Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

AWS KMS keys

Kunci KMS yang Anda buat dan kelola untuk digunakan dalam aplikasi kriptografi Anda sendiri adalah jenis yang dikenal sebagai kunci yang dikelola pelanggan. Kunci yang dikelola pelanggan juga dapat digunakan bersama dengan AWS layanan yang menggunakan kunci KMS untuk mengenkripsi data yang disimpan layanan atas nama Anda. Kunci yang dikelola pelanggan direkomendasikan untuk pelanggan yang menginginkan kontrol penuh atas siklus hidup dan penggunaan kunci mereka. Ada biaya bulanan untuk memiliki kunci yang dikelola pelanggan di akun Anda. Selain itu, permintaan penggunaan and/or mengelola kunci dikenakan biaya penggunaan. Lihat AWS Key Management Service Harga untuk lebih jelasnya.

Ada kasus di mana pelanggan mungkin menginginkan AWS layanan untuk mengenkripsi data mereka, tetapi mereka tidak menginginkan overhead pengelolaan kunci dan tidak ingin membayar kunci. An Kunci yang dikelola AWS adalah kunci KMS yang ada di akun Anda, tetapi hanya dapat digunakan dalam keadaan tertentu. Secara khusus, ini hanya dapat digunakan dalam konteks AWS layanan tempat Anda beroperasi dan hanya dapat digunakan oleh kepala sekolah di dalam akun yang kuncinya ada. Anda tidak dapat mengelola apa pun tentang siklus hidup atau izin kunci ini. Saat Anda menggunakan fitur enkripsi dalam AWS layanan, Anda mungkin melihat Kunci yang dikelola AWS; mereka menggunakan alias dari formulir “aws<service code>”. Misalnya, aws/ebs kunci hanya dapat digunakan untuk mengenkripsi volume EBS dan hanya untuk volume yang digunakan oleh prinsipal IAM di akun yang sama dengan kunci. Pikirkan Kunci yang dikelola AWS yang dicakup untuk digunakan hanya oleh pengguna di akun Anda untuk sumber daya di akun Anda. Anda tidak dapat berbagi sumber daya yang dienkripsi di bawah a Kunci yang dikelola AWS dengan akun lain. Meskipun Kunci yang dikelola AWS ada gratis di akun Anda, Anda akan dikenakan biaya untuk penggunaan jenis kunci ini oleh AWS layanan yang ditetapkan ke kunci tersebut.

Kunci yang dikelola AWS adalah jenis kunci lama yang tidak lagi dibuat untuk AWS layanan baru pada tahun 2021. Sebaliknya, AWS layanan baru (dan lama) menggunakan apa yang dikenal sebagai a Kunci milik AWS untuk mengenkripsi data pelanggan secara default. An Kunci milik AWS adalah kunci KMS yang ada di akun yang dikelola oleh AWS layanan, sehingga operator layanan memiliki kemampuan untuk mengelola siklus hidup dan izin penggunaannya. Dengan menggunakan Kunci milik AWS, AWS layanan dapat mengenkripsi data Anda secara transparan dan memungkinkan berbagi data lintas akun atau lintas wilayah yang mudah tanpa Anda perlu khawatir tentang izin utama. Gunakan Kunci milik AWS untuk beban kerja enkripsi berdasarkan default yang memberikan perlindungan data yang lebih mudah dan lebih otomatis. Karena kunci ini dimiliki dan dikelola oleh AWS, Anda tidak dikenakan biaya untuk keberadaan atau penggunaannya, Anda tidak dapat mengubah kebijakannya, Anda tidak dapat mengaudit aktivitas pada kunci ini, dan Anda tidak dapat menghapusnya. Gunakan kunci yang dikelola pelanggan ketika kontrol penting, tetapi gunakan Kunci milik AWS ketika kenyamanan paling penting.

