Drosselung AWS KMS von Anfragen

Um sicherzustellen, dass API-Anfragen aller Kunden schnell und zuverlässig beantwortet werden AWS KMS können, werden API-Anfragen, die bestimmte Grenzen überschreiten, gedrosselt.

Eine Drosselung erfolgt, wenn eine Anfrage, die ansonsten gültig sein könnte, AWS KMS zurückgewiesen wird und ein ThrottlingException Fehler wie der folgende zurückgegeben wird.

You have exceeded the rate at which you may call KMS. Reduce the frequency of your calls. 
(Service: AWSKMS; Status Code: 400; Error Code: ThrottlingException; Request ID: <ID>

AWS KMS drosselt Anfragen für die folgenden Bedingungen.

• Die Rate der Anfragen pro Sekunde überschreitet das AWS KMS Anforderungskontingent für ein Konto und eine Region.

  Wenn Benutzer in Ihrem Konto beispielsweise 1000 DescribeKey Anfragen in einer Sekunde einreichen, werden alle nachfolgenden DescribeKey Anfragen in dieser Sekunde AWS KMS gedrosselt.

  Um auf Drosselung zu reagieren, verwenden Sie eine Backoff- und Wiederholungsstrategie. Diese Strategie wird in einigen AWS SDKs automatisch für HTTP 400-Fehler implementiert.

• Ein Stoß oder eine anhaltende hohe Rate von Anforderungen, um den Status desselben KMS-Schlüssels zu ändern. Diese Bedingung wird oft als „Hotkey“ bezeichnet.

  Wenn beispielsweise eine Anwendung in Ihrem Konto eine permanente Salve von EnableKey und DisableKey Anfragen nach demselben KMS-Schlüssel sendet, werden die Anfragen AWS KMS gedrosselt. Diese Drosselung erfolgt auch dann, wenn die Anfragen das request-per-second Anforderungslimit für die Operationen und nicht überschreiten. EnableKey DisableKey

  Um auf Drosselung zu reagieren, passen Sie Ihre Anwendungslogik so an, dass nur erforderliche Anforderungen ausgeführt werden, oder es konsolidiert die Anforderungen mehrerer Funktionen.

• Anfragen für Operationen mit KMS-Schlüsseln in einem AWS CloudHSM Schlüsselspeicher werden möglicherweise mit einer lower-than-expected Geschwindigkeit gedrosselt, wenn der dem AWS CloudHSM Schlüsselspeicher zugeordnete AWS CloudHSM Cluster zahlreiche Befehle verarbeitet, auch solche, die nichts mit dem Schlüsselspeicher zu tun haben. AWS CloudHSM

  (AWS KMS Drosselt Anfragen für Operationen mit KMS-Schlüsseln in einem AWS CloudHSM Schlüsselspeicher nicht mehr, wenn keine PKCS #11 -Sitzungen für den Cluster verfügbar sind. AWS CloudHSM Stattdessen wird eine Meldung ausgelöst KMSInternalException und es wird empfohlen, dass Sie Ihre Anfrage erneut versuchen.)

Um Trends in Ihren Anforderungsraten anzuzeigen, verwenden Sie die Service-Quotas-Konsole. Sie können auch einen CloudWatchAmazon-Alarm einrichten, der Sie benachrichtigt, wenn Ihre Anforderungsrate einen bestimmten Prozentsatz eines Kontingents erreicht. Einzelheiten finden Sie im AWS Sicherheitsblog unter Verwalten Sie Ihre AWS KMS API-Anforderungsraten mithilfe von Service Quotas und Amazon CloudWatch.

Alle AWS KMS Kontingente sind anpassbar, mit Ausnahme des Ressourcenkontingents für die Größe des wichtigsten Richtliniendokuments, des Ressourcenkontingents für die On-Demand-Rotation und des Kontingents für AWS CloudHSM wichtige Store-Anfragen. Informationen zur Erhöhung eines Kontingents finden Sie unter Anfordern einer Kontingenterhöhung im Service-Quotas-Benutzerhandbuch. Um eine Senkung des Kontingents zu beantragen, ein Kontingent zu ändern, das nicht in Service Quotas aufgeführt ist, oder um ein Kontingent AWS-Region in einem Bereich zu ändern, für AWS KMS den Servicekontingente nicht verfügbar sind, besuchen Sie bitte das AWS Support Center und erstellen Sie einen Fall.

Anmerkung

AWS KMS benutzerdefinierte Schlüsselspeicher-Anforderungskontingente werden nicht in der Service Quotas Quotas-Konsole angezeigt. Sie können diese Kontingente nicht mithilfe von Service-Quotas-API-Vorgängen anzeigen oder verwalten. Um eine Änderung Ihres Anforderungskontingents für externe Schlüsselspeicher zu beantragen, erstellen Sie im AWS Support Center einen Fall.