本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
使用密钥环
| 我们的客户端加密库已重命名为 AWS 数据库加密 SDK。本开发人员指南仍提供有关 DynamoDB 加密客户端的信息。 |
AWS 数据库加密 SDK 使用密钥环来执行信封加密。密钥环生成、加密和解密数据密钥。密钥环确定保护每条加密记录的唯一数据密钥的来源，以及加密该数据密钥的包装密钥。您在加密时指定一个密钥环，并在解密时指定相同或不同的密钥环。
您可以单独使用每个密钥环，也可以将多个密钥环合并为一个多重密钥环。虽然大多数密钥环可以生成、加密和解密数据密钥，但您也可以创建只执行一项特定操作的密钥环，例如只生成数据密钥的密钥环，并将此密钥环与其他密钥环结合使用。
我们建议您使用可保护包装密钥并在安全边界内执行加密操作的密钥环，例如密 AWS KMS 钥环，它使用永不保密 AWS Key Management Service() AWS KMS keys AWS KMS的密钥环。您也可以编写一个密钥环以使用硬件安全模块（HSM）中存储的包装密钥，或使用由其他主密钥服务保护的包装密钥。
本主题介绍如何使用 AWS 数据库加密 SDK 的密钥环功能以及如何选择密钥环。
