使用一些KMS区域主密钥获取数据密钥，然后再添加两个区域，以获得相同的数据密钥加密
使用一些KMS（Key Management Service）区域主密钥获取数据密钥，然后再添加两个区域，以获得相同的数据密钥加密。
KMS是一种云服务，用于管理和保护密钥的创建、存储、使用和轮换。它可以帮助用户轻松管理加密密钥，提供安全的密钥存储和访问控制，以保护数据的机密性。
在使用KMS区域主密钥获取数据密钥的过程中，首先需要创建一个KMS区域主密钥。KMS区域主密钥是一种对称密钥，用于加密和解密数据密钥。用户可以使用腾讯云KMS服务创建和管理KMS区域主密钥。
接下来，使用KMS区域主密钥获取数据密钥。数据密钥是一种对称密钥，用于加密和解密数据。用户可以调用腾讯云KMS服务的API，使用KMS区域主密钥生成数据密钥。
然后，为了增加数据密钥的安全性，可以将数据密钥添加到两个不同的区域。这样做的好处是，即使一个区域的密钥泄露，数据仍然可以通过另一个区域的密钥进行解密，提高了数据的安全性和可用性。
对于这个场景，腾讯云提供了以下相关产品和服务：
- 腾讯云KMS（Key Management Service）：用于创建、存储和管理密钥的云服务。用户可以使用KMS服务创建和管理KMS区域主密钥，并使用API获取数据密钥。了解更多信息，请访问：腾讯云KMS产品介绍
- 腾讯云CVM（Cloud Virtual Machine）：用于提供虚拟机的云服务。用户可以在CVM上部署应用程序和服务，并使用KMS服务获取数据密钥进行加密。了解更多信息，请访问：腾讯云CVM产品介绍
- 腾讯云COS（Cloud Object Storage）：用于提供对象存储的云服务。用户可以将加密的数据存储在COS中，并使用KMS服务获取数据密钥进行解密。了解更多信息，请访问：腾讯云COS产品介绍
通过使用腾讯云的KMS服务和相关产品，用户可以实现对数据的安全加密和解密，保护数据的机密性和完整性。同时，腾讯云提供了高可用性和可扩展性的云计算基础设施，以满足不同应用场景的需求。
相关·内容
2回答
使用AWS加密软件开发工具包- MultipleProviderFactory，可以将来自不同地区的多个CMK组合成一个主密钥提供商，第一个CMK用于生成数据密钥，其他CMK仅用于加密数据密钥。这有助于使用本地KMS终结点进行解密。
第一个主密钥是生成数据密钥的主密钥，如果第一个主密钥区域关闭，没有生成数据密钥，会不会失败？？是否有任何解决方案或解决方法?？
浏览 2提问于2017-02-27得票数 5
()状态：
从启用CMEK的实例中读取副本，继承与主实例相同的Cloud密钥的CMEK加密。
同时：
注意: Cloud键环位置必须与要创建Cloud实例的区域匹配。多区域或全局区域键将无法工作。如果区域不匹配，创建Cloud实例的请求就会失败。
从这两条信息可以得出结论，跨区域复制不可能与CMEK加密一起使用。
然而，我们已经通过以下方法完成了这一过程：
使用这个键在欧洲创建一个KMS keyring + key，在欧洲创建Cloud主实例-west3
在欧洲创建一个KMS键环+键，在欧洲创建一个Cloud副本，在欧洲创建一个Cloud副本，使用来自欧洲的键-west
浏览 3提问于2021-07-13得票数 0
回答已采纳
1回答
区域间AWS加密SDK标头不匹配
、、、、
在将数据存储到数据库之前，我使用对数据进行加密。我也在使用。作为加密过程的一部分，SDK将用于加密的数据密钥的密钥提供程序ID存储在生成的密码文本头中。
如这里的文档所述，
AWS加密SDK中的加密操作返回包含加密数据(密文)和所有加密数据密钥的单个数据结构或消息。要理解这个数据结构，或者构建读写它的库，您需要了解消息格式。
消息格式至少由两个部分组成:标题和正文。在某些情况下，消息格式由第三部分(页脚)组成。
密钥提供者ID值包含AWS KMS客户主密钥(CMK)的(ARN)。
这就是问题所在。现在，我有两个不同的KMS区域可用于加密。每个密钥提供程序ID具有完全相同的加密数据密钥值
浏览 6提问于2017-11-18得票数 0
如何在Gcloud中拥有一个主密钥，并创建数据密钥进行加密。并使用主密钥来解密实际数据。这在AWS KMS中是可能的。如何在Gcloud中实现同样的功能？
谢谢
浏览 5提问于2020-11-12得票数 0
