Cotas de solicitações

AWS KMSO estabelece cotas para o número de operações de API solicitadas a cada segundo. As cotas de solicitações diferem de acordo com a operação da API, com a Região da AWS e com outros fatores, como o tipo de chave do KMS. Quando você exceder uma cota de solicitações de API, o AWS KMS limita as solicitações.

nota

Se precisar exceder uma cota, solicite um aumento de cota no Service Quotas. Utilize o console do Service Quotas ou a operação RequestServiceQuotaIncrease. Para detalhes, consulte Solicitar um aumento de cota no Manual do usuário do Service Quotas. Se o Service Quotas para AWS KMS não estiver disponível na sua Região da AWS , visite o Centro de AWS Support e crie um caso.

Para obter ajuda para solicitar um aumento de uma cota do AWS KMS, consulte Solicitar um aumento de cota do AWS KMS.

Se você estiver excedendo a cota de solicitações para a operação GenerateDataKey, considere usar o recurso de cache de chave de dados do AWS Encryption SDK. Reutilizar chaves de dados pode reduzir a frequência de suas solicitações ao AWS KMS.

Além das cotas de solicitações, o AWS KMS usa cotas de recursos para garantir a capacidade para todos os usuários. Para obter mais detalhes, consulte Cotas de recurso.

Cotas de solicitações para cada operação de API do AWS KMS

Esta tabela lista o código de cota do Service Quotas e o valor padrão para cada cota de solicitação do AWS KMS.

nota

Talvez seja necessário rolar horizontalmente ou verticalmente para ver todos os dados nessa tabela.

Nome da cota	Valor padrão (por segundo)
Cryptographic operations (symmetric) request rate Aplica-se a: Decrypt Encrypt GenerateDataKey GenerateDataKeyWithoutPlaintext GenerateRandom ReEncrypt	Essas cotas compartilhadas variam de acordo com a Região da AWS e com o tipo de chave do KMS usado na solicitação. Cada cota é calculada separadamente. 5.500 (compartilhado) 10.000 (compartilhado) nas seguintes regiões: Leste dos EUA (Ohio), us-east-2 Ásia-Pacífico (Singapura), ap-southeast-1 Ásia-Pacífico (Sydney), ap-southeast-2 Ásia-Pacífico (Tóquio), ap-northeast-1 Europa (Frankfurt), eu-central-1 Europa (Londres), eu-west-2 50.000 (compartilhadas) nas seguintes regiões: Leste dos EUA (Norte da Virgínia), us-east-1 Oeste dos EUA (Oregon), us-west-2 Europa (Irlanda), eu-west-1 Cota de armazenamentos de chaves personalizados (chaves do KMS simétricas): 1.800 (compartilhado) para cada armazenamento de chaves personalizado. Para obter mais detalhes, consulte Cota do armazenamento de chaves personalizado.
Cryptographic operations (RSA) request rate Aplica-se a: Decrypt Encrypt ReEncrypt Sign Verify	500 (compartilhadas) para chaves do KMS RSA
Cryptographic operations (ECC) request rate Aplica-se a: Sign Verify	300 (compartilhadas) para chaves do KMS de curva elíptica (ECC)
CancelKeyDeletion request rate	5
ConnectCustomKeyStore request rate	5
CreateAlias request rate	5
CreateCustomKeyStore request rate	5
CreateGrant request rate	50
CreateKey request rate	5
DeleteAlias request rate	15
DeleteCustomKeyStore request rate	5
DeleteImportedKeyMaterial request rate	5
DescribeCustomKeyStores request rate	5
DescribeKey request rate	2000
DisableKey request rate	5
DisableKeyRotation request rate	5
DisconnectCustomKeyStore request rate	5
EnableKey request rate	5
EnableKeyRotation request rate	15
GenerateDataKeyPair (ECC_NIST_P256) request rate Aplica-se a: GenerateDataKeyPair GenerateDataKeyPairWithoutPlaintext	25
GenerateDataKeyPair (ECC_NIST_P384) request rate Aplica-se a: GenerateDataKeyPair GenerateDataKeyPairWithoutPlaintext	10
GenerateDataKeyPair (ECC_NIST_P521) request rate Aplica-se a: GenerateDataKeyPair GenerateDataKeyPairWithoutPlaintext	5
GenerateDataKeyPair (ECC_SECG_P256K1) request rate Aplica-se a: GenerateDataKeyPair GenerateDataKeyPairWithoutPlaintext	25
GenerateDataKeyPair (RSA_2048) request rate Aplica-se a: GenerateDataKeyPair GenerateDataKeyPairWithoutPlaintext	1
GenerateDataKeyPair (RSA_3072) request rate Aplica-se a: GenerateDataKeyPair GenerateDataKeyPairWithoutPlaintext	0,5 (1 em cada intervalo de 2 segundos)
GenerateDataKeyPair (RSA_4096) request rate Aplica-se a: GenerateDataKeyPair GenerateDataKeyPairWithoutPlaintext	0,1 (1 em cada intervalo de 10 segundos)
GetKeyPolicy request rate	1000
GetKeyRotationStatus request rate	1000
GetParametersForImport request rate	0,25 (1 em cada intervalo de 4 segundos)
GetPublicKey request rate	2000
ImportKeyMaterial request rate	5
ListAliases request rate	500
ListGrants request rate	100
ListKeyPolicies request rate	100
ListKeys request rate	500
ListResourceTags request rate	2000
ListRetirableGrants request rate	100
PutKeyPolicy request rate	15
ReplicateKey request rate Uma operação ReplicateKey conta como uma solicitação ReplicateKey na região da chave primária e duas solicitações CreateKey na região da réplica. Uma das solicitações CreateKey é uma simulação para detectar possíveis problemas antes de criar a chave.	5
RetireGrant request rate	30
RevokeGrant request rate	30
ScheduleKeyDeletion request rate	15
TagResource request rate	10
UntagResource request rate	5
UpdateAlias request rate	5
UpdateCustomKeyStore request rate	5
UpdateKeyDescription request rate	5
UpdatePrimaryRegion request rate Uma operação UpdatePrimaryRegionconta como duas solicitações UpdatePrimaryRegion; uma solicitação em cada uma das duas regiões afetadas.	5

