开启密钥轮换
KMS提供了密钥轮换功能，您可以通过定期轮转来加强密钥使用的安全性，有效地提升业务数据的安全性。本文介绍KMS密钥轮转的原理和配置方法。
默认情况下，自定义密钥的自动密钥轮换处于禁用状态。当您启用（或重新启用）密钥轮换时，KMS会根据您设置的轮换周期自动轮换自定义密钥。开启密钥轮换后会产生一定费用，具体费用计算可参见开通密钥轮转如何收费？。
密钥轮换的两种方法
华为云服务提供了两种密钥轮换方法：
- 手动轮换密钥
方式一：创建一个新的密钥B，使用密钥B替换当前正在使用的密钥A。
方式二：对密钥A的密钥材料进行更改，继续使用密钥A。
示例：
以OBS服务为例：需要手动轮换密钥时，用户先在KMS界面创建一个新的自定义密钥，后在OBS界面将原自定义密钥替换为新的自定义密钥。
图1 手动轮换密钥工作原理
- 自动轮换密钥
KMS会根据设置的轮换周期（默认365天）自动轮换密钥，系统自动生成一个新的密钥B，并替换当前使用的密钥A。自动轮换密钥只会更改主密钥的密钥材料，即加密操作中所使用的加密材料。不管密钥材料有没有变更或变更了多少次，该主密钥仍是相同的逻辑资源。主密钥的属性（密钥ID、别名、描述、权限）不会发生变化。
自动密钥轮换具有以下特点：
- 为现有的自定义密钥开启密钥轮换后，KMS自动为该自定义密钥生成新的密钥材料。
- 自动密钥轮换对主密钥所保护的数据无效。它不会轮换主密钥生成的数据密钥，也不会对任何受主密钥保护的数据重新加密，并且它无法减轻数据密钥泄露的影响。
图2 自动密钥轮换工作原理
KMS会保留与该自定义密钥关联的所有版本的自定义密钥。这使得KMS可以解密使用该自定义密钥加密的任何密文。- 加密数据时，KMS会自动使用当前最新版本的自定义密钥来执行加密操作。
- 解密数据时，KMS会自动使用加密时所使用的自定义密钥来执行解密操作。
两种方式的优缺点比较如下所示：
表1 优缺点比较 特性
手动轮换密钥
自动轮换密钥
灵活性
高，可以根据具体需求选择轮换时机。
较低，按预定策略自动轮换。
可控性
强，管理员完全控制轮换过程。
低，依赖系统自动化。
操作性
操作过程较为繁琐。
操作简便。
安全性
手动操作容易出现人为错误，可能导致密钥管理不当，增加安全风险。
高，定期自动轮换密钥可以减少密钥被长期使用带来的安全风险，提高系统的安全性。
总之，自动轮换密钥适合需要高安全性和低管理负担的场景，特别是在大规模和复杂环境中。手动轮换密钥适合需要高度灵活性和控制的场景，特别是在特定时间和特定条件下需要进行密钥轮换的情况下。选择哪种方式取决于具体的安全需求、管理能力和合规性要求。在实际应用中，可以结合使用这两种方式，以达到最佳的安全性和管理效果。
密钥支持的轮换方式
| 密钥的来源或状态 | 支持的密钥轮换方式 |
|---|---|
| 默认密钥 | 不支持密钥轮换。 |
| 自定义密钥 | 支持自动轮换密钥或手动轮换密钥，根据密钥算法类型决定。
|
| 外部密钥 | 支持手动轮换密钥，根据密钥算法类型决定。 |
| 已禁用的主密钥 | 禁用主密钥后，KMS不会对它进行轮换。但是，密钥轮换状态不会发生改变，并且在主密钥处于禁用状态时不能对其进行更改。重新启用主密钥后，如果已禁用的自定义密钥已超过轮换周期，KMS会立即轮换。如果已禁用的自定义密钥少于轮换周期，KMS会恢复之前的密钥轮换计划。 |
| 计划删除的主密钥 | 对于计划删除的主密钥，KMS不会对它进行轮换。如果取消删除，将恢复之前的密钥轮换状态。如果计划删除的自定义密钥已超过轮换周期，KMS会立即轮换。如果计划删除的用户主密钥少于轮换周期，KMS会恢复之前的密钥轮换计划。 |
用户可在“轮换策略”页面查看轮换详情，例如：上次轮换时间、轮换次数。
约束条件
- 如果自定义密钥开启密钥轮换以后，禁用了自定义密钥，KMS也不会轮换该自定义密钥。
