AWS Secrets Manager：机密旋转后如何解密数据？

Question

此问题与AWS Secrets Manager的轮换有关。创建秘密时，您可以选择旋转频率，但是我不知道旋转的工作方式。

想象一下以下情况。

1. 您在aws secret管理器中创建一个秘密A1，并指定轮换频率为30天。

2. 您使用A1加密数据。

3. 30天后，A1已被旋转为A2。

4. 然后，您程序检索AWS Secret Manager，并获得值A2。如何解密用A1加密的数据？

Answer 1

Secrets Manager轮换主要用于API密钥或密码。

您的加密值存储在Secrets Manager机密中，但是加密密钥本身存储在KMS中。

发生轮换时，这些值将替换为相同的KMS客户主密钥，以对新值进行加密。

如果您想存储加密密钥，则可以使用AWS KMS或AWS CloudHSM（如果您的组织有特定的法规要求或想要投资专门的HSM）。

Answer 2

您应该使用KMS而不是Secrets Manager来存储加密密钥。您可以在KMS中旋转加密密钥，同时保持旧密钥可用。

Secrets Manager适用于密码之类的事情，其中​​轮换涉及将帐户更新为具有新密码，并且不再需要旧密码。