Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Quotas de demande
AWS KMS établit des quotas pour le nombre d'opérations d'API demandées par seconde. Les quotas de demandes varient en fonction du fonctionnement de l'API Région AWS, du et d'autres facteurs, tels que le type de clé KMS. Lorsque vous dépassez un quota de demandes d'API, AWS KMS la demande est limitée.
Tous les quotas de AWS KMS demandes sont ajustables, à l'exception du quota de demandes du magasin de AWS CloudHSM clés. Pour demander une augmentation de quota, consultez Demande d'augmentation de quota dans le Guide de l'utilisateur Service Quotas. Pour demander une réduction de quota, pour modifier un quota qui ne figure pas dans la liste des Quotas de Service, ou pour modifier un quota dans un pays Région AWS où les Quotas de Service pour AWS KMS ne sont pas disponibles, rendez-vous AWS Support au Centre
Si vous dépassez le quota de demandes pour l'GenerateDataKeyopération, pensez à utiliser la fonctionnalité de mise en cache des clés de données du AWS Encryption SDK. La réutilisation des clés de données peut réduire la fréquence de vos demandes de AWS KMS.
Outre les quotas de demande, AWS KMS utilise des quotas de ressources pour garantir la capacité de tous les utilisateurs. Pour plus de détails, consultez Quotas de ressources.
Pour afficher les tendances de vos taux de demande, utilisez la console Service Quotas
Rubriques
Quotas de demande pour chaque opération AWS KMS d'API
Ce tableau répertorie le code de quota de Service Quotas et la valeur par défaut pour chaque quota de AWS KMS demande. Tous les quotas de AWS KMS demandes sont ajustables, à l'exception du quota de demandes du magasin de AWS CloudHSM clés.
Note
Il peut être nécessaire de faire défiler horizontalement ou verticalement pour afficher toutes les données de ce tableau.
| Nom du quota | Valeur par défaut (requêtes par seconde) |
|---|---|
|
S'applique à :
|
Ces quotas partagés varient en fonction de la clé KMS utilisée dans la demande Région AWS et du type de clé KMS. Chaque quota est calculé séparément.
|
S'applique à :
|
500 (partagées) pour les clés KMS RSA |
S'applique à :
|
300 (partagé) pour les clés KMS à courbe elliptique (ECC) et SM2 (régions chinoises uniquement) |
|
S'applique à :
|
Les quotas de demandes de magasin de clés personnalisé sont calculés séparément pour chaque magasin de clés personnalisé
|
|
5 |
|
5 |
|
5 |
|
5 |
|
50 |
|
5 |
|
15 |
|
5 |
|
5 |
|
5 |
|
2000 |
|
5 |
|
5 |
|
5 |
|
5 |
|
15 |
|
S'applique à :
|
100 |
|
S'applique à :
|
100 |
|
S'applique à :
|
100 |
|
S'applique à :
|
100 |
|
S'applique à :
|
1 |
|
S'applique à :
|
0,5 (1 dans chaque intervalle de 2 secondes) |
|
S'applique à :
|
0,1 (1 dans chaque intervalle de 10 secondes) |
|
S'applique à :
|
25 |
|
1 000 |
|
1 000 |
|
0,25 (1 dans chaque intervalle de 4 secondes) |
|
2000 |
|
5 |
|
500 |
|
100 |
|
100 |
|
500 |
|
100 |
|
2000 |
|
100 |
|
15 |
ReplicateKey request rate
Une opération |
5 |
|
30 |
|
30 |
|
5 |
|
15 |
|
10 |
|
5 |
|
5 |
|
5 |
|
5 |
Une opération |
5 |
Application des quotas de demande
Lors de la révision des quotas de demande, gardez à l'esprit les informations suivantes.
-
Les quotas de demande s'appliquent aux clés gérées par le client et aux Clés gérées par AWS. L'utilisation de Clés détenues par AWSn'est pas prise en compte dans les quotas de demandes pour vous Compte AWS, même s'ils sont utilisés pour protéger les ressources de votre compte.
-
Les quotas de demande s'appliquent aux demandes envoyées aux points de terminaison FIPS et aux points de terminaison non FIPS. Pour obtenir la liste des points de terminaison de AWS KMS service, consultez la section AWS Key Management Service Points de terminaison et quotas dans le. Références générales AWS
-
La limitation est basée sur toutes les demandes concernant les clés KMS de tous types dans la région. Ce total inclut les demandes émanant de tous les principaux acteurs du Compte AWS, y compris les demandes émanant de AWS services en votre nom.
