金鑰類型參考

AWS KMS 可支援不同類型 KMS 金鑰的不同功能。例如，您只能使用對稱加密 KMS 金鑰產生對稱資料金鑰和非對稱資料金鑰對。此外，僅對稱加密 KMS 金鑰支援金鑰資料匯入和金鑰自動輪換，而且只能在自訂金鑰存放區中建立對稱加密 KMS 金鑰。

此參考包括兩個資料表。

• 金鑰類型資料表列出對稱加密 KMS 金鑰、非對稱 KMS 金鑰和 HMAC KMS 金鑰的有效 AWS KMS 操作。

• 特殊功能資料表列出多區域 KMS 金鑰、含有匯入金鑰材料的 KMS 金鑰以及自訂金鑰存放區中的 KMS 金鑰的有效 AWS KMS 操作。

金鑰類型資料表

您可能需要水平或垂直捲動，才能查看此資料表中的所有資料。

AWS KMSAPI 操作	對稱加密 KMS 金鑰	HMAC KMS 金鑰	非對稱 KMS 金鑰 (ENCRYPT_DECRYPT)	非對稱 KMS 金鑰 (SIGN_VERIFY)
CancelKeyDeletion
CreateAlias
CreateGrant
CreateKey
解密
DeleteAlias
DeleteImportedKeyMaterial 僅對含有匯入金鑰材料的 KMS 金鑰有效 (Origin 為 EXTERNAL)。
DescribeKey
DisableKey
DisableKeyRotation	僅對含有 AWS KMS 金鑰材料的 KMS 金鑰有效 (Origin 為 AWS_KMS)。
EnableKey
EnableKeyRotation	僅對含有 AWS KMS 金鑰材料的 KMS 金鑰有效 (Origin 為 AWS_KMS)。
加密
GenerateDataKey
GenerateDataKeyPair 產生受對稱加密 KMS 金鑰保護的非對稱資料金鑰對。	對於自訂金鑰存放區中的 KMS 金鑰無效。
GenerateDataKeyPairWithoutPlaintext 產生受對稱加密 KMS 金鑰保護的非對稱資料金鑰對。	對於自訂金鑰存放區中的 KMS 金鑰無效。
GenerateDataKeyWithoutPlaintext
GenerateMac
GetKeyPolicy
GetKeyRotationStatus		(KeyRotationEnabled 一律為 false.)	(KeyRotationEnabled 一律為 false.)	(KeyRotationEnabled 一律為 false.)
GetParametersForImport 僅對含有匯入金鑰材料的 KMS 金鑰有效 (Origin 為 EXTERNAL)。
GetPublicKey
ImportKeyMaterial 僅對含有匯入金鑰材料的 KMS 金鑰有效 (Origin 為 EXTERNAL)。
ListAliases
ListGrants
ListKeyPolicies
ListResourceTags
ListRetirableGrants
PutKeyPolicy
ReEncrypt
ReplicateKey - 僅適用於多區域金鑰
RetireGrant
RevokeGrant
ScheduleKeyDeletion
符號
TagResource
UntagResource
UpdateAlias 目前的 KMS 金鑰和新的 KMS 金鑰必須是相同類型 (兩者皆為對稱或皆為非對稱或皆為 HMAC)，且必須具有相同的金鑰用途。
UpdateKeyDescription
UpdateReplicaRegion - 僅適用於多區域金鑰
確認
VerifyMac

