亚马逊AWS官方博客
·
AWS IAM Identity Center 现在支持使用客户自主管理型 KMS 密钥进行静态加密
内容提要
AWS IAM 身份中心现支持使用客户自主管理的 KMS 密钥加密身份数据，满足合规需求。用户可完全控制密钥生命周期，并配置精细的访问控制。该功能适用于所有 AWS 区域，确保数据安全与灵活性。
关键要点
-
AWS IAM 身份中心现支持使用客户自主管理的 KMS 密钥加密身份数据，满足合规需求。
-
用户可完全控制密钥生命周期，包括创建、轮换和删除。
-
该功能适用于所有 AWS 区域，确保数据安全与灵活性。
-
Identity Center 支持单区域和多区域密钥，建议优先选择多区域密钥以提高灵活性。
-
创建 KMS 密钥时，必须配置为支持加密和解密操作，并定义访问权限。
-
需要为 IAM Identity Center 和 AWS 托管应用程序配置相应的 IAM 策略以允许使用 KMS 密钥。
-
在配置 IAM Identity Center 时，可以随时切换或恢复到 AWS 自有密钥。
-
确保配置正确的 KMS 密钥权限，以避免中断 Identity Center 的运行。
-
AWS KMS 的标准收费规则适用于密钥存储和 API 使用，IAM Identity Center 不额外收费。
-
该功能已在所有 AWS 商业区域、AWS GovCloud（美国）区域和 AWS 中国区域推出。
延伸解读
客户自主管理的优势
使用客户自主管理的 KMS 密钥，组织可以完全控制密钥的生命周期，包括创建、轮换和删除。这对于需要满足合规要求的行业尤为重要，能够确保数据安全性和灵活性。
多区域密钥的灵活性
虽然当前 IAM Identity Center 实例部署在单个区域，但建议优先选择多区域 KMS 密钥。这种配置可以在不同区域间提供一致的密钥材料，增强未来的适应能力和灵活性。
注意权限配置
在配置 KMS 密钥时，确保正确设置权限至关重要。不当的权限配置可能导致 IAM Identity Center 的运行中断，影响对 AWS 托管应用程序的访问。
兼容性检查
在启用客户自主管理型 KMS 密钥之前，务必检查 AWS 托管应用程序的兼容性。如果某些应用程序与 CMK 不兼容，可能会导致其无法正常运行，影响业务操作。
延伸问答
AWS IAM 身份中心如何支持客户自主管理的 KMS 密钥？
AWS IAM 身份中心现在支持使用客户自主管理的 KMS 密钥加密身份数据，满足合规需求，用户可以完全控制密钥的生命周期。
使用客户自主管理的 KMS 密钥有什么好处？
使用客户自主管理的 KMS 密钥，用户可以完全控制密钥的创建、轮换和删除，确保符合审计与合规要求。
如何配置 IAM Identity Center 使用 KMS 密钥？
在 IAM Identity Center 中配置 KMS 密钥时，需创建对称的客户自主管理型密钥，并配置相应的权限和策略以授权访问。
多区域 KMS 密钥的优势是什么？
多区域 KMS 密钥提供更高的灵活性，允许密钥在各区域间复制，同时维护独立的密钥基础设施，适应未来需求。
使用客户自主管理的 KMS 密钥是否会影响 AWS 托管应用程序的使用？
部分 AWS 托管应用程序可能无法与配置了客户自主管理型 KMS 密钥的 IAM Identity Center 配合使用，需查看兼容应用程序列表。
AWS KMS 的收费规则是什么？
AWS KMS 的标准收费规则适用于密钥存储和 API 使用，IAM Identity Center 本身不额外收费。