我有一条用Terraform定义的多区域轨迹，我正试图用KMS加密。我的跟踪包括四个AWS区域：us-east-1、us-west-2、eu-west-2和eu-central-1，我正在创建一个KMS密钥，用于加密日志文件并为每个添加适当的权限。然而，目前还不清楚这是否需要一个多区域密钥。如果我使用的KMS密钥需要是多区域，是否需要为我的跟踪所覆盖的每个额外区域创建一个复制密钥？
文档表示CloudTrail支持KMS多区域键，但使用MRKs w/ CloudTrail的适当情况并不简单。如果我能做到这一点，那么我就知道相关的MRKs不共享关键策略，如果需要的话，我需要为每个策略定义一个特定
浏览 5提问于2022-10-20得票数 0
回答已采纳
当我SSE-S3用AES256加密桶(对象)并将其公之于众时。水桶的内容是可见的。但是，AWS KMS的情况并非如此，它会引发以下错误：
Requests specifying Server Side Encryption with AWS KMS managed keys require AWS Signature Version 4.
最终用户如何能够在AES256中查看对象？
使用服务器端加密和AmazonS3托管密钥(SSE-S3) -每个对象都使用一个使用强多因素加密的唯一密钥加密。作为一种附加的安全措施，它使用一个主密钥对密钥本身进行加密，该主密钥是它定期旋转的。亚马逊S3服务器
浏览 0提问于2018-05-22得票数 22
1回答
我正在尝试使用进行AWS设置，以便将对象上传到S3。
文件中说上传的对象应该被加密；
服务器端加密是关于rest的数据加密，也就是说，亚马逊S3在将数据写入其数据中心的磁盘时，在对象级别对数据进行加密，并在访问数据中心时为您解密。
我设置了KMS主键，并尝试使用CLI以下列方式上载对象
aws s3api put-object --bucket test --key keys/test.txt --server-side-encryption aws:kms --ssekms-key-id <my_master_Key_id> --body test.txt
上传成功，我看
浏览 3提问于2016-09-08得票数 4
我隐式地生成了一个数据加密密钥，如下所示(使用的密钥ID只是表示)：
from aws_encryption_sdk import encrypt
# Key provider with only 2 region master keys to begin with
kms_key_provider = KMSMasterKeyProvider(key_ids=[“west-1”, “west-2”])
# encrypt something random only to get the encrypted data keys in the header from those 2 regi
浏览 24提问于2017-12-12得票数 0
回答已采纳
我试图用我在AWS中创建的密钥加密我的应用程序中的一个pdf文件，并将加密的文件上传到S3。我使用boto3来实现这一点。不过，我可以不加加密地将文件上传到S3。下面是我的函数，用于加密：
def write(self):
print 'Write to S3'
client = boto3.client('kms')
s3 = boto3.client('s3')
input_file = open('265987747.pdf', 'rb')
data = input_
浏览 2提问于2016-08-10得票数 0
很少需要帮助来为下面的用例找到更好的解决方案。
我有一个包含输入数据的S3桶，它是用KMS密钥1加密的。
因此，我可以使用"spark.hadoop.fs.s3.serverSideEncryption.kms.keyId"将KMS键1设置为火花会话。
能够读取数据，
现在，我想将数据写入另一个S3桶，但它是用KMS密钥2*加密的。
所以我目前正在做的是，用Key1创建火花会话，读取数据帧并将其转换为Pandas数据框架，并关闭火花会话，并使用KMS KEY2在相同的AWS胶水作业中重新创建火花会话，并转换之前创建的熊猫数据，以触发数据帧，并编写输出S3桶。
但这种方法有时会导
浏览 2提问于2021-04-14得票数 2
回答已采纳
2回答
我试图将一个SQS队列连接到一个SNS主题中，它们都位于不同的AWS帐户中，并且使用不同的KMS密钥(CMK)加密。
让我知道更详细的设置：
AWS Account 1:
- Encrypted (SSE) SNS Topic