-
Chaque quota de demande est calculé indépendamment. Par exemple, les demandes relatives à l'CreateKeyopération n'ont aucun effet sur le quota de demandes pour l'CreateAliasopération. Si vos demandes
CreateAliassont soumises à une limitation, vos demandesCreateKeypeuvent tout de même s'exécuter avec succès. -
Bien que les opérations de chiffrement partagent un quota, le quota partagé est calculé indépendamment des quotas appliqués aux autres opérations. Par exemple, les appels aux opérations de chiffrement et de déchiffrement partagent un quota de demandes, mais ce quota est indépendant du quota pour les opérations de gestion, telles que. EnableKey Par exemple, dans la région Europe (Londres), vous pouvez effectuer 10 000 opérations de chiffrement sur des clés KMS symétriques plus 5 opérations
EnableKeypar seconde sans être limité.
Quotas partagés pour les opérations de chiffrement
AWS KMS les opérations cryptographiques partagent les quotas de demandes. Vous pouvez demander n'importe quelle combinaison d'opérations de chiffrement prises en charge par la clé KMS, à condition que le nombre total d'opérations de chiffrement ne dépasse pas le quota de demande pour ce type de clé KMS. Les exceptions sont GenerateDataKeyPairet GenerateDataKeyPairWithoutPlaintext, qui partagent un quota distinct.
Les quotas des différents types de clés KMS sont calculés indépendamment. Chaque quota s'applique à toutes les demandes relatives à ces opérations dans la région Compte AWS et avec le type de clé donné à chaque intervalle d'une seconde.
-
Le taux de demande des opérations de chiffrement (symétrique) est le quota de demande partagé pour les opérations de chiffrement utilisant des clés KMS symétriques dans un compte et une région. Ce quota s'applique aux opérations cryptographiques avec des clés de chiffrement symétriques et des clés HMAC, qui sont également symétriques.
Par exemple, vous pouvez utiliser des clés KMS symétriques Région AWS avec un quota partagé de 10 000 demandes par seconde. Lorsque vous faites 7 000 GenerateDataKeydemandes par seconde et 2 000 demandes de déchiffrement par seconde, AWS KMS cela ne limite pas vos demandes. Par contre, si vous effectuez 9 500 demandes
GenerateDataKeyet 1 000 demandes Encrypt par seconde, AWS KMS limite vos demandes, car elles dépassent le quota partagé.Les opérations de chiffrement sur les clés KMS de chiffrement symétrique d'un magasin de clés personnalisé sont à la fois comptabilisées dans le taux de demandes d'opérations de chiffrement (symétrique) du compte et dans le quota de demandes du magasin de clés personnalisé.
-
Le taux de demande RSA (opérations de chiffrement) est le quota de demande partagé pour les opérations de chiffrement utilisant des clés KMS asymétriques RSA.
Par exemple, avec un quota de demandes de 500 opérations par seconde, vous pouvez effectuer 200 demandes Encrypt et 100 demandes Decrypt avec des clés KMS RSA capables de chiffrer et de déchiffrer, plus 50 demandes Sign et 150 demandes Verify avec des clés KMS RSA qui peuvent signer et vérifier.
-
Le taux de demande d'opérations de chiffrement (ECC) est le quota de demande partagé pour les opérations de chiffrement utilisant des clés KMS asymétriques de courbe elliptique (ECC).
Par exemple, avec un quota de demandes de 300 opérations par seconde, vous pouvez effectuer 100 demandes Sign et 200 demandes Verify avec des clés KMS RSA qui peuvent signer et vérifier.
-
Le taux de requêtes d'opérations cryptographiques (SM — Régions de Chine seulement) est le quota de requêtes partagé pour les opérations cryptographiques utilisant des clés SM KMS asymétriques.
Par exemple, avec un quota de demandes de 300 opérations par seconde, vous pouvez effectuer 100 demandes Encrypt (Chiffrées) et 100 demandes Decrypt (Déchiffrées) avec des clés KMS SM2 capables de chiffrer et de déchiffrer, plus 50 demandes Sign (Signer) et 50 demandes Verify (Vérifier) avec des clés KMS SM2 qui peuvent signer et vérifier.
-
Le quota de demandes du magasin de clés personnalisé désigne le quota de demandes partagées pour les opérations de chiffrement sur les clés KMS d'un magasin de clés personnalisé. Cette limite est calculée séparément pour chaque magasin de clés personnalisé.
Les opérations de chiffrement sur les clés KMS de chiffrement symétrique d'un magasin de clés personnalisé sont à la fois comptabilisées dans le taux de demandes d'opérations de chiffrement (symétrique) du compte et dans le quota de demandes du magasin de clés personnalisé.
Les quotas des différents types de clés sont également calculées indépendamment. Par exemple, dans la région Asie-Pacifique (Singapour), si vous utilisez à la fois des clés KMS symétriques et asymétriques, vous pouvez effectuer jusqu'à 10 000 appels par seconde avec des clés KMS symétriques (y compris des clés HMAC) plus 500 appels supplémentaires par seconde avec vos clés KMS asymétriques RSA, plus 300 demandes supplémentaires par seconde avec vos clés KMS ECC.