特殊功能資料表

此資料表顯示每種特殊用途金鑰類型支援的 AWS KMS API 操作。

閱讀此資料表時，請注意下列互動：

• 多區域金鑰：

  • 多區域金鑰可以是對稱加密 KMS 金鑰、非對稱 KMS 金鑰、HMAC KMS 金鑰、含有匯入金鑰材料的 KMS 金鑰。

  • 您無法在自訂金鑰存放區建立多區域金鑰。

• 匯入的金鑰資料

  • 您可針對對稱加密 KMS 金鑰、非對稱 KMS 金鑰，以及 HMAC KMS 金鑰匯入金鑰資料。

  • 您可利用匯入金鑰資料來建立多區域金鑰。

  • 您無法在自訂金鑰存放區中建立含有匯入金鑰材料的金鑰。

  • 具有匯入金鑰資料的 KMS 金鑰不支援自動金鑰輪換 (EnableKeyRotation、DisableKeyRotation)。

• 自訂金鑰存放區

  • 自訂金鑰存放區僅支援對稱加密 KMS 金鑰。

  • 自訂金鑰存放區中的 KMS 金鑰不支援非對稱金鑰對 (GenerateDataKeyPair、GenerateDataKeyPairWithoutPlaintext) 的對稱操作。

  • 自訂金鑰存放區中的 KMS 金鑰不支援自動金鑰輪換 (EnableKeyRotation、DisableKeyRotation)。

  • 您無法在自訂金鑰存放區建立多區域金鑰。

您可能需要水平或垂直捲動，才能查看此資料表中的所有資料。

AWS KMSAPI 操作	多區域金鑰	匯入的金鑰資料	在自訂金鑰存放區中的 KMS 金鑰
CancelKeyDeletion
CreateAlias
CreateGrant
CreateKey 您可以使用 CreateKey 來建立多區域主要金鑰、含有匯入金鑰材料的 KMS 金鑰，或者自訂金鑰存放區中的 KMS 金鑰。若要建立多區域複本金鑰，請使用 ReplicateKey。
解密	只有在 KeyUsage 為 ENCRYPT_DECRYPT 時有效
DeleteAlias
DeleteImportedKeyMaterial	僅對含有匯入金鑰材料的金鑰有效 (Origin 為 EXTERNAL)
DescribeKey
DisableKey
DisableKeyRotation	僅對含有 AWS KMS 金鑰材料的對稱加密金鑰有效 (Origin 為 AWS_KMS)。
EnableKey	僅對對稱加密 KMS 金鑰有效
EnableKeyRotation	僅對含有 AWS KMS 金鑰材料的對稱加密金鑰有效 (Origin 為 AWS_KMS)。
加密	只有在 KeyUsage 為 ENCRYPT_DECRYPT 時有效
GenerateDataKey	僅對對稱加密 KMS 金鑰有效
GenerateDataKeyPair	僅對對稱加密 KMS 金鑰有效
GenerateDataKeyPairWithoutPlaintext	僅對對稱加密 KMS 金鑰有效
GenerateDataKeyWithoutPlaintext	僅對對稱加密 KMS 金鑰有效
GenerateMac 僅對 HMAC KMS 金鑰有效
GetKeyPolicy
GetKeyRotationStatus		(KeyRotationEnabled 一律為 false.)
GetParametersForImport	僅對含有匯入金鑰材料的金鑰有效 (Origin 為 EXTERNAL)。
GetPublicKey 僅對非對稱 KMS 金鑰有效。
ImportKeyMaterial	僅對含有匯入金鑰材料的金鑰有效 (Origin 為 EXTERNAL)。
ListAliases
ListGrants
ListKeyPolicies
ListResourceTags
ListRetirableGrants
PutKeyPolicy
ReEncrypt	只有在 KeyUsage 為 ENCRYPT_DECRYPT 時有效
ReplicateKey	僅對多區域主金鑰有效。	僅對多區域主金鑰有效。
RetireGrant
RevokeGrant
ScheduleKeyDeletion
符號 只有在 KeyUsage 為 SIGN_VERIFY 時有效。
TagResource
UntagResource
UpdateAlias - 目前的 KMS 金鑰和新的 KMS 金鑰必須是相同類型 (兩者皆為對稱或皆為非對稱或皆為 HMAC)，且必須具有相同的金鑰用途。
UpdateKeyDescription
UpdateReplicaRegion		僅對多區域金鑰有效。
確認 只有在 KeyUsage 為 SIGN_VERIFY 時有效。
VerifyMac 僅對 HMAC KMS 金鑰有效