- KMS CMK used to encrypt SNS Topic
- Policy to Allow AWS Account 2 to subscribe to the SNS Topic
AWS Account 2:
- Encrypted SQS Queue
- KMS CMK used to encrypt SQS Queue
- Cross-a
浏览 16提问于2022-08-25得票数 0
回答已采纳
2回答
我们运行的是AWS RDS PostgreSQL，使用AWS托管KMS密钥加密的每日自动快照。我的目标是最大限度地减少风险和数据丢失，以防AWS主账户(运行RDS)被泄露或RDS以某种方式被删除/损坏。
到目前为止，我们已经实现了: RDS快照与不同的(备份)帐户共享，定期复制到备份帐户，并使用备份帐户中的KMS密钥进行重新加密，以在本地制作副本，并独立于AWS主帐户。
我想知道在发生灾难事件时，是否有更好的方法来最小化恢复时间目标和恢复点目标？
浏览 2提问于2020-01-30得票数 4
1回答
我们目前正在讨论gcp云kms以及如何为灾难恢复服务。这是我们当前的测试设置：
Java使用Spring + Google使用KMSEnvelopeAead + AesGcmJce (即通过kms (KEK)加密并存储在密文旁边的由Tink生成的DEK )，对称
项目"A“(灾后恢复前的初始项目)
-> KMS ->键环"keyringABC“-> key "keyABC”->通过导入作业导入自定义密钥。我可以成功地加密/解密一些文本--很好，都是好的。
resource: projects/A/locations/eur3/keyRings/k
浏览 10提问于2021-11-26得票数 1
回答已采纳
我们在Windows下有一个Jenkins设置，它有一个主实例和一个工作实例，每个实例都在亚马逊网络服务的EC2上运行。我们在每个实例中设置一个单独的帐户，该帐户用于在每个实例上运行Jenkins服务。我们使用Git bash通过SSH生成密钥，并将公钥复制到Bitbucket，允许主实例从存储库获取Jenkinsfile，并允许工作实例获取构建的整个存储库。目前，我们手动生成密钥，它们位于服务器上(位于我们的防火墙后面)，但为了使脚本简单，密钥缺少密码。我们对此的舒适度很低，所以我们正在寻找其他选择。我们知道AWS有允许我们生成和轮换密钥的KMS，但我们不确定如何将ssh与AWS KMS连接
浏览 16提问于2017-02-01得票数 1
我有管理员访问我的AWS帐户，我正在试图复制一个有加密功能的DB快照。我正在指定键ID，但它仍然给出了以下错误：
/opt/homebrew/lib/ruby/gems/3.0.0/gems/aws-sdk-core-3.124.0/lib/seahorse/client/plugins/raise_response_errors.rb:17:in ‘`call'：目标KMS键<my_key_id>不存在，没有启用，或者您没有访问它的权限。(Aws：：RDS：：Error：：KMSKeyNotAccessibleFault)
唯一改变了它工作时间到不再工作的时间的是我在数
浏览 7提问于2022-01-19得票数 2
1回答
在信封加密中，使用对称密钥对数据进行签名，然后使用另一个密钥对秘密进行加密以生成加密的密钥。加密消息与加密密钥一起打包，并发送给客户机/使用者，然后客户/使用者对加密的密钥进行解密，以获得密钥，而密钥又被用来解密消息。
有两种实现方法：
非对称加密:生产者用用户公钥加密密钥(S)。使用者使用私钥解密加密的秘密。
KMS (如AWS KMS)：密钥由KMS加密，需要访问密钥的客户端必须要求KMS对其进行解密。
KMS方法的优点是密钥管理是集中的，可以通过从KMS中删除客户端并旋转密钥来撤销来自客户端的权限。
是否有充分的理由使用不对称密钥而不是KMS？
浏览 0提问于2015-08-24得票数 5
如何从密文blob中获取KMS密钥信息？
以aws网站为例
aws kms encrypt --key-id 1234abcd-12ab-34cd-56ef-1234567890ab --plaintext fileb://ExamplePlaintextFile --output text --query CiphertextBlob | base64 --decode > ExampleEncryptedFile