Aplicar cotas de solicitações

Ao analisar as cotas de solicitações, tenha em mente as seguintes informações.

• Cotas de solicitações aplicam-se achaves gerenciadas pelo cliente e a Chaves gerenciadas pela AWS . O uso de chaves de propriedade da AWS não conta em relação às cotas de solicitações da sua Conta da AWS , mesmo quando elas são usadas para proteger os recursos da sua conta.

• Cotas de solicitações aplicam-se a solicitações enviadas a endpoints FIPS e não FIPS. Para obter uma lista completa dos endpoints de serviços do AWS KMS, consulte Endpoints e cotas do AWS Key Management Service, Referência geral da AWS.

• O controle de utilização é baseado em todas as solicitações em chaves do KMS de todos os tipos na região. Esse total inclui solicitações de todas as entidades principais da Conta da AWS , incluindo solicitações de serviços da AWS em seu nome.

• Cada cota de solicitações é calculada de maneira independente. Por exemplo, as solicitações para a operação CreateKey não têm efeito sobre a cota de solicitações para a operação CreateAlias. Se as solicitações CreateAlias forem limitadas, as solicitações CreateKey ainda poderão ser concluídas com êxito.

• Embora as operações de criptografia compartilhem uma cota, a cota compartilhada é calculada independentemente das cotas de outras operações. Por exemplo, as chamadas para as operações Encrypt e Decrypt compartilham uma cota de solicitações, mas essa cota é independente da cota para operações de gerenciamento, como EnableKey. Por exemplo, na região Europa (Londres), é possível executar 10.000 operações de criptografia em chaves do KMS simétricas mais 5 operações EnableKey por segundo sem que haja limitação.

Cotas compartilhadas para operações de criptografia

As operações de criptografia do AWS KMS compartilham cotas de solicitações. É possível solicitar qualquer combinação de operações de criptografia compatíveis com a chave do KMS, para que o número total de operações de criptografia não exceda a cota de solicitações desse tipo de chave do KMS. As exceções são GenerateDataKeyPair e GenerateDataKeyPairWithoutPlaintext, que compartilham uma cota separada.

As cotas para diferentes tipos de chaves do KMS são calculadas de maneira independente. Cada cota aplica-se a todas as solicitações para essas operações na conta Conta da AWS e na região com o tipo de chave fornecido em cada intervalo de um segundo.

• A taxa de solicitações de operações de criptografia (simétricas) é a cota de solicitações compartilhadas para operações de criptografia que usam chaves do KMS simétricas em uma conta e região.

  Por exemplo, você pode estar usando chaves do KMS simétricas em uma Região da AWS com uma cota compartilhada de 10.000 solicitações por segundo. Quando você faz 7.000 solicitações GenerateDataKey por segundo e 2.000 solicitações Decrypt por segundo, o AWS KMS não limita suas solicitações. No entanto, quando você faz 9.500 solicitações GenerateDataKey e 1.000 solicitações Encrypt por segundo, o AWS KMS limita as solicitações porque elas excedem a cota compartilhada.

