前版本的加密材料，因此您可以解密使用该 KMS 密钥加密的任何数据。 AWS KMS 在您删除 KMS 密钥之前，不会删除任何轮换的密钥材料。此外，当您使用解密对象时 AWS KMS，服务会确定用于解密操作的正确支持材料；无需提供其他输入参数。

由于 AWS KMS 保留了加密密钥材料的先前版本，并且您可以使用该材料来解密数据，因此密钥轮换不会提供任何额外的安全优势。如果您在监管或其他要求要求的环境中操作工作负载，则密钥轮换机制可以更轻松地轮换密钥。

## 亚马逊 EBS 卷的密钥轮换
<a name="data-protection-key-rotation-ebs"></a>

您可以使用以下方法之一轮换亚马逊 Elastic Block Store (Amazon EBS) 数据密钥。方法取决于您的工作流程、部署方法和应用程序架构。从托管密钥更改为客户 AWS 托管密钥时，您可能需要这样做。

**使用操作系统工具将数据从一个卷复制到另一个卷**

1. 创建新的 KMS 密钥。有关说明，请参阅[创建 KMS 密钥](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html)。

1. 创建一个大小与原始卷相同或大于原始卷的新 Amazon EBS 卷。要进行加密，请指定您创建的 KMS 密钥。有关说明，请参阅[创建 Amazon EBS 卷](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-creating-volume.html)。

1. 将新卷挂载到与原始卷相同的实例或容器上。有关说明，请参阅[将 Amazon EBS 卷附加到亚马逊 EC2 实例](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-attaching-volume.html)。

1. 使用您首选的操作系统工具，将数据从现有卷复制到新卷。

1. 同步完成后，在预先安排的维护时段内，停止流向实例的流量。有关说明，请参阅[手动停止和启动您的实例](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/Stop_Start.html#starting-stopping-instances)。

1. 卸载原始卷。有关说明，请参阅将 [Amazon EBS 卷与亚马逊 EC2 实例分离](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-detaching-volume.html)。

1. 将新卷装载到原始装入点。

1. 验证新卷是否运行正常。

1. 删除原始卷。有关说明，请参阅[删除 Amazon EBS 卷](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-deleting-volume.html)。

**使用 Amazon EBS 快照将数据从一个卷复制到另一个卷**

1. 创建新的 KMS 密钥。有关说明，请参阅[创建 KMS 密钥](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html)。

1. 创建原始卷的 Amazon EBS 快照。有关说明，请参阅[创建 Amazon EBS 快照](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-creating-snapshot.html)。

1. 从快照创建一个新卷。要进行加密，请指定您创建的新 KMS 密钥。有关说明，请参阅[创建 Amazon EBS 卷](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-creating-volume.html)。
**注意**  
根据您的工作负载，您可能需要使用 [Amazon EBS 快速快照还原](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-fast-snapshot-restore.html)来最大限度地减少卷上的初始延迟。

1. 创建一个新的 Amazon EC2 实例。有关说明，请参阅[启动 Amazon EC2 实例](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/LaunchingAndUsingInstances.html)。

1. 将您创建的卷附加到 Amazon EC2 实例。有关说明，请参阅[将 Amazon EBS 卷附加到亚马逊 EC2 实例](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-attaching-volume.html)。

1. 将新实例轮换到生产环境中。

1. 将原始实例退出生产环境并将其删除。有关说明，请参阅[删除 Amazon EBS 卷](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-deleting-volume.html)。

**注意**  
可以复制快照并修改用于目标副本的加密密钥。在复制快照并使用首选 KMS 密钥对其进行加密后，您还可以使用快照创建 Amazon 系统映像 (AMI)。有关更多信息，请参阅[亚马逊 EC2 文档中的亚马逊 EBS 加密](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/EBSEncryption.html)。

## 亚马逊 RDS 的密钥轮换
<a name="data-protection-key-rotation-rds"></a>

对于某些服务，例如亚马逊关系数据库服务 (Amazon RDS)，数据加密是在服务中进行的，由提供 AWS KMS。按照以下说明轮换 Amazon RDS 数据库实例的密钥。

**轮换 Amazon RDS 数据库的 KMS 密钥**

1. 创建原始加密数据库的快照。有关说明，请参阅 Amazon RDS 文档中的[管理手动备份](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_ManagingManualBackups.html)。

1. 将快照复制到新快照。要进行加密，请指定新的 KMS 密钥。有关说明，请参阅[复制 Amazon RDS 的数据库快照](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_CopySnapshot.html)。

1. 使用新快照创建新的 Amazon RDS 集群。有关说明，请参阅 Amazon R [DS 文档中的恢复到数据库实例](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_RestoreFromSnapshot.html)。默认情况下，集群使用新的 KMS 密钥。

1. 验证新数据库及其中的数据的运行情况。

1. 将新数据库转入生产环境。

1. 将旧数据库从生产环境中淘汰出来并将其删除。有关说明，请参阅[删除数据库实例](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_DeleteInstance.html)。

## Amazon S3 和同区域复制的密钥轮换
<a name="data-protection-key-rotation-s3"></a>

对于亚马逊简单存储服务 (Amazon S3) Simple Service，要更改对象的加密密钥，您需要读取和重写该对象。重写对象时，您可以在写入操作中明确指定新的加密密钥。要对许多对象执行此操作，您可以使用 [Amazon S3 批量操作](https://docs.aws.amazon.com/AmazonS3/latest/userguide/batch-ops.html)。在作业设置中，为复制操作指定新的加密设置。**例如，您可以选择 **SSE-KMS** 并输入 keyID。**

或者，您可以使用 [Amazon S3 同区域复制 (SRR](https://docs.aws.amazon.com/AmazonS3/latest/userguide/replication.html#srr-scenario))。SSR 可以对传输中的对象进行重新加密。

## 使用导入的材料轮换 KMS 密钥
<a name="data-protection-key-rotation-imported"></a>

AWS KMS 不会恢复或轮换您[导入的密钥材料](https://docs.aws.amazon.com/kms/latest/developerguide/importing-keys-conceptual.html#import-keys-protect)。要使用导入的密钥材料轮换 KMS 密钥，必须[手动轮换密钥](https://docs.aws.amazon.com/kms/latest/developerguide/rotate-keys.html#rotate-keys-manually)。