有没有办法查看ExampleEncryptedFile并找出使用哪个KMS密钥对其进行加密？
我这样问是因为我在读取我加密的东西时遇到了问题，我想验证它是用我以为的密钥加
浏览 1提问于2016-07-29得票数 4
我似乎不能在用于加密现有CloudWatch日志组的KMS客户管理密钥中使用CloudWatch条件。
我遵循并使用以下策略创建了一个对称的KMS密钥，该策略允许将该密钥用于任何日志组(帐户ID已编辑)：
{
"Version": "2012-10-17",
"Id": "key-default-1",
"Statement": [
{
"Sid": "Enable IAM User Permissions",
"Effect
浏览 15提问于2022-10-10得票数 0
回答已采纳
2回答
在信封加密中，使用对称密钥对数据进行签名，然后使用另一个密钥对秘密进行加密以生成加密的密钥。加密消息与加密密钥一起打包，并发送给客户机/使用者，然后客户/使用者对加密的密钥进行解密，以获得密钥，而密钥又被用来解密消息。
有两种实现方法：
非对称加密:生产者用用户公钥加密密钥(S)。使用者使用私钥解密加密的秘密。
KMS (如AWS KMS)：密钥由KMS加密，需要访问密钥的客户端必须要求KMS对其进行解密。
KMS方法的优点是密钥管理是集中的，可以通过从KMS中删除客户端并旋转密钥来撤销来自客户端的权限。
是否有充分的理由使用不对称密钥而不是KMS？
浏览 0提问于2015-08-24得票数 3
回答已采纳
我们使用Firebase数据库规则来保护我们的数据库。我们还希望通过加密敏感用户信息来增加额外的安全性。现在我们的加密方法是：
在用户将数据写入数据库之前使用公钥对用户数据客户端进行加密，在通过GET请求将数据传递给用户之前使用服务器上的私钥进行解密
我们的私钥是在服务器代码中硬编码的字符串。我们希望使用KMS的加密/解密方法保护私钥，并且只在代码中存储加密的私钥。
加密的私钥将存储在服务器代码中，并在运行时使用KMS进行解密，这样开发人员将无法访问私钥。
然而，我们不确定是否有更好的方法使用Cloud KMS。KMS可以同时用于客户端加密和服务器端解密吗？或者，使用KMS增强数据库加密的最佳
浏览 2提问于2018-11-01得票数 4
1回答
在工作中，我在向客户端发送消息时实现了基本的信封加密。我正在使用AWS KMS，并在那里有一个主密钥。我得到一个数据密钥，用AES-GCM加密消息，然后用加密的数据密钥、IV、tag等发送消息，然后客户端调用AWS KMS对数据密钥进行解密以解密消息。我已经在AWS文档中实现了这一点。在生成新密钥之前，我将数据密钥缓存一段时间以进行重用。
一位比我更擅长密码学的同事认为，由于发送带有信息的密钥，这是不安全的，这可能导致计算出主密钥吗？他建议使用具有更好密钥分发的ECDH，使用带有私钥/公钥的共享秘密来生成AES密钥。这方面的问题是，我需要在某个地方存储公钥/私钥对，这两种方法都需要访问一个秘密
浏览 0提问于2018-11-18得票数 4
1回答
我的应用程序需要服务器和客户端设备之间的安全消息传递。这些设备没有直接的互联网连接，因此不可能使用标准的HTTPS或MQTT连接。
我更喜欢的方法是使用不对称认证加密，例如libsodium的crypto_box API。这些设备将使用它们的私钥和服务器的公钥加密和验证消息。服务器将使用其私钥和设备的公钥进行同样的操作。
为了安全起见，我认为服务器私钥需要由KMS来管理。我正在使用Google Cloud平台作为后端，我看不到让GCP KMS解密和验证由using加密的消息的方法: GCP KMS似乎不支持using的密钥算法，也似乎不支持经过身份验证的加密。
我喜欢like，因为它在我选择的
浏览 16提问于2022-07-15得票数 0
回答已采纳
在我们的SaaS应用程序中，我们根据Oauth令牌存储来自诸如Trello、Pivotal、Intercom等应用的不同集成令牌，我们还想(在rest的默认数据库加密之上)使用最佳实践对称加密和解密。考虑到令牌的临界性(不是持卡人数据)，但仍然非常敏感的身份验证令牌，您会推荐以下哪一种方法？
使用加密作为服务机制，这将简单地使用单个API调用(例如Hashicorp，运输引擎)加密和解密每个有效负载，其中每个客户/空间都将拥有自己的主密钥。
使用信封加密，其中DEK将存储在主数据库中的数据旁边，KEK将存储在某些KMS中(例如Vault K/V模式)，其中每个客户/空间将拥有自己的主密钥，而每