Kunci KMS yang Anda buat adalah kunci yang dikelola pelanggan. Layanan AWS yang menggunakan kunci KMS untuk mengenkripsi sumber daya layanan Anda sering membuat kunci untuk Anda. Kunci KMS yang Layanan AWS dibuat di AWS akun Anda adalah Kunci yang dikelola AWS. Kunci KMS yang Layanan AWS dibuat di akun layanan adalah Kunci milik AWS.

AWS layanan yang terintegrasi dengan AWS KMS berbeda dalam dukungan mereka untuk kunci KMS. Beberapa AWS layanan mengenkripsi data Anda secara default dengan a Kunci milik AWS atau an Kunci yang dikelola AWS. Beberapa AWS layanan mendukung kunci yang dikelola pelanggan. AWS Layanan lain mendukung semua jenis kunci KMS untuk memungkinkan Anda kemudahan Kunci milik AWS, visibilitas Kunci yang dikelola AWS, atau kontrol kunci yang dikelola pelanggan. Untuk informasi terperinci tentang opsi enkripsi yang ditawarkan AWS layanan, lihat topik Enkripsi saat istirahat di panduan pengguna atau panduan pengembang untuk layanan.

Kunci yang dikelola pelanggan

Kunci KMS yang Anda buat adalah kunci yang dikelola pelanggan. Kunci yang dikelola pelanggan adalah kunci KMS Akun AWS yang Anda buat, miliki, dan kelola. Anda memiliki kontrol penuh atas kunci KMS ini, termasuk menetapkan dan memelihara kebijakan kunci, kebijakan IAM, dan hibah, mengaktifkan dan menonaktif kannya, memutar materi kriptografinya, menambahkan tag, membuat alias yang merujuk ke kunci KMS, dan men jadwalkan kunci KMS untuk dihapus.

Kunci yang dikelola pelanggan muncul di halaman kunci yang dikelola pelanggan Konsol Manajemen AWS untuk AWS KMS. Untuk mengidentifikasi kunci yang dikelola pelanggan secara definitif, gunakan DescribeKey operasi. Untuk kunci yang dikelola pelanggan, nilai KeyManager bidang DescribeKey respons adalahCUSTOMER.

Anda dapat menggunakan kunci yang dikelola pelanggan Anda dalam operasi kriptografi dan penggunaan audit di AWS CloudTrail log. Selain itu, banyak AWS layanan yang terintegrasi dengan AWS KMS memungkinkan Anda menentukan kunci yang dikelola pelanggan untuk melindungi data yang disimpan dan dikelola untuk Anda.

Kunci yang dikelola pelanggan dikenakan biaya bulanan dan biaya untuk penggunaan melebihi tingkat gratis. Mereka dihitung terhadap ku AWS KMS ota untuk akun Anda. Untuk detailnya, lihat Harga AWS Key Management Service dan Kuota.

Kunci yang dikelola AWS

Kunci yang dikelola AWSadalah kunci KMS di akun Anda yang dibuat, dikelola, dan digunakan atas nama Anda oleh AWS layanan yang terintegrasi dengan AWS KMS.

Beberapa AWS layanan memungkinkan Anda memilih kunci Kunci yang dikelola AWS atau kunci yang dikelola pelanggan untuk melindungi sumber daya Anda dalam layanan tersebut. Secara umum, kecuali Anda diminta untuk mengontrol kunci enkripsi yang melindungi sumber daya Anda, an Kunci yang dikelola AWS adalah pilihan yang baik. Anda tidak perlu membuat atau memelihara kunci atau kebijakan utamanya, dan tidak pernah ada biaya bulanan untuk Kunci yang dikelola AWS.

Anda memiliki izin untuk melihat Kunci yang dikelola AWS di akun Anda, melihat kebijakan utama mereka, dan meng audit penggunaannya di AWS CloudTrail log. Namun, Anda tidak dapat mengubah properti apa pun Kunci yang dikelola AWS, memutarnya, mengubah kebijakan utamanya, atau menjadwalkannya untuk dihapus. Dan, Anda tidak dapat menggunakannya Kunci yang dikelola AWS dalam operasi kriptografi secara langsung; layanan yang membuatnya menggunakannya atas nama Anda.

