InfoQ
·
自带密钥（BYOK）：AWS IAM身份中心采用CMK以满足企业合规需求
内容提要
AWS最近宣布其IAM身份中心服务支持客户管理的KMS密钥（CMK）进行静态加密，增强了对身份数据的加密控制和审计能力，以满足合规要求。该功能在所有AWS商业区域、AWS GovCloud和AWS中国区域可用。
关键要点
-
AWS IAM身份中心服务支持客户管理的KMS密钥（CMK）进行静态加密。
-
组织可以使用自己的密钥加密身份中心的身份数据。
-
IAM身份中心是一个集中管理多个AWS账户和云应用程序的单点登录（SSO）访问的云服务。
-
新功能允许组织控制加密密钥的生命周期，包括创建、轮换和删除。
-
客户可以完全控制其加密密钥，确保只有授权主体可以访问加密数据。
-
通过AWS CloudTrail提供详细的密钥使用审计日志，增强审计能力。
-
支持合规要求，特别是对数据主权有要求的受监管行业。
-
AWS KMS密钥策略和IAM策略可配置细粒度访问控制。
-
CMK用于静态数据加密是企业合规或安全策略的标准要求。
-
其他云服务提供商如Microsoft Azure和Google Cloud也支持客户管理的密钥。
-
身份中心支持单区域和多区域密钥，但实例目前只能在单一区域部署。
-
该功能在所有AWS商业区域、AWS GovCloud和AWS中国区域可用。
-
用户需支付身份IAM中心的费用，以及标准AWS KMS的密钥存储和API使用费用。
延伸解读
企业合规的重要性
AWS IAM身份中心的新功能使企业能够使用自带密钥（CMK）进行身份数据的加密，这对于满足合规要求至关重要。特别是在受监管行业，企业需要确保数据主权和安全性，CMK的使用能够增强对加密密钥的控制，帮助企业更好地应对合规审计。
与其他云服务的比较
AWS的CMK支持与其他云服务提供商如Microsoft Azure和Google Cloud的类似功能相似。Azure通过Azure Key Vault和Google Cloud通过Cloud KMS提供客户管理的密钥，这表明在云计算领域，密钥管理已成为企业安全策略的标准组成部分。
审计能力的提升
通过AWS CloudTrail，企业可以获得详细的密钥使用审计日志，这不仅增强了审计能力，还为合规性提供了有力支持。企业在选择云服务时，应关注审计功能的完备性，以确保能够满足内部和外部的合规要求。
延伸问答
AWS IAM身份中心的新功能是什么？
AWS IAM身份中心现在支持客户管理的KMS密钥（CMK）进行静态加密，增强了对身份数据的加密控制。
使用CMK有什么好处？
使用CMK，组织可以完全控制加密密钥的生命周期，包括创建、轮换和删除，确保只有授权主体可以访问加密数据。
AWS IAM身份中心如何支持合规要求？
IAM身份中心通过提供详细的AWS CloudTrail审计日志和支持客户管理的密钥，增强了合规能力，特别是对数据主权有要求的行业。
AWS IAM身份中心的定价是怎样的？
用户需支付身份IAM中心的费用，以及标准AWS KMS的密钥存储和API使用费用。
AWS IAM身份中心支持单区域和多区域密钥吗？
是的，身份中心支持单区域和多区域密钥，但实例目前只能在单一区域部署。
其他云服务提供商如何支持客户管理的密钥？
其他云服务提供商如Microsoft Azure和Google Cloud也支持客户管理的密钥，分别通过Azure Key Vault和Cloud Key Management Service提供相关功能。
