本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

AWS KMS 階層式鍵環

使用 AWS KMS 階層式金鑰控制，您可以使用對稱加密KMS金鑰來保護密碼編譯材料，而無需 AWS KMS 在每次加密或解密記錄時呼叫 。對於需要將對 的呼叫降至最低的應用程式 AWS KMS，以及可以在不違反其安全要求的情況下重複使用某些密碼編譯材料的應用程式，這是很好的選擇。

階層式索引鍵是一種密碼編譯材料快取解決方案，它使用保留在 Amazon DynamoDB 資料表中的 AWS KMS 受保護分支金鑰，然後本機快取用於加密和解密操作的分支金鑰材料來減少 AWS KMS 呼叫次數。DynamoDB 資料表可做為管理及保護分支金鑰的金鑰存放區。它會儲存作用中分支金鑰和所有先前版本的分支金鑰。作用中分支金鑰是最新的分支金鑰版本。階層式金鑰輸入會針對每個加密請求使用唯一的資料加密金鑰，並使用衍生自作用中分支金鑰的唯一包裝金鑰來加密每個資料加密金鑰。階層式鍵控取決於作用中分支金鑰與其衍生包裝金鑰之間建立的階層。

階層式鍵控通常使用每個分支鍵版本來滿足多個請求。但是，您可以控制重複使用作用中分支金鑰的程度，並決定作用中分支金鑰的輪換頻率。分支金鑰的作用中版本會保持作用中，直到您將其輪換為止。舊版的作用中分支金鑰不會用來執行加密操作，但仍可以查詢並用於解密操作。

當您實例化階層式鍵控時，它會建立本機快取。您可以指定快取限制，以定義分支金鑰材料在本機快取內儲存的時間上限，然後過期並從快取中移出。階層式鍵環會 AWS KMS 呼叫一次 來解密分支金鑰，並在操作中第一次指定 branch-key-id 時組合分支金鑰材料。然後，分支金鑰材料會儲存在本機快取中，並重複使用於指定快取限制過期branch-key-id之前的所有加密和解密操作。在本機快取中存放分支金鑰材料可減少 AWS KMS 呼叫。例如，請考慮 15 分鐘的快取限制。如果您在該快取限制內執行 10，000 個加密操作，則傳統 AWS KMS 金鑰環將需要進行 10，000 次 AWS KMS 呼叫，以滿足 10，000 個加密操作。如果您有一個作用中的 branch-key-id，則階層式鍵控只需要呼叫一次 AWS KMS ，以滿足 10，000 個加密操作。

本機快取會將加密材料與解密材料分開。加密材料是從作用中分支金鑰組合而成，並重複使用於所有加密操作，直到快取限制到期為止。解密資料是從加密欄位中繼資料中識別的分支金鑰 ID 和版本組合而成，而且會重複使用於與分支金鑰 ID 和版本相關的所有解密操作，直到快取限制到期為止。本機快取一次可以儲存相同分支金鑰的多個版本。當本機快取設定為使用 時branch key ID supplier，它也可以一次儲存來自多個作用中分支金鑰的分支金鑰材料。

運作方式

下列逐步解說說明階層式金鑰環如何組合加密和解密材料，以及金鑰環對加密和解密操作進行的不同呼叫。如需包裝金鑰衍生和純文字資料金鑰加密程序的技術詳細資訊，請參閱AWS KMS 階層式金鑰觸發技術詳細資訊 。

加密和簽署

下列逐步解說說明階層式金鑰環如何組合加密材料並衍生唯一的包裝金鑰。

解密和驗證

下列逐步解說說明階層式鍵控如何組合解密材料並解密加密的資料金鑰。

必要條件

在您建立和使用階層式鍵控之前，請確定符合下列先決條件。

所需的許可

AWS 資料庫加密SDK不需要 ， AWS 帳戶 也不依賴任何 AWS 服務。不過，若要使用階層式金鑰集，您需要金鑰存放區中對稱加密 AWS KMS key（s） 的 AWS 帳戶 和下列最低許可。