Kebijakan kontrol sumber daya di organisasi Anda tidak berlaku untuk Kunci yang dikelola AWS.

Kunci yang dikelola AWS muncul di Kunci yang dikelola AWS halaman Konsol Manajemen AWS untuk AWS KMS. Anda juga dapat mengidentifikasi Kunci yang dikelola AWS dengan alias mereka, yang memiliki formataws/service-name, sepertiaws/redshift. Untuk mengidentifikasi secara definitif Kunci yang dikelola AWS, gunakan DescribeKey operasi. Untuk Kunci yang dikelola AWS, nilai KeyManager bidang DescribeKey respons adalahAWS.

Semua Kunci yang dikelola AWS diputar secara otomatis setiap tahun. Anda tidak dapat mengubah jadwal rotasi ini.

Tidak ada biaya bulanan untuk Kunci yang dikelola AWS. Mereka dapat dikenakan biaya untuk penggunaan melebihi tingkat gratis, tetapi beberapa AWS layanan menanggung biaya ini untuk Anda. Untuk detail selengkapnya, lihat topik Enkripsi Tidak Aktif di panduan pengguna atau panduan developer untuk layanan tersebut. Untuk detail selengkapnya, lihat Harga AWS Key Management Service.

Kunci yang dikelola AWS jangan dihitung terhadap kuota sumber daya pada jumlah kunci KMS di setiap Wilayah akun Anda. Tetapi ketika digunakan atas nama kepala sekolah di akun Anda, kunci KMS dihitung terhadap kuota permintaan. Lihat perinciannya di Kuota.

Kunci milik AWS

Kunci milik AWSadalah kumpulan kunci KMS yang dimiliki dan AWS dikelola layanan untuk digunakan dalam beberapa Akun AWS. Meskipun tidak Kunci milik AWS ada di akun Anda Akun AWS, AWS layanan dapat menggunakan Kunci milik AWS a untuk melindungi sumber daya di akun Anda.

Beberapa AWS layanan memungkinkan Anda memilih kunci Kunci milik AWS atau kunci yang dikelola pelanggan. Secara umum, kecuali Anda diminta untuk mengaudit atau mengontrol kunci enkripsi yang melindungi sumber daya Anda, an Kunci milik AWS adalah pilihan yang baik. Kunci milik AWS benar-benar gratis (tidak ada biaya bulanan atau biaya penggunaan), mereka tidak dihitung terhadap ku AWS KMS ota untuk akun Anda, dan mudah digunakan. Anda tidak perlu membuat atau memelihara kunci atau kebijakan kuncinya.

Rotasi Kunci milik AWS bervariasi antar layanan. Untuk informasi tentang rotasi tertentu Kunci milik AWS, lihat topik Enkripsi saat istirahat di panduan pengguna atau panduan pengembang untuk layanan.

AWS KMS key hierarki

Hirarki kunci Anda dimulai dengan kunci logis tingkat atas, an AWS KMS key. Kunci KMS mewakili wadah untuk materi kunci tingkat atas dan didefinisikan secara unik dalam namespace AWS layanan dengan Nama Sumber Daya Amazon (ARN). ARN menyertakan pengenal kunci yang dihasilkan secara unik, ID kunci. Kunci KMS dibuat berdasarkan permintaan yang diprakarsai pengguna melalui. AWS KMS Setelah penerimaan, AWS KMS meminta pembuatan kunci pendukung HSM awal (HBK) untuk ditempatkan ke dalam wadah kunci KMS. HBK dihasilkan pada HSM di domain dan dirancang agar tidak pernah diekspor dari HSM di plaintext. Sebaliknya, HBK diekspor terenkripsi di bawah kunci HSM-managed domain. HBK yang diekspor ini disebut sebagai token kunci yang diekspor (EKT).

EKT diekspor ke penyimpanan latensi rendah yang sangat berdaya tahan. Misalnya, Anda menerima ARN ke kunci KMS logis. Ini mewakili bagian atas hierarki kunci, atau konteks kriptografi, untuk Anda. Anda dapat membuat beberapa kunci KMS dalam akun Anda dan menetapkan kebijakan pada kunci KMS Anda seperti sumber daya AWS bernama lainnya.

