對稱加密概述
更新時間 2025-08-27 17:22:53
最近更新時間: 2025-08-27 17:22:53
分享文章
本文為您介紹密鑰管理服務支持的對稱密鑰加密能力，包括對稱密鑰類型、功能特性以及應用場景。
對稱加密是最常用的數據加密保護方式。KMS提供了簡單易用的接口，方便您在云上輕松實現數據加解密功能。
密鑰管理服務支持主流的對稱密鑰算法并且提供足夠的安全強度，保證數據加密的安全性。
KMS支持的對稱密鑰類型
KMS支持的對稱密鑰算法類型如下：
| 算法 | 密鑰長度 | 密鑰規格 | 保護級別 |
|---|---|---|---|
| AES | 256比特 | AES_256 | Software HSM |
| SM4 | 128比特 | Ctyun_SM4 | HSM |
對稱密鑰功能特性
KMS生成的對稱主密鑰支持多個密鑰版本，同時支持用戶主密鑰基于密鑰版本進行自動輪轉，您可以自定義密鑰輪轉的策略。為了滿足特殊的安全合規要求，KMS支持您使用自帶密鑰（BYOK）進行數據的加密保護。
| 功能 | 功能描述 |
|---|---|
| 自動輪轉 | 支持設置自動輪轉策略，生成新的密鑰版本，并自動設為主版本（primaryKeyVersion），KMS會使用主版本密鑰實現加解密。 密鑰輪轉產生新的主版本后，KMS不會刪除或禁用非主版本，他們需要被用作解密操作。 |
| 導入密鑰材料（BYOK） | 默認情況下，當創建CMK時，會由KMS生成密鑰材料。也可以選擇創建密鑰材料來源為外部的密鑰，將自帶密鑰材料導入到CMK中。 導入的密鑰材料可以進行刪除，也可以設置過期時間，在密鑰材料過期后進行刪除（CMK不會被刪除）。導入的密鑰材料被刪除后，可以再次導入相同的密鑰材料使得CMK再次可用，因此您需要自行保存密鑰材料的副本。 每個CMK只能擁有一個導入密鑰材料。當您將一個密鑰材料導入CMK時，CMK將與密鑰材料綁定，即便密鑰材料已經過期或者被刪除，也不能導入其他密鑰材料。如果您需要輪換使用外部密鑰材料的CMK，只能創建一個新的CMK然后導入新的密鑰材料。 |
對稱密鑰應用場景
KMS生成的對稱密鑰支持如下數據加密方式，滿足多樣化的數據保護場景。
| 場景 | 場景描述 |
|---|---|
| 在線加密 | 適用于保護小型敏感數據（小于6KB）的加解密，如密鑰、證書、配置文件等。 用戶的數據會通過安全信道傳遞到KMS服務端，服務端通過指定CMK完成加密和解密后，操作結果通過安全信道返回給用戶。 |
| 信封加密 | 適用于海量數據的高性能加解密，如規模較大的對性能敏感的本地文件。 通過KMS生成數據密鑰DEK，并返回DEK明文及經指定CMK加密的DEK密文。用戶使用數據密鑰DEK明文在本地進行高效的加解密處理，然后將內存中的DEK明文銷毀，將DEK密文及密文文件落盤存儲。 |