Demandes d'API effectuées en votre nom
Vous pouvez effectuer des demandes d'API directement ou en utilisant un AWS service intégré qui envoie des demandes d'API AWS KMS en votre nom. Le quota s'applique aux deux types de demandes.
Par exemple, vous pouvez stocker des données dans Simple Storage Service (Amazon S3) à l'aide du chiffrement côté serveur avec une clé KMS (SSE-KMS). Chaque fois que vous chargez ou téléchargez un objet S3 chiffré avec SSE-KMS, Amazon S3 envoie une demande GenerateDataKey (pour les chargements) ou Decrypt (pour les téléchargements) en votre nom AWS KMS . Ces demandes sont prises en compte dans votre quota. Par AWS KMS conséquent, elles sont limitées si vous dépassez un total combiné de 5 500 (ou 10 000 ou 50 000 selon vos Région AWS) chargements ou téléchargements par seconde d'objets S3 chiffrés avec SSE-KMS.
Demandes entre comptes
Lorsqu'une application Compte AWS utilise une clé KMS appartenant à un autre compte, on parle de demande entre comptes. Pour les demandes inter-comptes, AWS KMS limite le compte qui effectue les demandes, et non pas le compte qui possède la clé KMS. Par exemple, si une application du compte A utilise une clé KMS du compte B, l'utilisation de la clé KMS est uniquement soumise aux quotas du compte A.
Quotas de demandes de magasin de clés personnalisé
AWS KMS gère les quotas de demandes pour les opérations cryptographiques sur les clés KMS dans un magasin de clés personnalisé. Ces quotas de demandes sont calculés séparément pour chaque magasin de clés personnalisé.
| Quota de requêtes de magasin de clés personnalisé | Valeur par défaut (demandes par seconde) pour chaque magasin de clés personnalisé | Ajustable |
|---|---|---|
| AWS CloudHSM quota de demandes de stockage de clés | 1800 | Non |
| Quota de demandes de magasin de clés externes | 1800 | Oui |
Note
AWS KMS les quotas de demandes de stockage de clés personnalisés n'apparaissent pas dans la console Service Quotas. Vous ne pouvez ni consulter, ni gérer ces quotas à l'aide des opérations de l'API Service Quotas. Pour solliciter une modification de votre quota de demandes de magasin de clés externes, accédez au Centre AWS Support
Si le AWS CloudHSM cluster associé à un magasin de AWS CloudHSM clés traite de nombreuses commandes, y compris celles qui ne sont pas liées au magasin de clés personnalisé, vous pourriez obtenir un AWS KMS
ThrottlingException lower-than-expected at. Dans ce cas, réduisez votre taux de demandes à AWS KMS, réduisez la charge non liée ou utilisez un AWS CloudHSM cluster dédié pour votre magasin de AWS CloudHSM clés.
AWS KMS signale la limitation des demandes de stockage de clés externes dans la ExternalKeyStoreThrottle CloudWatch métrique. Vous pouvez utiliser cette métrique pour visualiser les modèles de limitation, créer des alertes et ajuster votre quota de demandes pour le magasin de clés externes.
Une demande d'opération de chiffrement sur une clé KMS d'un magasin de clés personnalisé compte pour deux quotas :
-
Quota de taux de demandes d'opérations de chiffrement (symétrique) (par compte)
Les demandes d'opérations de chiffrement sur les clés KMS d'un magasin de clés personnalisé sont comptabilisées dans le quota
Cryptographic operations (symmetric) request ratede chaque région Compte AWS . Par exemple, dans la région USA Est (Virginie du Nord) (us-east-1), chaque Compte AWS peut recevoir jusqu'à 50 000 demandes par seconde sur des clés KMS de chiffrement symétrique, y compris des demandes utilisant une clé KMS figurant dans un magasin de clés personnalisé. Quota de demandes de magasin de clés personnalisé (par magasin de clés personnalisé)
Les demandes d'opérations de chiffrement sur les clés KMS d'un magasin de clés personnalisé sont également comptabilisées dans le
Custom key store request quotade 1 800 opérations par seconde. Ces quotas sont calculés séparément pour chaque magasin de clés personnalisé. Elles peuvent inclure des demandes provenant de plusieurs Comptes AWS utilisateurs de clés KMS dans le magasin de clés personnalisé.
Par exemple, une opération Encrypt (Chiffrer) sur une clé KMS d'un magasin de clés personnalisé (quel que soit son type) dans la région USA Est (Virginie du Nord) (us-east-1) est comptabilisée dans le quota au niveau du compte du Cryptographic operations (symmetric) request rate (50 000 demandes par seconde) pour son compte et sa région, et dans un Custom key
store request quota (1 800 demandes par seconde) pour son magasin de clés personnalisé. Toutefois, une demande d'opération de gestion, telle que celle portant sur une clé KMS dans un magasin de clés personnalisé PutKeyPolicy, ne s'applique qu'au quota au niveau du compte (15 demandes par seconde).