如需控制對分支金鑰和金鑰存放區存取的詳細資訊，請參閱 實作最低權限的許可。

選擇快取

階層式鍵控 AWS KMS 可透過本機快取用於加密和解密操作的分支金鑰材料來減少對 的呼叫次數。在建立階層式金鑰環 之前，您需要決定要使用的快取類型。您可以使用預設快取或自訂快取，以最符合您的需求。

階層式鍵控支援下列快取類型：

預設快取

對於大多數使用者，預設快取滿足其執行緒需求。預設快取旨在支援大量多執行緒環境。當分支金鑰材料項目過期時，預設快取 AWS KMS 會提前 10 秒通知一個執行緒，以阻止多個執行緒呼叫分支金鑰材料項目。這可確保只有一個執行緒將請求傳送至 AWS KMS 以重新整理快取。

預設 和 StormTracking 快取支援相同的執行緒模型，但您只需指定使用預設快取的輸入容量即可。如需更精細的快取自訂，請使用 StormTracking 快取。

除非您想要自訂可儲存在本機快取中的分支金鑰材料項目數目，否則在建立階層式鍵控時不需要指定快取類型。如果您未指定快取類型，則階層式鍵控會使用預設快取類型，並將輸入容量設定為 1000。

若要自訂預設快取，請指定下列值：

Java

.cache(CacheType.builder()
        .Default(DefaultCache.builder()
        .entryCapacity(100)
        .build())

C# / .NET

CacheType defaultCache = new CacheType
{
    Default = new DefaultCache{EntryCapacity = 100}
};

MultiThreaded 快取

MultiThreaded 快取可在多執行緒環境中安全使用，但它不提供任何功能來最小化 AWS KMS 或 Amazon DynamoDB 呼叫。因此，當分支金鑰材料項目過期時，所有執行緒都會同時收到通知。這可能會導致多個 AWS KMS 呼叫重新整理快取。

若要使用 MultiThreaded 快取，請指定下列值：

Java

.cache(CacheType.builder()
        .MultiThreaded(MultiThreadedCache.builder()
        .entryCapacity(100)
        .entryPruningTailSize(1)                                        
        .build())

C# / .NET

CacheType multithreadedCache = new CacheType
{
    MultiThreaded = new MultiThreadedCache
    {
        EntryCapacity = 100,
        EntryPruningTailSize = 1
    }
};

StormTracking 快取

StormTracking 快取旨在支援大量多執行緒環境。當分支金鑰材料項目過期時， StormTracking 快取 AWS KMS 會提前通知一個執行緒分支金鑰材料項目即將過期，以防止多個執行緒呼叫。這可確保只有一個執行緒將請求傳送至 AWS KMS 以重新整理快取。

若要使用 StormTracking 快取，請指定下列值：

Java

.cache(CacheType.builder()
        .StormTracking(StormTrackingCache.builder()
        .entryCapacity(100)
        .entryPruningTailSize(1)
        .gracePeriod(10)
        .graceInterval(1)
        .fanOut(20) 
        .inFlightTTL(20)
        .sleepMilli(20)                                        
        .build())

C# / .NET

CacheType stormTrackingCache = new CacheType
{
    StormTracking = new StormTrackingCache
    {
        EntryCapacity = 100,
        EntryPruningTailSize = 1,
        FanOut = 20,
        GraceInterval = 1,
        GracePeriod = 10,
        InFlightTTL = 20,
        SleepMilli = 20
    }
};

共用快取

依預設，階層式金鑰集會在您每次初始化金鑰集時建立新的本機快取。不過，共用快取可讓您跨多個階層式金鑰環共用快取，有助於節省記憶體。共用快取不會為您現身的每個階層式索引鍵建立新的密碼編譯材料快取，而是在記憶體中只儲存一個快取，而所有參考該快取的階層式索引鍵都可以使用。共用快取可避免在整個金鑰環中重複密碼編譯材料，有助於最佳化記憶體用量。相反地，階層式金鑰環可以存取相同的基礎快取，減少整體記憶體佔用空間。

