密钥管理服务
密钥管理服务集中完成密钥的创建、授权与审计，业务通过接口请求加密、解密或签名，密钥材料不离开服务的边界。它适合集中治理与合规场景，但要评估可用性、配额与调用延迟对业务的影响。它管理的是密钥本身，不承载业务数据的存储，把两者混为一谈会带来架构上的误解。
基本信息
| 提供能力 | 创建、轮换、禁用密钥，授权策略与操作审计 |
|---|---|
| 使用方式 | 通过加解密、派生数据密钥、签名与验签等接口 |
| 边界 | 只管理密钥，不承载业务数据存储 |
| 优势 | 密钥材料不出安全边界，操作可审计 |
典型使用场景
- 集中治理：统一管理多系统的加密密钥
- 合规要求：需要对密钥使用留痕与授权
- 信封加密：用主密钥保护数据密钥
- 迁移评估：从本地密钥文件迁到集中服务
- 可用性设计：评估服务不可用时的降级策略
命令行调用示意
命令行调用示意
aws kms encrypt --key-id <key-id> --plaintext fileb://secret.txt \
--output text --query CiphertextBlob | base64 -d > secret.enc
aws kms list-keys --output text | head # 列出可用密钥使用要点
| 要点 | 说明 | 风险 |
|---|---|---|
| 权限粒度 | 按密钥与操作细分授权 | 授权过宽会放大影响 |
| 配额与限流 | 接口有调用频率上限 | 突发流量可能被拒绝 |
| 可用性 | 服务不可用影响加解密 | 需设计降级与缓存策略 |
| 审计 | 调用记录可追溯 | 未开启或未留存则失去价值 |
本地缓存明文会绕过集中治理的能力；设计时要明确缓存策略与最短有效期，避免缓存成为长期存在的密钥副本。
落地建议
- 按业务拆分密钥，避免一把主密钥覆盖全部系统
- 授权范围最小化，按操作与调用方细分
- 监控调用延迟与失败率，设置配额告警
- 把密钥使用审计日志接入统一审计平台
信封加密是常见用法：主密钥只用于保护数据密钥，数据量大的内容由数据密钥加密，这样既集中管控密钥，又避免全量数据经过集中服务。