為什么需要輪換密鑰

廣泛重復的使用加密密鑰，會對加密密鑰的安全造成風險。為了確保加密密鑰的安全性，建議您定期輪換密鑰，更改原密鑰的密鑰材料。

定期輪換密鑰有如下優點：

• 減少每個密鑰加密的數據量：一個密鑰的安全性與被它加密的數據量呈反比。數據量通常是指同一個密鑰加密的數據總字節數或總消息數。
• 增強應對安全事件的能力：在系統安全設計的初期，設計密鑰輪換功能并將其作為日常運維手段。這樣可以使系統在特定安全事件發生時具備實際執行能力。
• 加強對數據的隔離能力：輪換密鑰使得輪換前后產生的密文數據形成隔離效果。特定密鑰的安全事件可以被快速定義影響范圍，從而采取進一步措施。

密鑰輪換的兩種方法

云服務提供了兩種密鑰輪換方法：

手動輪換密鑰

使用一個新的密鑰替換使用中的密鑰。即創建一個新的密鑰B，并使用密鑰B替代當前使用的密鑰A，當密鑰B使用的加密材料與密鑰A使用的加密材料不相同時，使用密鑰B與更改密鑰A的密鑰材料具有相同效果。

示例：

以OBS服務為例：需要手動輪換密鑰時，用戶先在KMS界面創建一個新的自定義密鑰，后在OBS界面將原自定義密鑰替換為新的自定義密鑰。

手動輪換密鑰工作原理

自動輪換密鑰

KMS會根據設置的輪換周期（默認365天）自動輪換密鑰，系統自動生成一個新的密鑰B，并替換當前使用的密鑰A。自動輪換密鑰只會更改主密鑰的密鑰材料，即加密操作中所使用的加密材料。不管密鑰材料有沒有變更或變更了多少次，該主密鑰仍是相同的邏輯資源。主密鑰的屬性（密鑰ID、別名、描述、權限）不會發生變化。

自動密鑰輪換具有以下特點：

• 為現有的自定義密鑰開啟密鑰輪換后，KMS自動為該自定義密鑰生成新的密鑰材料。
• 自動密鑰輪換對主密鑰所保護的數據無效。它不會輪換主密鑰生成的數據密鑰，也不會對任何受主密鑰保護的數據重新加密，并且它無法減輕數據密鑰泄露的影響。

自動密鑰輪換工作原理

                    
說明
                    
KMS會保留與該自定義密鑰關聯的所有版本的自定義密鑰。這使得KMS可以解密使用該自定義密鑰加密的任何密文。
加密數據時，KMS會自動使用當前最新版本的自定義密鑰來執行加密操作。
解密數據時，KMS會自動使用加密時所使用的自定義密鑰來執行解密操作。
                    
                  
                  

密鑰支持的輪換方式

密鑰輪換方式如下表：

                    
說明
                    
用戶可在“輪換策略”頁面查看輪換詳情，例如：上次輪換時間、輪換次數。