設定金鑰存放區動作 - AWS 資料庫加密 SDK
設定您的金鑰存放區動作

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

設定金鑰存放區動作

金鑰存放區動作會決定使用者可執行的操作，以及其 AWS KMS 階層式 keyring 如何使用金鑰存放區中允許列出的 KMS 金鑰。 AWS Database Encryption SDK 支援下列金鑰存放區動作組態。

靜態

當您靜態設定金鑰存放區時，金鑰存放區只能使用與您在設定金鑰存放區動作kmsConfiguration時在 中提供的 KMS 金鑰 ARN 相關聯的 KMS 金鑰。如果在建立、版本控制或取得分支金鑰時遇到不同的 KMS 金鑰 ARN，則會擲回例外狀況。

您可以在 中指定多區域 KMS 金鑰kmsConfiguration，但金鑰的整個 ARN，包括區域，會保留在衍生自 KMS 金鑰的分支金鑰中。您無法在不同的區域中指定金鑰，您必須提供完全相同的多區域金鑰，值才能相符。

當您靜態設定金鑰存放區動作時，您可以執行用量操作 (GetActiveBranchKey、GetBranchKeyVersion、GetBeaconKey) 和管理操作 (CreateKey 和 VersionKey)。 CreateKey 是一種特殊權限操作，可將新的 KMS 金鑰 ARN 新增至您的金鑰存放區允許清單。此 KMS 金鑰可以建立新的作用中分支金鑰。我們建議您限制對此操作的存取，因為一旦 KMS 金鑰新增至金鑰存放區，就無法刪除。

探索

當您為探索設定金鑰存放區動作時，金鑰存放區可以使用金鑰存放區中允許列出的任何 AWS KMS key ARN。不過，當遇到多區域 KMS 金鑰，且金鑰 ARN 中的區域與正在使用的 AWS KMS 用戶端區域不相符時，就會擲出例外狀況。

當您設定金鑰存放區進行探索時，無法執行管理操作，例如 CreateKey和 VersionKey。您只能執行啟用加密、解密、簽署和驗證操作的用量操作。如需詳細資訊，請參閱實作最低權限的許可。

設定您的金鑰存放區動作

設定金鑰存放區動作之前，請確定符合下列先決條件。

  • 決定您需要執行的操作。如需詳細資訊，請參閱實作最低權限的許可。

  • 選擇邏輯金鑰存放區名稱

    DynamoDB 資料表名稱和邏輯金鑰存放區名稱之間必須有one-to-one的映射。邏輯金鑰存放區名稱以密碼編譯方式繫結至資料表中存放的所有資料，以簡化 DynamoDB 還原操作，在第一個使用者最初定義後就無法變更。您必須一律在金鑰存放區動作中指定相同的邏輯金鑰存放區名稱。如需詳細資訊，請參閱logical key store name。

下列範例靜態設定金鑰存放區動作。您必須指定做為金鑰存放區的 DynamoDB 資料表名稱、金鑰存放區的邏輯名稱，以及識別對稱加密 KMS 金鑰的 KMS 金鑰 ARN。

注意

在靜態設定金鑰存放區服務時，請仔細考慮您指定的 KMS 金鑰 ARN。CreateKey 操作會將 KMS 金鑰 ARN 新增至分支金鑰存放區允許清單。將 KMS 金鑰新增至分支金鑰存放區後，就無法刪除。

Java
final KeyStore keystore = KeyStore.builder().KeyStoreConfig(
	                 KeyStoreConfig.builder()
	                         .ddbClient(DynamoDbClient.create())
	                         .ddbTableName(keyStoreName)
	                         .logicalKeyStoreName(logicalKeyStoreName)
	                         .kmsClient(KmsClient.create())
	                         .kmsConfiguration(KMSConfiguration.builder()
	                                 .kmsKeyArn(kmsKeyArn)
	                                 .build())
	                         .build()).build();
C# / .NET
var kmsConfig = new KMSConfiguration { KmsKeyArn = kmsKeyArn };
	 var keystoreConfig = new KeyStoreConfig
	 {
	     KmsClient = new AmazonKeyManagementServiceClient(),
	     KmsConfiguration = kmsConfig,
	     DdbTableName = keyStoreName,
	     DdbClient = new AmazonDynamoDBClient(),
	     LogicalKeyStoreName = logicalKeyStoreName
	 };
	 var keystore = new KeyStore(keystoreConfig);
Rust
let sdk_config = aws_config::load_defaults(aws_config::BehaviorVersion::latest()).await;
let key_store_config = KeyStoreConfig::builder()
    .kms_client(aws_sdk_kms::Client::new(&sdk_config))
    .ddb_client(aws_sdk_dynamodb::Client::new(&sdk_config))
    .ddb_table_name(key_store_name)
    .logical_key_store_name(logical_key_store_name)
    .kms_configuration(KmsConfiguration::KmsKeyArn(kms_key_arn.to_string()))
    .build()?;

let keystore = keystore_client::Client::from_conf(key_store_config)?;

下列範例會設定探索的金鑰存放區動作。您必須指定做為金鑰存放區的 DynamoDB 資料表名稱，以及邏輯金鑰存放區名稱。

Java
final KeyStore keystore = KeyStore.builder().KeyStoreConfig(
                 KeyStoreConfig.builder()
                         .ddbClient(DynamoDbClient.create())
                         .ddbTableName(keyStoreName)
                         .logicalKeyStoreName(logicalKeyStoreName)
                         .kmsClient(KmsClient.create())
                         .kmsConfiguration(KMSConfiguration.builder()
                                 .discovery(Discovery.builder().build())
                                 .build())
                         .build()).build();
C# / .NET
var keystoreConfig = new KeyStoreConfig
 {
     KmsClient = new AmazonKeyManagementServiceClient(),
     KmsConfiguration = new KMSConfiguration {Discovery = new Discovery()},
     DdbTableName = keyStoreName,
     DdbClient = new AmazonDynamoDBClient(),
     LogicalKeyStoreName = logicalKeyStoreName
 };
 var keystore = new KeyStore(keystoreConfig);
Rust
let key_store_config = KeyStoreConfig::builder()
        .kms_client(kms_client)
        .ddb_client(ddb_client)
        .ddb_table_name(key_store_name)
        .logical_key_store_name(logical_key_store_name)
        .kms_configuration(KmsConfiguration::Discovery(Discovery::builder().build()?))
        .build()?;