Dalam hierarki kunci KMS tertentu, HBK dapat dianggap sebagai versi kunci KMS. Ketika Anda ingin memutar kunci KMS AWS KMS, HBK baru dibuat dan dikaitkan dengan kunci KMS sebagai HBK aktif untuk kunci KMS. HBK yang lebih lama disimpan dan dapat digunakan untuk mendekripsi dan memverifikasi data yang sebelumnya dilindungi. Tetapi hanya kunci kriptografi aktif yang bisa digunakan untuk melindungi informasi baru.

Anda dapat membuat permintaan melalui AWS KMS penggunaan kunci KMS Anda untuk melindungi informasi secara langsung atau meminta HSM-generated kunci tambahan yang dilindungi di bawah kunci KMS Anda. Kunci ini disebut kunci data pelanggan, atau CDK. CDK dapat dikembalikan dalam kondisi dienkripsi sebagai ciphertext (CT), di plaintext, atau keduanya. Semua objek yang dienkripsi di bawah kunci KMS (baik data atau HSM-generated kunci yang disediakan pelanggan) dapat didekripsi hanya pada HSM melalui panggilan melalui. AWS KMS

Ciphertext yang dikembalikan, atau payload yang didekripsi, tidak pernah disimpan di dalamnya. AWS KMS Informasi dikembalikan kepada Anda melalui koneksi TLS Anda ke AWS KMS. Ini juga berlaku untuk panggilan yang dilakukan oleh AWS layanan atas nama Anda.

Hierarki kunci dan properti kunci tertentu dicantumkan dalam tabel berikut.

^Satu AWS KMS mungkin dari waktu ke waktu melonggarkan rotasi kunci domain menjadi paling banyak mingguan untuk memperhitungkan administrasi domain dan tugas konfigurasi.

^{2 Def} ault Kunci yang dikelola AWS yang dibuat dan dikelola oleh AWS KMS atas nama Anda secara otomatis dirotasi setiap tahun.

Pengidentifikasi kunci (KeyId)

Pengidentifikasi kunci bertindak seperti nama untuk kunci KMS Anda. Mereka membantu Anda mengenali kunci KMS Anda di konsol. Anda menggunakannya untuk menunjukkan kunci KMS mana yang ingin Anda gunakan dalam operasi AWS KMS API, kebijakan utama, kebijakan IAM, dan hibah. Nilai pengidentifikasi kunci sama sekali tidak terkait dengan materi kunci yang terkait dengan kunci KMS.

AWS KMS mendefinisikan beberapa pengidentifikasi kunci. Saat Anda membuat kunci KMS, AWS KMS menghasilkan kunci ARN dan ID kunci, yang merupakan properti dari kunci KMS. Saat Anda membuat alias, AWS KMS menghasilkan alias ARN berdasarkan nama alias yang Anda tentukan. Anda dapat melihat pengidentifikasi kunci dan alias di Konsol Manajemen AWS dan di AWS KMS API.

Di AWS KMS konsol, Anda dapat melihat dan memfilter kunci KMS berdasarkan kunci ARN, ID kunci, atau nama alias, dan mengurutkan berdasarkan ID kunci dan nama alias. Untuk bantuan menemukan pengidentifikasi kunci di konsol, lihatTemukan ID kunci dan kunci ARN.

Di AWS KMS API, parameter yang Anda gunakan untuk mengidentifikasi kunci KMS diberi nama KeyId atau variasi, seperti TargetKeyId atauDestinationKeyId. Namun, nilai-nilai parameter tersebut tidak terbatas pada ID kunci. Beberapa dapat mengambil pengidentifikasi kunci yang valid. Untuk informasi tentang nilai untuk setiap parameter, lihat deskripsi parameter di Refer AWS Key Management Service ensi API.

AWS KMS mendukung pengenal kunci berikut.