Überlegungen zu Kosten, Regionen und Leistung

Wenn Sie serverseitige Verschlüsselung anwenden, fallen Kosten für AWS KMS API Nutzung und Schlüssel an. Im Gegensatz zu benutzerdefinierten KMS Hauptschlüsseln wird der (Default) aws/kinesis Kundenhauptschlüssel (CMK) kostenlos angeboten. Sie müssen jedoch weiterhin die API Nutzungskosten bezahlen, die Amazon Kinesis Data Streams in Ihrem Namen entstehen.

APINutzungskosten fallen für alle anCMK, auch für benutzerdefinierte. Kinesis Data Streams ruft AWS KMS ungefähr alle fünf Minuten ab, wenn der Datenschlüssel gewechselt wird. In einem Monat mit 30 Tagen sollten die Gesamtkosten für AWS KMS API Anrufe, die über einen Kinesis-Stream initiiert werden, weniger als ein paar Dollar betragen. Diese Kosten hängen von der Anzahl der Benutzeranmeldedaten ab, die Sie bei Ihren Datenproduzenten und -verbrauchern verwenden, da für jede Benutzeranmeldeberechtigung ein eindeutiger API Anruf erforderlich ist. AWS KMS Wenn Sie eine IAM Rolle für die Authentifizierung verwenden, führt jeder Assumer-Rollenaufruf zu eindeutigen Benutzeranmeldedaten. Um KMS Kosten zu sparen, sollten Sie Benutzeranmeldeinformationen zwischenspeichern, die beim Assume-Role-Aufruf zurückgegeben werden.

Im Folgenden werden die Kosten pro Ressource aufgeführt:

Schlüssel

• Das CMK für Kinesis, das von AWS (alias =aws/kinesis) verwaltet wird, ist kostenlos.

• Für benutzergenerierte KMS Schlüssel fallen KMS Schlüsselkosten an. Weitere Informationen finden Sie unter AWS Key Management Service – Preise.

APINutzungskosten fallen für alle anCMK, auch für benutzerdefinierte. Kinesis Data Streams ruft KMS ungefähr alle 5 Minuten auf, wenn der Datenschlüssel rotiert wird. In einem Monat mit 30 Tagen sollten die Gesamtkosten für KMS API Anrufe, die über einen Kinesis-Datenstrom initiiert werden, weniger als ein paar Dollar betragen. Bitte beachten Sie, dass diese Kosten mit der Anzahl der Benutzeranmeldedaten, die Sie bei Ihren Datenproduzenten und -verbrauchern verwenden, steigen, da für jeden Benutzeranmeldenachweis ein eindeutiger API Anruf erforderlich ist. AWS KMS Wenn Sie IAM Rollen für die Authentifizierung verwenden, assume-role-call führt jede Rolle zu eindeutigen Benutzeranmeldedaten. Um KMS Kosten zu sparen, sollten Sie die von der assume-role-call zurückgegebenen Benutzeranmeldedaten zwischenspeichern.

KMSAPIVerwendung

Für jeden verschlüsselten Stream ruft der Kinesis-Dienst den AWS KMS Dienst etwa 12 Mal alle 5 Minuten auf, wenn von TIP einem einzigen IAM Konto/Benutzerzugriffsschlüssel für mehrere Leser und Autoren gelesen und verwendet wird. Wenn kein Text gelesen wird, TIP kann dies zu einer höheren Anzahl von Anfragen an den Service führen. AWS KMS APIAnfragen zur Generierung neuer Datenverschlüsselungsschlüssel sind mit AWS KMS Nutzungskosten verbunden. Weitere Informationen finden Sie unter Preise für AWS Key Management Service – Verwendung.

Verfügbarkeit serverseitiger Verschlüsselung nach Regionen

Derzeit ist die serverseitige Verschlüsselung von Kinesis-Streams in allen Regionen verfügbar, die für Kinesis Data Streams unterstützt werden, einschließlich AWS GovCloud (USA West) und den Regionen China. Weitere Informationen zu unterstützten Regionen für Kinesis Data Streams finden Sie unter https://docs.aws.amazon.com/general/latest/gr/ak.html.

Performanceaspekte

Aufgrund des Serviceaufwands bei der Verschlüsselung erhöht die serverseitige Verschlüsselung die typische Latenzzeit von PutRecord, PutRecords und GetRecords um 100μs.