当自定义密钥恢复到“启用”状态时，密钥轮换将立即重新激活。如果刚恢复“启用”状态的自定义密钥距离上次轮换的时间已超过轮换周期，KMS将在24小时内轮换该自定义密钥。
- 只有区域主密钥可以进行轮转，副本密钥不支持进行密钥轮转。
- 仅对称密钥支持开启密钥轮换。
- 密钥必须处于“启用”状态才支持开启密钥轮换
- 启用自定义密钥轮换可能会生成额外的费用。费用详情查阅计费说明。
- 一个密钥材料轮转支持最大100次轮转
开启密钥轮换
通过KMS创建的密钥，参照自定义密钥开启密钥轮换执行；导入的外部密钥材料，参照外部密钥轮转密钥材料执行。
“状态”为“启用”，“密钥材料来源”为“密钥管理”的自定义密钥，且密钥算法为对称密钥，按以下方法开启密钥轮换。
密钥轮转后，密码安全中心会对每个新增密钥材料进行收费。请合理规划您的轮转周期。针对不同的安全考虑，推荐您配置：90天、180天、270天、365天。
- 登录DEW管理控制台。
- 单击管理控制台左上角
，选择区域或项目。
“状态”为“启用”，“密钥材料来源”为“外部”的外部密钥，且密钥算法为对称密钥，按以下方法开启立即轮转。
- 登录DEW管理控制台。
- 单击管理控制台左上角，选择区域或项目。
- 导入新的密钥材料。
- 在“状态”为“启用”的外部密钥所在行的“操作”列，单击。
- 在“获取包装密钥和导入令牌”配置项，根据表 密钥包装算法说明，选择密钥包装算法。 图5 获取包装密钥和导入令牌
表4 密钥包装算法说明 密钥包装算法
说明
设置
RSAES_OAEP_SHA_256
具有“SHA-256”哈希函数的OAEP的RSA加密算法。
请您根据自己的HSM功能选择加密算法。
如果您的HSM支持“RSAES_OAEP_SHA_256”加密算法，推荐使用“RSAES_OAEP_SHA_256”加密密钥材料。
根据实际情况选择以下两种导入密钥材料的方式：
- 方式一：使用API接口获取到包装密钥和导入令牌的场景，选择“已有密钥材料”，单击“下一步”后，在“导入密钥材料”配置项，填写“密钥材料”内容。密钥材料的获取，参考步骤二：下载包装密钥和导入令牌和步骤三：使用包装密钥加密密钥材料。 图6 导入密钥材料
- 方式二：选择“下载密钥材料”，密钥材料将自动下载到本地。
引导程序已自动帮您传递导入令牌，您仅需使用下载的包装密钥，从您的密钥管理设备中导出密钥材料。中途退出引导程序，导入令牌将自动失效。
单击“下一步”后，在“导入密钥材料”配置项，单击“添加文件”，导入本地密钥材料。
图7 导入密钥材料
- 方式一：使用API接口获取到包装密钥和导入令牌的场景，选择“已有密钥材料”，单击“下一步”后，在“导入密钥材料”配置项，填写“密钥材料”内容。密钥材料的获取，参考步骤二：下载包装密钥和导入令牌和步骤三：使用包装密钥加密密钥材料。
- 单击“下一步”，进入“密钥导入令牌”页面。根据表5设置参数。 图8 导入密钥令牌
- 单击“确定”，完成密钥材料导入。
- 开启密钥轮转。
- 在“状态”为“启用”的外部密钥所在行的“操作”列，单击。
- 在弹框中单击“确定”。
关闭自定义密钥轮换
外部密钥仅支持手动轮转，不涉及关闭。
- 单击目标自定义密钥的名称，进入密钥详细信息页面。
- 单击“轮换策略”页签，进入“轮换策略”页面。
- 单击
，关闭密钥轮换。 - 在弹出的确认是否关闭密钥轮换提示框中，单击“确定”，完成关闭密钥轮换操作。
查看轮转日志
对称密钥可查看所有密钥材料的详细信息。
仅对称密钥支持显示密钥材料的详细信息。
- 单击目标密钥的名称，进入密钥详细信息页面。
- 单击“轮换策略”页签，进入“轮换策略”页面。
- 查看密钥材料的详细信息，如图9所示。
相关操作
通过API开启密钥轮换，请参见开启密钥轮换。