浏览 0提问于2021-04-01得票数 0
回答已采纳
我已经创建了一个启用了Amazon S3的电子病历集群。
我还配置了
fs.s3.enableServerSideEncryption = true
fs.s3.serverSideEncryption.kms.keyId = key-id
在emrfs-site.xml中
我将我的数据写入s3，如下所示
aws s3 cp /home/hadoop/test.csv s3://my-bucket/enc/ --sse aws:kms /key-id- here-/
这将保存使用kms加密的数据，但我不想发送任何用于加密的参数，并且从当前电子病历集群发送的任何数据都应由encrypte
浏览 0提问于2017-01-20得票数 0
场景-
我创造了-
使用KMS键#1上传了一个文件在桶<code>H 211</code></code>检查对象详细信息，它显示了Server-side encryption: AWS-KMS和KMS key ID: ARN of KMS key #1Changed <code>d17<//code>，现在选择了KMS key #2The老对象仍然显示KMS key ID: ARN of KMS key #1。
问题-
能在1年前完成KMS键的旋转吗？是我旋转AWS KMS键的正确方法吗？如果不是，正确的方法是什么？，，键的旧对象发生
浏览 1提问于2019-11-27得票数 3
我正在做一个密码共享网站。我希望用户能够输入他们的凭据并与其他用户共享。我正在考虑使用KMS服务来存储主密钥(只有一个)，并有一个数据库来存储密钥-凭据对。用户的凭据将使用数据库中的密钥加密，存储在数据库中的密钥(每个凭据不同)将使用KMS主密钥进行加密。AES加密算法将用于两方面:加密用户的凭据和加密用于加密凭据的密钥。它是否足够安全，可以存储加密密钥以及凭据，还是有更好的方法？
浏览 0提问于2018-02-06得票数 1
我有一个打包的.json文件，它管理几个不同AMI版本的构建/供应。每个AMI之间的差异是通过将不同的base-config.json变量集传递给打包程序来配置的，这取决于正在更改的内容(例如，我有一个base_config-us-west-1.json和base_config-us-east-2.json，并选择一个，以填充vpc_id、subnet_id和security_group_id字段)。
现在，我需要构建一个将kms_key_id用于外部account_id的AMI，并将对新创建的快照的访问权限授予拥有该密钥的account_id。
如果.json只是为了这个新的AMI，我可以很
浏览 0提问于2017-11-14得票数 0
我们正在加密PII的数据库字段。对于密钥生成和存储，我们使用AWS KMS。我们使用AWS KMS生成的数据密钥，对于我们使用CMK的主密钥。现在，假设只有一个DB字段是我想加密的，那就是电子邮件。另外，为了简单起见，让我们考虑一下我们有两个环境测试/生产。
现在我已经用GCM模式创建了一个AES-256加密库(让我们不讨论这个问题)。
现在我有点怀疑
数据键/主键，它们在测试/生产中可以是相同的。如果没有，那么系统将如何工作。我是说每一个季度我们都会复制完整的prod数据库来测试。现在，如果我们没有相同的密钥，我们将无法解密它。
我们也将在单独的DB列中使用HMAC来进行阅读。对于这个HMA
浏览 0提问于2020-10-19得票数 0
回答已采纳
在GCP DLP上试用POC时，面临以下问题：
log:
Received the following error message from Cloud KMS when unwrapping KmsWrappedCryptoKey
"projects/<<PROJECT_ID>>/locations/global/keyRings/<<KMS_KEY_RING>>/cryptoKeys
/<<KMS_KEY_NAME>>": Decryption failed: the ciphertext is i
浏览 6提问于2020-10-27得票数 0
回答已采纳
我期望在我的一个服务上有非常高的流量，我想为一个新功能添加加密。我知道KMS在每次加密/解密调用时都会进行API调用，但是否可以使用KMS进行密钥管理，并将密钥缓存在内存中，以便在本地加密/解密，而无需额外的API调用？
