AWS 如何管理 RDS 的自动 KMS 密钥轮换

Question

在 AWS 中。当您设置 RDS 数据库时，您可以选择 KMS 密钥进行加密。 该密钥可以设置为每年自动轮换（例如 AWS 托管密钥的情况）。

手动旋转

如果您手动执行此操作，则创建快照并使用新的 KMS 密钥还原它 (https://aws.amazon.com/blogs/database/secure-data-in-amazon-rds-using-aws-kms-encryption/)

自动旋转

问题：AWS 如何管理 RDS 的自动 KMS 密钥轮换？

• 它不能在没有计划停机时间的情况下从快照重新创建
• 它不能只是忽略它，因为旋转密钥不再应用于加密，而只能用于解密

Answer 1

根据 AWS https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/Overview.Encryption.Keys.html

Amazon RDS 自动与 AWS Key Management Service (AWS KMS) 集成以进行密钥管理。

AWS 托管密钥是您账户中的 KMS 密钥，由与 AWS KMS 集成的 AWS 服务代表您创建、管理和使用。默认情况下，RDS AWS 托管密钥 (aws/rds) 用于加密。您无法管理、轮换或删除 RDS AWS 托管密钥。有关 AWS 托管密钥的更多信息，请参阅 AWS Key Management Service Developer Guide 中的 AWS 托管密钥。