amazon-web-services - AWS : Is it possible to retrieve the content of key that stored in KMS?

Question

如果答案是否定的，那么某天将数据从aws云迁移到另一个云时，如何处理数据加密？

例如经过SSE-S3加密的S3对象

Answer 1

这不可能。来自 docs :

By default, AWS KMS creates the key material for a CMK. You cannot extract, export, view, or manage this key material.

当您 import your own keys 时异常(exception)进入 KMS。由于您导入了 key Material ，如果其他提供商支持导入 key ，您可以使用相同的材​​料。

当您将对象复制到其他存储提供商时，AWS 将透明地解密它们。新的提供商必须使用他们自己的 key 来加密您的数据。

基本上，迁移涉及解密您的数据、将数据传输到新的提供商以及使用新 key 加密。

从 s3 传输加密数据的唯一方法是在 S3 中使用 SSE-C，它代表 customer-provided encryption .在这种情况下，您对文件的加密和解密负全部责任。 AWS 和新提供商仅存储加密文件:

Using server-side encryption with customer-provided encryption keys (SSE-C) allows you to set your own encryption keys.