浏览 29提问于2021-10-22得票数 0
回答已采纳
每天我都会看到一些未经授权的KMS解密操作的CloudTrail日志，我不知道是什么原因造成的。以下是日志的一个示例：
{
"eventVersion": "1.08",
"userIdentity": {
"type": "AssumedRole",
"principalId": "*********************:LambdaDescribeHandlerSession",
"arn": &
浏览 20提问于2021-11-28得票数 0
我将密钥材料导入Cloud并生成一个(AES-256)密钥，然后在本地保存密钥材料，并使用生成的密钥加密一些数据文件。
在此之后，如果我的Google帐户是拖欠或Cloud崩溃，并导致KMS密钥丢失(我知道这是非常不可能的)。我还能恢复密钥并解密加密文件吗？
具体来说，我的场景是，在我更新我的支付方法之后，我的KMS服务恢复了。我是否可以使用相同的密钥材料将其重新导入KMS，以重新生成一个新密钥，该密钥可以解密使用旧密钥加密的文件？
浏览 8提问于2019-10-10得票数 0
回答已采纳
3回答
我正在构建一个Node.js应用程序，该应用程序从我需要访问的另一个应用程序接收一个长期访问令牌。我不想直接将这些访问令牌存储在数据库中，因为任何访问这些令牌的人基本上都可以使用它做任何他们想做的事情。
我对Cloud和这类系统都很陌生，但我花了过去几个小时学习它。它似乎是解决我的问题的理想解决方案，但我不完全确定我应该遵循什么策略来存储这些访问令牌：
我是否应该将加密密钥存储在Cloud中，并将该加密密钥与NPM包(如 )一起使用，以便在我的数据库中存储访问令牌？
我应该直接将访问令牌存储在KMS中吗？我的假设是，我会有一个钥匙商店和钥匙轮流每14天。每当我收到访问令牌时，我只需对其
浏览 1提问于2018-02-14得票数 6
回答已采纳
我正在探索amazon管理的服务，它似乎是安全的存储主密钥和数据密钥。我能够使用AWS KMS API / CLI从加密的数据密钥中将数据密钥解密为纯文本。
但是我有一个问题，要访问用于解密数据密钥的amazon，我需要传递访问令牌和加密的数据密钥。
那么，我可以在哪里安全地存储amazon访问令牌和加密的数据密钥？
任何想法都很感激。
谢谢,
哈里
浏览 6提问于2020-01-31得票数 0
回答已采纳
1回答
需要为应用程序实现额外的安全级别。假设有一张有10,000‘个用户的桌子。敏感字段为user.first_name和user.last_name。我们需要在将数据存储到数据库之前对其进行加密，然后在应用程序级别上解密，以便在UI上显示。
据我所见，使用KMS的推荐方法是：
写部分
调用KMS服务获取数据密钥
使用数据密钥加密字段
在应用程序级别上，使用加密字段将用户记录持久化到数据库中。
读取部分
从数据库中检索带有加密字段的记录
使用数据密钥解密字段
显示UI上的数据
我有一套问题需要澄清：
为每个用户使用一个新的数据键是否有意义？
10,00
浏览 0提问于2019-09-13得票数 2
回答已采纳
1回答
我有一个lambda函数，它使用kms。
{
"Sid": "KMSDecryption",
"Effect": "Allow",
"Action": [
"kms:Encrypt",
"kms:Decrypt",
"kms:ReEncrypt*",
"kms:GenerateDataKey*",
"kms:DescribeKe
浏览 2提问于2021-11-22得票数 0
回答已采纳
1回答
在AWS密钥管理服务(KMS)的文档中，我发现了一个有趣的句子：
所有AWS KMS支持的AWS区域都支持非对称CMK和非对称数据密钥对，但中国(北京)和中国(宁夏)除外。
中国共有三个AWS地区:上述两个地区，加上香港的一个地区。
有人知道限制的原因吗？这是为了法律目的吗？
浏览 0提问于2020-03-02得票数 2
回答已采纳
3回答
我有一个跨区域复制未加密和加密快照的脚本。对于未加密的快照拷贝，脚本工作正常，但由于某些原因，加密的拷贝失败，并出现错误：-
An error occurred (InvalidParameterValue) when calling the CopyDBSnapshot operation: PreSignedUrl could not be authenticated.
