Drosselung AWS KMS von Anfragen - AWS Key Management Service

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Drosselung AWS KMS von Anfragen

Um sicherzustellen, dass Anfragen aller Kunden schnell und zuverlässig beantwortet werden AWS KMS können, werden API Anfragen, die bestimmte Grenzen überschreiten, gedrosseltAPI.

Eine Drosselung erfolgt, wenn eine Anfrage, die andernfalls gültig sein könnte, AWS KMS zurückgewiesen wird und ein ThrottlingException Fehler wie der folgende zurückgegeben wird. 

You have exceeded the rate at which you may call KMS. Reduce the frequency of your calls. 
(Service: AWSKMS; Status Code: 400; Error Code: ThrottlingException; Request ID: <ID>

AWS KMS drosselt Anfragen für die folgenden Bedingungen.

  • Die Rate der Anfragen pro Sekunde überschreitet das AWS KMS Anforderungskontingent für ein Konto und eine Region.

    Wenn Benutzer in Ihrem Konto beispielsweise 1000 DescribeKey Anfragen in einer Sekunde einreichen, werden alle nachfolgenden DescribeKey Anfragen in dieser Sekunde AWS KMS gedrosselt.

    Um auf Drosselung zu reagieren, verwenden Sie eine Backoff- und Wiederholungsstrategie. In einigen Fällen wird diese Strategie bei HTTP 400 Fehlern automatisch implementiert. AWS SDKs

  • Eine Vielzahl oder anhaltend hohe Anzahl von Anfragen zur Änderung des Status desselben KMS Schlüssels. Diese Bedingung wird oft als „Hotkey“ bezeichnet.

    Wenn beispielsweise eine Anwendung in Ihrem Konto ständig eine Vielzahl von DisableKey Anfragen EnableKey und Anfragen nach demselben KMS Schlüssel sendet, werden die Anfragen AWS KMS gedrosselt. Diese Drosselung erfolgt auch dann, wenn die Anfragen das request-per-second Anforderungslimit für die Operationen und nicht überschreiten. EnableKey DisableKey

    Um auf Drosselung zu reagieren, passen Sie Ihre Anwendungslogik so an, dass nur erforderliche Anforderungen ausgeführt werden, oder es konsolidiert die Anforderungen mehrerer Funktionen.

  • Anfragen für Operationen mit KMS Schlüsseln in einem AWS CloudHSM Schlüsselspeicher können mit einer lower-than-expected Geschwindigkeit gedrosselt werden, wenn der dem AWS CloudHSM Schlüsselspeicher zugeordnete AWS CloudHSM Cluster zahlreiche Befehle verarbeitet, auch solche, die nichts mit dem Schlüsselspeicher zu tun haben. AWS CloudHSM

    (AWS KMS Drosselt Anfragen für Operationen mit KMS Schlüsseln in einem AWS CloudHSM Schlüsselspeicher nicht mehr, wenn keine PKCS #11 -Sitzungen für den Cluster verfügbar sind. AWS CloudHSM Stattdessen wird eine Meldung ausgelöst KMSInternalException und es wird empfohlen, dass Sie Ihre Anfrage erneut versuchen.)

Um Trends in Ihren Anforderungsraten anzuzeigen, verwenden Sie die Service-Quotas-Konsole. Sie können auch einen CloudWatchAmazon-Alarm einrichten, der Sie benachrichtigt, wenn Ihre Anforderungsrate einen bestimmten Prozentsatz eines Kontingents erreicht. Einzelheiten finden Sie im AWS Sicherheitsblog unter Verwalten Sie Ihre AWS KMS API Anfrageraten mithilfe von Service Quotas und Amazon CloudWatch.

Alle AWS KMS Kontingente sind anpassbar, mit Ausnahme des Ressourcenkontingents für die On-Demand-Rotation und des Kontingents für AWS CloudHSM Key Store-Anfragen. Informationen zur Erhöhung eines Kontingents finden Sie unter Anfordern einer Kontingenterhöhung im Service-Quotas-Benutzerhandbuch. Um eine Senkung des Kontingents zu beantragen, ein Kontingent zu ändern, das nicht in Service Quotas aufgeführt ist, oder um ein Kontingent AWS-Region in einem Bereich zu ändern, für AWS KMS den Servicekontingente nicht verfügbar sind, besuchen Sie bitte das AWS Support Center und erstellen Sie einen Fall.

Anmerkung

AWS KMS benutzerdefinierte Schlüsselspeicher-Anforderungskontingente werden nicht in der Service Quotas Quotas-Konsole angezeigt. Sie können diese Kontingente nicht mithilfe von API Dienstkontingentoperationen anzeigen oder verwalten. Um eine Änderung Ihres Anforderungskontingents für externe Schlüsselspeicher zu beantragen, erstellen Sie im AWS Support Center einen Fall.