amazon-web-services - 卓：是否可以检索存储在 KMS 中的密钥内容？

Question

如果答案是否定的，那么在某天将您的数据从 aws 云迁移到另一个云时如何处理数据加密？

例如已被 SSE-S3 加密的 S3 对象

标签： amazon-web-servicesaws-kms

Answer 1

这是不可能的。来自文档：

默认情况下，AWS KMS 为 CMK 创建密钥材料。您无法提取、导出、查看或管理此密钥材料。

将自己的密钥导入 KMS时例外。由于您导入了密钥材料，如果它支持导入密钥，您可以在另一个提供程序中使用相同的材​​料。

当您将对象复制到其他存储提供商时，AWS 会透明地解密它们。新的提供商将不得不使用他们自己的密钥加密您的数据。

因此，基本上，迁移涉及解密数据、将数据传输到新的提供者以及使用新密钥进行加密。

从 s3 传输加密数据的唯一方法是在 S3 中使用 SSE-C，它代表客户提供的加密。在这种情况下，您对文件的加密和解密负全部责任。AWS 和新的提供商只存储加密文件：

使用带有客户提供的加密密钥 (SSE-C) 的服务器端加密，您可以设置自己的加密密钥。