Почему AWS KMS для шифрования / дешифрования не требуется ключ данных?

Question

Я читаю AWS зашифровать документ Cli из https://docs.aws.amazon.com/cli/latest/reference/kms/encrypt.html и https://docs.aws.amazon.com/cli/latest/reference/kms/decrypt.html. Я обнаружил, что могу шифровать / дешифровать без создания ключа данных. Когда я читаю https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html, он говорит, что мне нужно использовать KMS CMK для генерации ключа данных, который используется для шифрования моих данных. Поэтому я не понимаю, нужен ли мне вообще ключ данных?

Answer 1

Вы, вероятно, используете CMK по умолчанию, который был создан другой службой AWS, использующей шифрование KMS.

Конечно, для всех операций шифрования и дешифрования требуется ключ. Если вы явно не создали его для своего приложения, то вы используете текущий ключ по умолчанию.

Убедитесь, что мастер-ключи KMS (CMK) используются вашими AWS сервисами и ресурсами вместо ключей KMS по умолчанию, чтобы иметь полный контроль над процессом шифрования / дешифрования данных и соответствовать требованиям соответствия , Главный ключ KMS по умолчанию используется службой AWS, такой как RDS, EBS, Lambda, Elasti c Транскодер, Redshift, SES, SQS, CloudWatch, EFS, S3 или рабочие пространства, когда не определен другой ключ для шифрования ресурса за эту услугу. Ключ по умолчанию нельзя изменить, чтобы обеспечить его доступность, надежность и безопасность. С другой стороны, главный ключ клиента KMS (CMK) предоставляет возможность создавать, вращать, отключать, включать и проверять ключ шифрования, используемый для защиты данных.

См. https://www.cloudconformity.com/knowledge-base/aws/KMS/default-key-usage.html

Answer 2

CMK предназначен для шифрования / дешифрования ключей данных. Следовательно, существует ограничение в 4 КБ на объем открытого текста, который можно зашифровать при прямом вызове функции шифрования. Вы можете легко проверить это, передав сообщение размером более 4 КБ.

Эти операции предназначены для шифрования и дешифрования ключей данных. Они используют AWS главный ключ клиента KMS (CMK) в операциях шифрования и не могут принимать более 4 КБ (4096 байт) данных. Хотя вы можете использовать их для шифрования небольших объемов данных, таких как пароль или ключ RSA, они не предназначены для шифрования данных приложения.