AWS Key Management Service

管理 AWS 上資料加密金鑰的服務。

建立與管理加密金鑰的服務。可用於 S3、EBS、RDS、DynamoDB 等的靜態加密。

• S3 物件的加密
• EBS 磁碟區加密
• DynamoDB 與 RDS 的靜態加密

• 用於靜態加密的金鑰管理服務
• 提供 AWS 受管金鑰與客戶受管金鑰
• 存取控制透過金鑰政策與 IAM 進行

• 跨帳號使用時金鑰政策非常重要
• 理解金鑰輪替
• 設計與加密對象服務的整合

AWS Key Management Service(KMS)是用於建立、管理、使用資料加密金鑰的託管服務。在 KMS 建立的 KMS 金鑰(舊稱 CMK / 客戶主金鑰)大致分為 AWS 管理的 AWS 管理金鑰、由使用者建立與管理的客戶管理金鑰、AWS 擁有的金鑰 3 類。它與 AWS 提供的眾多服務(S3、EBS、RDS、DynamoDB、Secrets Manager 等)整合,可作為靜態加密(encryption at rest)的金鑰使用。 針對 KMS 金鑰的存取控制透過「金鑰政策」與「IAM 政策」的組合來執行。金鑰政策是為每個 KMS 金鑰設定的 JSON,定義誰可管理該金鑰、誰可用於加密 / 解密。當跨帳戶共用 KMS 金鑰時,除了使用方帳戶的 IAM 政策之外,還需要在金鑰政策端明確允許,這在考試中經常出現。客戶管理金鑰可設定自動金鑰輪換(年度等)。 在考試方面,會以「管理用於靜態加密的金鑰的服務是哪個」、「跨帳戶共用加密資料時的金鑰管理應如何設計」等形式出題。AWS 管理金鑰無費用且易於開始使用,但無法自訂金鑰政策,因此當需要組織級的細緻權限控制時,會選擇客戶管理金鑰。客戶管理金鑰會產生每月金鑰保管費與依 API 請求數計算的依用量計費。當刪除 KMS 金鑰時,以該金鑰加密的資料將無法解密,因此刪除操作設有最短 7 天的等待期間。

• 什麼是 AWS Key Management Service (AWS 官方文件)
• AWS Key Management Service (AWS 官方)

最後更新日: 2026-06-01