创建多区域主密钥 - AWS Key Management Service

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

创建多区域主密钥

您可以在 AWS KMS 控制台中或使用 AWS KMS API 创建多区域主密钥。您可以在 AWS KMS 支持多区域密钥所在的任何 AWS 区域 中创建主密钥。

要创建多区域主密钥，委托人需要他们创建任何 KMS 密钥所需的相同权限，包括 IAM policy 中的 kms:CreateKey 权限。委托人还需要 iam:CreateServiceLinkedRole 权限。您可以使用 kms:MultiRegionKeyType 条件键以允许或拒绝创建多区域主密钥的权限。

要在 AWS KMS 控制台中创建多区域主密钥，请使用用于创建任何 KMS 密钥的相同过程。您可以在高级选项中选择多区域密钥。有关完整说明，请参阅创建 KMS 密钥。

重要

不要在别名、描述或标签中包含机密或敏感信息。这些字段可能以纯文本形式出现在 CloudTrail 日志和其他输出中。

  1. 登录到 AWS Management Console，然后通过以下网址打开 AWS Key Management Service（AWS KMS）控制台：https://console.aws.amazon.com/kms。

  2. 要更改 AWS 区域，请使用页面右上角的区域选择器。

  3. 在导航窗格中，选择客户托管密钥。

  4. 选择 Create key。

  5. 选择对称或非对称密钥类型。对称密钥为原定设置。

    您可以创建多区域对称密钥和非对称密钥，包括对称的多区域 HMAC KMS 密钥。

  6. 选择您的密钥使用方法。Encrypt and decrypt（加密和解密）是原定设置。

    有关帮助信息，请参阅 创建 KMS 密钥、创建非对称 KMS 密钥 或 创建 HMAC KMS 密钥。

  7. 展开 Advanced options (高级选项)。

  8. 在密钥材料源下，要使 AWS KMS 生成主密钥和副本密钥将共享的密钥材料，请选择 KMS。如果您 将密钥材料导入 到主密钥和副本密钥中，请选择 External (Import key material) [外部（导入密钥材料）]。

  9. 在区域性下，选择多区域密钥。

    创建 KMS 密钥之后，您无法再更改此设置。

  10. 为主密钥键入别名。

    别名不是多区域密钥的共享属性。您可以为多区域主密钥及其副本密钥指定相同的别名或不同的别名。AWS KMS 不同步多区域密钥的别名。

    注意

    添加、删除或更新别名可以允许或拒绝对 KMS 密钥的权限。有关详细信息，请参阅 AWS KMS 中的 ABAC 和 使用别名控制对密钥的KMS访问。

  11. （可选）键入主密钥的描述。

    描述不是多区域密钥的共享属性。您可以为多区域主密钥及其副本密钥指定相同的描述或不同的描述。AWS KMS 不同步多区域密钥的密钥描述。

  12. (可选) 键入标签键和一个可选标签值。要向主密钥分配多个标签，请选择 Add tag（添加标签）。

    标签不是多区域密钥的共享属性。您可以为多区域主密钥及其副本密钥指定相同的标签或不同的标签。AWS KMS 不同步多区域密钥的标签。您可以随时更改 KMS 密钥上的标签。

    注意

    标记或取消标记 KMS 密钥可以允许或拒绝对 KMS 密钥的权限。有关详细信息，请参阅 AWS KMS 中的 ABAC 和 使用标签控制对 KMS 密钥的访问。

  13. 选择可管理主密钥的 IAM 用户和角色。

    注意

    IAM 策略可以向其他 IAM 用户和角色授予管理 KMS 密钥的权限。

    IAM 最佳实践不鼓励使用具有长期凭证的 IAM 用户。而应尽可能使用提供临时凭证的 IAM 角色。有关更多信息，请参阅《IAM 用户指南》中的 IAM 安全最佳实践。

    此步骤将开始为主密钥创建密钥策略的过程。密钥策略不是多区域密钥的共享属性。您可以为多区域主密钥及其副本密钥指定相同的密钥策略或不同的密钥策略。AWS KMS 不同步多区域密钥的密钥策略。条件密钥值必须遵守密钥策略和 IAM policy 的字符和编码规则。

  14. 完成创建密钥策略的步骤，包括选择密钥用户。审查密钥策略后，请选择 Finish（完成）以创建 KMS 密钥。

要创建多区域主密钥，请使用 CreateKey 操作。使用带 True 值的 MultiRegion 参数。

例如，以下命令在调用者的 AWS 区域 (us-east-1) 中创建多区域主密钥。它接受所有其他属性的默认值，包括密钥策略。多区域主密钥的默认值与所有其他 KMS 密钥的默认值相同，包括默认密钥策略。此过程将创建一个对称加密密钥，即默认 KMS 密钥。

响应包含 MultiRegion 元素和 MultiRegionConfiguration 元素，其中包含典型的子元素和不含副本密钥的多区域主密钥的值。多区域密钥的密钥 ID 总是以 mrk- 开头。

重要

不要在 Description 或 Tags 字段中包含机密或敏感信息。这些字段可能以纯文本形式出现在 CloudTrail 日志和其他输出中。

$ aws kms create-key --multi-region
{
    "KeyMetadata": {
        "Origin": "AWS_KMS",
        "KeyId": "mrk-1234abcd12ab34cd56ef1234567890ab",
        "Description": "",
        "KeyManager": "CUSTOMER",
        "Enabled": true,
        "KeySpec": "SYMMETRIC_DEFAULT",
        "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "KeyState": "Enabled",
        "CreationDate": 1606329032.475,
        "Arn": "arn:aws:kms:us-east-1:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab",
        "AWSAccountId": "111122223333",
        "EncryptionAlgorithms": [
            "SYMMETRIC_DEFAULT"
        ],
        "MultiRegion": true,
        "MultiRegionConfiguration": { 
            "MultiRegionKeyType": "PRIMARY",
            "PrimaryKey": { 
                "Arn": "arn:aws:kms:us-east-1:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab",
                "Region": "us-east-1"
            },
            "ReplicaKeys": [ ]
      }
    }
}