下面是我用来拷贝加密快照的代码
aws rds copy-db-snapshot
--source-db-snapshot-identifier $source_identifier \
--target-db-snap
浏览 2提问于2017-12-25得票数 3
1回答
我正试图通过以下指南对上传到AWS S3的数据启用客户端加密：。我在KMS中创建了一个CMK，禁用了自动旋转，别名test。一切正常，我可以将加密的数据上传到s3，然后从s3中解密。我试图按照这里的指南执行手动旋转： (手动旋转键)，根据文档，我需要创建一个新的KMS键，并将别名更新为test。现在，我想获取并解密已经上载到s3但使用旧密钥加密的数据。我得到了这个(在应用程序中我使用的是别名而不是keyId )：
The key ID in the request does not identify a CMK that can perform this operation
这是有意义的，因为
浏览 16提问于2022-05-12得票数 6
回答已采纳
1回答
KMS旋转过程
、、、
我想使用KMS实现信封加密。
我会在no sql db中加密一些属性，这是我第一次这样做，为了我所读到的内容，我将需要沿数据保存加密的数据密钥。
我的问题是，在某个时候，我想旋转KMS用来加密数据密钥的CMK密钥，对于这种情况，我需要编写一个进程来用KMS将要使用的新的CMK重新加密我的数据密钥吗?我需要用一个新的加密数据密钥吗？
浏览 15提问于2022-07-28得票数 1
回答已采纳
2回答
KMS和S3桶
、、
我有一个有文件的桶
I通过桶策略授予了对test-user1 1(在IAM中有AdministratorAccess策略的用户)的完全访问权。
"Version": "2012-10-17",
"Id": "Policy1595762326470",
"Statement": [
{
"Sid": "Stmt1595762736524",
"Effect": "Allow&
浏览 7提问于2020-07-26得票数 1
如果我们有两个私有的s3桶，一个带有SSE-KMS名为：bucket-kms，另一个没有加密：bucket-no-kms。
除了需要额外的KMS权限的使用者之外，安全性还有什么好处？在我看来，这是在进行额外的理智检查，比如有人意外地将bucket-kms公之于众，或者您授予了对其他身份的访问权，这些错误也会通过需要访问KSM密钥而得到保护，而bucket-no-kms则会被公开。但这并不是真正的额外安全，只是更难犯错误。
就安全性的好处而言，我能想到的唯一场景是，如果一个人能够物理地访问您的s3桶正在使用的特定硬件，那么他们就可以读取您的普通数据，这将是使用SSE-..的一个很好的例子，但我再
浏览 5提问于2020-07-26得票数 0
回答已采纳
1回答
我有一个从S3存储桶加载到Snowflake表时加密数据的用例。使用SSE-S3启用S3存储桶。在推送到S3之前，S3中的文件还会使用KMS密钥进行加密(我喜欢将其称为双重加密)。我想了解Snowflake是如何解密这些数据文件的。具体地说，传输中的数据(在进行自动摄取时)也是加密的吗？ 其次，如果Snowflake中的外部阶段配置了相同的KMS密钥id encryption = (type = 'AWS_SSE_KMS' kms_key_id = 'xxxx-yyyy'，Snowflake是否会解密数据文件，并在查询加载文件的表时使其可读？ 提前感谢
浏览 61提问于2021-08-13得票数 0
我需要存储用户提供给我的非常敏感的秘密(用于身份验证到第三方API的username+password+certificate)。
我首先考虑的是AWS秘密管理器，它非常昂贵，IMHO主要用于基础设施机密(数据库密码、API密钥、.)而不是客户提供的秘密。现在，我决定使用AWS KMS (并使用信封加密将加密的秘密存储在数据库(AWS RDS)中)和Hashicorp Vault。