建立共用快取時，您仍然會定義快取類型。您可以指定 預設快取、 MultiThreaded 快取或 StormTracking 快取作為快取類型，或取代任何相容的自訂快取。

資料分割

多個階層式金鑰集可以使用單一共用快取。當您使用共用快取建立階層式金鑰環時，您可以定義選用的分割區 ID 。分割區 ID 會區分要寫入快取的階層式金鑰。如果兩個階層式金鑰環參考相同的分割區 ID、 logical key store name和分支金鑰 ID，則兩個金鑰環將在快取中共用相同的快取項目。如果您建立兩個具有相同共用快取的階層式金鑰環，但不同的分割區 IDs，則每個金鑰環只會存取共用快取內其自有指定分割區的快取項目。分割區在共用快取中充當邏輯分割，允許每個階層式鍵控在其指定的分割區上獨立運作，而不會干擾存放在另一個分割區中的資料。

如果您想要重複使用或共用分割區中的快取項目，您必須定義自己的分割區 ID。當您將分割區 ID 傳遞至階層式鍵控時，鍵控可以重複使用共用快取中已存在的快取項目，而不必再次擷取並重新授權分支金鑰材料。如果您未指定分割區 ID，則每次您實例化階層式鍵控時，都會自動將唯一的分割區 ID 指派給鍵控。

建立階層式鍵控

若要建立階層式鍵控，您必須提供下列值：

使用階層式鍵控進行可搜尋加密

可搜尋加密可讓您在不解密整個資料庫的情況下搜尋加密的記錄。這可透過使用指標 為加密欄位的純文字值編製索引來完成。若要實作可搜尋加密，您必須使用階層式金鑰。

金鑰存放區CreateKey操作會同時產生分支金鑰和指標金鑰 。分支金鑰用於記錄加密和解密操作。信標金鑰用於產生信標。

分支金鑰和信標金鑰受到 AWS KMS key 您在建立金鑰存放區服務時指定的相同保護。CreateKey 操作呼叫 AWS KMS 產生分支金鑰後，它會呼叫公里：GenerateDataKeyWithoutPlaintext第二次使用下列請求產生指標金鑰。

{
   "EncryptionContext": { 
      "branch-key-id" : "branch-key-id",
      "type" : type,
      "create-time" : "timestamp",
      "logical-key-store-name" : "the logical table name for your key store",
      "kms-arn" : the KMS key ARN,
      "hierarchy-version" : 1
   },
   "KeyId": "the KMS key ARN",
   "NumberOfBytes": "32"
}

產生兩個金鑰後，CreateKey操作會呼叫 ddb：TransactWriteItems 來寫入兩個新項目，這些項目會保留分支金鑰和指標金鑰在分支金鑰存放區中。

當您設定標準信標 時， AWS 資料庫加密會SDK查詢信標金鑰的金鑰存放區。然後，它會使用 HMAC型 extract-and-expand金鑰衍生函數 （HKDF） 將信標金鑰與標準信標名稱結合，為指定的信標建立HMAC金鑰。

與分支金鑰不同，金鑰存放區branch-key-id中每個 只有一個信標金鑰版本。信標金鑰永遠不會輪換。

定義您的指標金鑰來源

當您為標準和複合指標定義指標版本時，您必須識別指標金鑰，並為指標金鑰材料定義快取限制存留時間 （TTL）。指標金鑰材料會儲存在與分支金鑰不同的本機快取中。下列程式碼片段示範如何keySource為單一租戶資料庫定義 。透過branch-key-id與其相關聯的 來識別您的指標金鑰。

Java

keySource(BeaconKeySource.builder()
        .single(SingleKeyStore.builder()
                .keyId(branch-key-id)
                .cacheTTL(6000)
                .build())
        .build())

C# / .NET

KeySource = new BeaconKeySource
{
    Single = new SingleKeyStore
    {
       KeyId = branch-key-id,
       CacheTTL = 6000
    }
}