开启密钥轮换

KMS提供了密钥轮换功能，您可以通过定期轮转来加强密钥使用的安全性，有效地提升业务数据的安全性。本文介绍KMS密钥轮转的原理和配置方法。

默认情况下，自定义密钥的自动密钥轮换处于禁用状态。当您启用（或重新启用）密钥轮换时，KMS会根据您设置的轮换周期自动轮换自定义密钥。开启密钥轮换后会产生一定费用，具体费用计算可参见开通密钥轮转如何收费？。

广泛重复的使用加密密钥，会对加密密钥的安全造成风险。为了确保加密密钥的安全性，建议您定期轮换密钥，更改原密钥的密钥材料。

定期轮换密钥有如下优点：

华为云服务提供了两种密钥轮换方法：

KMS会保留与该自定义密钥关联的所有版本的自定义密钥。这使得KMS可以解密使用该自定义密钥加密的任何密文。

表1 密钥轮换方式
密钥的来源或状态	支持的密钥轮换方式
默认密钥	不支持密钥轮换。
自定义密钥	支持自动轮换密钥或手动轮换密钥，根据密钥算法类型决定。对称密钥：支持自动轮换密钥和手动轮换密钥。非对称密钥：仅支持手动轮换密钥。
已禁用的主密钥	禁用主密钥后，KMS不会对它进行轮换。但是，密钥轮换状态不会发生改变，并且在主密钥处于禁用状态时不能对其进行更改。重新启用主密钥后，如果已禁用的自定义密钥已超过轮换周期，KMS会立即轮换。如果已禁用的自定义密钥少于轮换周期，KMS会恢复之前的密钥轮换计划。
计划删除的主密钥	对于计划删除的主密钥，KMS不会对它进行轮换。如果取消删除，将恢复之前的密钥轮换状态。如果计划删除的自定义密钥已超过轮换周期，KMS会立即轮换。如果计划删除的用户主密钥少于轮换周期，KMS会恢复之前的密钥轮换计划。

用户可在“轮换策略”页面查看轮换详情，例如：上次轮换时间、轮换次数。

如果自定义密钥开启密钥轮换以后，禁用了自定义密钥，KMS也不会轮换该自定义密钥。
当自定义密钥恢复到“启用”状态时，密钥轮换将立即重新激活。如果刚恢复“启用”状态的自定义密钥距离上次轮换的时间已超过轮换周期，KMS将在24小时内轮换该自定义密钥。
只有区域主密钥可以进行轮转，副本密钥不支持进行密钥轮转。
仅对称密钥支持开启密钥轮换。
密钥必须处于“启用”状态，且“密钥材料来源”为“密钥管理”，才支持开启密钥轮换，导入的密钥材料不支持自动轮转。
启用密钥轮换可能会生成额外的费用。费用详情查阅计费说明。

设置轮换周期（天），单击“确定”。如图3所示。参数说明如表2所示。

图3 开启密钥轮换

表2 密钥轮换参数说明
参数	说明
密钥轮换	密钥轮换开关，默认。：关闭。：开启。开启密钥轮换后，密钥在设置的轮换周期到达后开始轮换。说明：如果自定义密钥开启密钥轮换以后，禁用了自定义密钥，KMS也不会轮换该自定义密钥。当自定义密钥恢复到“启用”状态时，密钥轮换将立即重新激活。如果刚恢复“启用”状态的自定义密钥距离上次轮换的时间已超过轮换周期，KMS将在24小时内轮换该自定义密钥。
轮换周期（天）	轮换周期。取值范围为“30~365”的整数，默认“365”天。轮换周期需要根据自定义密钥的使用频率进行设置，如果密钥使用频率高，建议设置为短周期；反之，则设置为长周期。