根据我所读到的，我得出的结论是，Vault KV主要用于基础设施机密，Vault Transit可能在某种程度上相当于AWS KMS (更好地用于客户提供的秘密)。
由于我正在构建一个非常小的应用程序，如果我决定
浏览 19提问于2020-04-18得票数 3
我正在设置一个到S3的Kinesis Firehose传递流，我注意到你可以设置一个自定义的KMS密钥来加密S3上的文件。
但是，如果S3存储桶已启用KMS加密，则无论如何都会对文件进行加密。当然，不同之处在于，将使用默认的亚马逊网络服务管理器S3 KMS密钥，而不是提供给Firehose的客户管理的自定义KMS密钥。
相对于依赖默认的S3 KMS密钥，通常使用自定义KMS密钥对S3上的Firehose数据进行加密的原因是什么？如果您也是S3存储桶的所有者并控制其设置，那么这样做有什么意义吗?或者，当您不能控制目标存储桶的设置时，启用加密也是主要用途吗？
或者，与S3提供的用于加密静态数据的K
浏览 19提问于2018-12-13得票数 4
回答已采纳
我目前正在为表中被认为是敏感的单个列在AWS DynamoDB上设置加密。根据我的研究，我认为最好的方法可能是使用AWS KMS。由此产生了一个关于这样做的基本工作原理的问题(可能是非常基本的)。
我想，我加密这些数据的真正目的是防止人们通过被攻破的AWS账户访问我的数据(也许AWS本身也被攻破了，但我认为这是次要的)。但是，如果我的AWS账户被攻破...攻击者是否有权访问我的KMS密钥(不是直接访问，而是能够使用API加密和解密数据？)
我敢肯定，这是一个非常基本的问题，但我觉得我的知识有这么大的漏洞，我不能继续前进。
浏览 33提问于2017-07-08得票数 2
回答已采纳
1回答
查看Amazon KMS (密钥管理系统)。
由于通过Amazon公开的方法只用于加密和解密(https://docs.aws.amazon.com/kms/latest/APIReference/Welcome.html)，所以感到困惑。但是，我想签署数据(特别是JWT)。
我的问题：
1)签名仅仅是对内容的哈希进行加密吗？
2)在JWT的情况下，如果我对JWT的内容进行散列，并将其加密并放入签名字段，它是否是正确的签名？
谢谢,
浏览 0提问于2018-06-27得票数 3
回答已采纳
1回答
我试图使用AWS KMS加密SDK加密一个大型的XML有效负载。我偶然看到这个，它声明可以加密的数据字节是有限制的。
您可以加密多达4千字节(4096字节)的任意数据，如RSA密钥、数据库密码或其他敏感信息。
KMS不支持4KB以上的数据加密吗？是否有解决办法来处理大于4KB的数据？
浏览 1提问于2018-09-12得票数 3
回答已采纳
使用我的本地KMS，我每月轮换密钥。我也可以使用Cloud KMS做到这一点吗？与我的本地使用相比，是否有更好的推荐频率？当我轮换密钥时，数据会重新加密吗？
浏览 18提问于2017-01-12得票数 2
1回答
我一直试图用KMS来存储敏感的个人数据。我们生成了一个CMK，并在https上使用API/Encrypt。我们的想法是使用KMS存储登录信息(电子邮件)，我们使用的是无密码身份验证(JWT)。如果某些功能需要，这些电子邮件数据可能会被解码，但这不是问题所在。
我知道，每次使用信封加密相同的输入会给我不同的结果，因此加密的密钥需要与加密的结果一起存储，但我想做一种方法--比较以启用安全登录。
我需要KMS使用相同的密钥(因此不是信封加密，对吗？)对于每个加密电话，我可以比较加密的结果。这是可以用KMS做的事情吗？是否需要手动生成密钥并将其安全地存储在CMK中以允许此操作，还是可以使用KMS生成的
浏览 0提问于2017-04-12得票数 1
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频活动推荐
腾讯云开发者
