本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
HSM 密钥
AWS CloudHSM 用于在 AWS CloudHSM 集群的单租户 HSM 中安全生成、恢复和管理加密密钥。密钥可以是对称的或非对称，也可能是单个会话密钥（临时密钥）或长期令牌密钥（永久密钥），也可以从 AWS CloudHSM 导出和导入至 AWS CloudHSM。密钥还可用于完成常见的加密任务与功能：
使用对称和非对称加密算法执行加密数据签名与签名验证。
配合使用加密哈希函数来计算消息摘要和基于哈希的消息身份验证代码 (HMAC)。
包装并保护其他密钥。
以加密方式访问安全随机数据。
集群可以拥有的最大密钥数取决于集群中 HSM 的类型。例如，hsm2m.medium 存储的密钥比 hsm1（中等）还要多。有关比较，请参见AWS CloudHSM 配额。
此外， AWS CloudHSM 请遵循密钥使用和管理的一些基本原则：
- 许多密钥类型和算法可供您选择
为了允许您自定义自己的解决方案， AWS CloudHSM 提供了许多密钥类型和算法供您选择。算法支持一系列密钥大小。有关更多信息，请参阅每个 AWS CloudHSM 客户端 SDK 的属性和机制页面。
- 如何管理密钥
AWS CloudHSM 密钥通过 SDK 和命令行工具进行管理。有关如何通过这些工具管理密钥的信息，请参阅 管理中的密钥 AWS CloudHSM 和 以下方面的最佳实践 AWS CloudHSM。
- 密钥所有者
在中 AWS CloudHSM，创建密钥的加密用户 (CU) 拥有该密钥。所有者可以使用 key share 和 key unshare 命令，与其他 CU 共享和取消共享密钥。有关更多信息，请参阅 使用 CloudHSM CLI 共享和取消共享密钥。
- 访问和使用可通过属性加密进行控制
AWS CloudHSM 允许您使用基于属性的加密，这是一种加密形式，允许您使用密钥属性来控制谁可以根据策略解密数据。