• A taxa de solicitações de operações de criptografia (RSA) é a cota de solicitações compartilhadas de operações de criptografia que usam chaves do KMS assimétricas RSA.

  Por exemplo, com uma cota de solicitações de 500 operações por segundo, é possível fazer 200 solicitações Encrypt e 100 solicitações Decrypt com chaves do KMS RSA que podem criptografar e descriptografar, mais 50 solicitações Sign e 150 solicitações Verify com chaves do KMS RSA que podem assinar e verificar.

• A taxa de solicitações de operações de criptografia (ECC) é a cota de solicitações compartilhadas de operações de criptografia que usam chaves do KMS assimétricas de curva elíptica (ECC).

  Por exemplo, com uma cota de solicitações de 300 operações por segundo, é possível fazer 100 solicitações Sign e 200 solicitações Verify com chaves do KMS RSA que podem assinar e verificar.

As cotas para diferentes tipos de chave também são calculadas de forma independente. Por exemplo, na região Ásia-Pacífico (Singapura), se você usar chaves do KMS simétricas e assimétricas, poderá fazer até 10.000 chamadas por segundo com chaves do KMS simétricas mais até 500 chamadas adicionais por segundo com chaves do KMS assimétricas RSA, mais até 300 solicitações adicionais por segundo com as suas chaves do KMS baseadas em ECC.

Solicitações de API dofeitas em seu nome

Você pode fazer solicitações de API diretamente ou usando um serviço integrado da AWS que faz solicitações de API para o AWS KMS em seu nome. A cota se aplica a ambos os tipos de solicitações.

Por exemplo, você pode armazenar dados no Amazon S3 usando a criptografia no lado do servidor com o AWS KMS (SSE-KMS). Cada vez que você carregar ou baixar um objeto do S3 criptografado com SSE-KMS, o Amazon S3 fará uma solicitação GenerateDataKey (para uploads) ou Decrypt (para downloads) para o AWS KMS em seu nome. Essas solicitações contam em relação à cota. Portanto, o AWS KMS limitará as solicitações se você exceder um total combinado de 5.500 (ou 10.000 ou 30.000 dependendo da região da Região da AWS ) uploads ou downloads por segundo de objetos do S3 criptografados com SSE-KMS.

Solicitações entre contas

Quando uma aplicação em uma Conta da AWS usa uma chave do KMS de propriedade de outra conta, isso é conhecido como uma solicitação entre contas. Nas solicitações entre contas, o AWS KMS limita a conta que faz as solicitações, e não a conta que possui a chave do KMS. Por exemplo, se uma aplicação na conta A usar uma chave do KMS na conta B, o uso da chave do KMS será aplicado somente às cotas na conta A.

Cota do armazenamento de chaves personalizado

Armazenamentos de chaves personalizados do AWS KMS oferecem suporte apenas a chaves do KMS simétricas. As operações de criptografia que usam as chaves do KMS em um armazenamento de chaves personalizado compartilham uma cota de solicitações de 1.800 operações por segundo para cada armazenamento de chaves personalizado. No entanto, nem todas as operações usam a cota igualmente. As operações GenerateDataKey, GenerateDataKeyWithoutPlaintext e GenerateRandom usam aproximadamente três vezes mais do que a cota por segundo das operações Encrypt, Decrypt e ReEncrypt.

Por exemplo, se você estiver solicitando apenas operações Encrypt e Decrypt, poderá executar aproximadamente 1.800 operações por segundo. Se, em vez disso, você solicitar operações repetidas GenerateDataKey repetidas, o desempenho pode ser mais perto de 600 operações por segundo. Para aplicações padrão que consistem em mais ou menos igual número de operações GenerateDataKey e Decrypt, você pode esperar cerca de 1.200 operações por segundo.

Ao contrário de outras cotas do AWS KMS, a cota de armazenamento de chaves personalizado não é ajustável. Não é possível aumentá-la usando o Service Quotas nem criando um caso no AWS Support.

nota

Se o cluster do AWS CloudHSM que está associado ao armazenamento de chaves personalizado está processando vários comandos, incluindo aqueles não relacionados ao armazenamento de chaves personalizado, você pode obter um AWS KMS do ThrottlingException a uma taxa menor que o esperado. Se isso ocorrer, diminua a taxa de solicitações para o AWS KMS, reduza a carga independente ou use um cluster do AWS CloudHSM dedicado para o armazenamento de chaves personalizado.