AWS KMS / AWS服务如何保护传输中的纯文本数据密钥？

Question

AWS服务要求KMS解密加密的数据密钥，而KMS使用CMK解密并发送回纯文本数据密钥。在运输过程中如何保护此密钥？

让我们说S3，这是一项公共服务，它从KMS请求纯文本数据密钥。 S3是具有公共端点的公共服务。数据密钥如何受到保护？流量会通过互联网流吗？

Answer 1

KMS <-> S3加密/解密交互在AWS网络内进行。静态使用各种密钥提供者（客户管理的/服务器端）支持的AES-256加密对数据进行加密，并使用TLS v1.2进行传输。无论如何，如果将某个对象公开并可由任何人访问，则他们将能够访问它。您必须确保不公开存储桶或对象。

“ S3是具有公共端点的公共服务。如何保护数据密钥？” 这种“公共服务”仍然利用身份和访问管理来控制对对象的访问，不仅任何人都可以读取存储桶或其中的Blob。

Amit提交中发布的文档链接也将为您解释交互流程，这并不简单：https://docs.aws.amazon.com/encryption-sdk/latest/developer-guide/how-it-works.html