AWS KMS收费 AWS KMS工作原理介绍

AWS KMS目前支持永久免费使用服务，商家每月可以免费传输20000次请求。借助AWS KMS，商家可以实现完全托管的密钥服务，并且对于超出免费配置的请求，实现按需付费，提供了更加灵活的收费方式，而且它可以实现亚马逊云科技范围内产品服务的的完全集成，对于已经借助亚马逊云服务器、亚马逊VPS进行网站搭建的用户来说，是一项免费且安全便捷的数据加密服务。

优惠码：专属优惠链接（云服务免费体验，12个月免费使用，100余种云产品和服务器）

一、AWS KMS收费

AWS KMS全称为“AWS Key Management Service”，可帮助用户轻松创建、管理、存储密钥，实现应用程序间的加密工作。此外AWS KMS业余其他服务实现集成，这使得用户能够更轻松地加密Amazon EC2、AWS VPS等计算产品服务中存储的数据，并控制对用于解密此数据的密钥的访问权限。

用户可以在所有区域免费开始使用 AWS KMS。AWS 服务为用户创建的 AWS 托管的 AWS KMS 密钥可以免费存储在账户中，还有每月提供至该服务的免费请求数量的免费使用套餐。用户通过点击访问AWS云官网，在顶部菜单栏中找到“定价”按钮点击，之后进入AWS免费套餐页面。

在免费套餐搜索框中输入“AWS Key Management Service”，即可了解AWS KMS免费服务的有关情况。

二、AWS KMS工作原理介绍

1、加密基元

AWS KMS 使用可配置的加密算法，以使系统能够快速从一种已批准的算法或模式迁移到另一种算法或模式。初始原定设置加密算法集是从联邦信息处理标准（经 FIPS 批准）算法中选择的，用于确保其安全属性和性能。

2、AWS KMS key 层次结构

密钥层次结构从顶级逻辑密钥（AWS KMS key）开始。KMS 密钥表示顶级密钥材料的容器，在 AWS 服务命名空间中使用 Amazon Resource Name (ARN) 进行唯一定义。ARN 包含唯一生成的密钥标识符，即密钥 ID。KMS 密钥根据用户通过 AWS KMS 发起的请求创建。收到后AWS KMS 会请求创建初始 HSM 备用密钥 (HBK)，并将其放入 KMS 密钥容器中。HBK 在域中的 HSM 上生成，并且设计为永远不会以明文形式从 HSM 导出。相反地HBK 在 HSM 管理的域密钥下以加密形式导出，这些导出的 HBK 称为导出的密钥令牌 (EKT)。

EKT 将导出到高持久性、低延迟的存储中。例如假设收到逻辑 KMS 密钥的 ARN，这表示密钥层次结构或加密上下文的顶部。可以在账户中创建多个 KMS 密钥，并设置 KMS 密钥的策略，如同任何其他 AWS 命名资源一样。

在特定 KMS 密钥的层次结构中，可以将 HBK 视为 KMS 密钥的一个版本。当想要通过 AWS KMS 轮换 KMS 密钥时，将创建新的 HBK 并将其与 KMS 密钥关联，作为 KMS 密钥的活动 HBK。旧的 HBK 将被保留，并可用于解密和验证以前受保护的数据，但只有活动的加密密钥才能用于保护新信息。