是否有可能使用AWS KMS进行密钥管理，但将密钥保存在内存中以在本地加密/解密(无需进一步调用api)?

Question

我预计我的一个服务的流量非常高，我想为一个新功能添加加密。我知道KMS每次加密/解密调用都会调用API，但是是否有可能使用KMS进行密钥管理并将密钥缓存到内存中以在本地加密/解密而不需要额外的API调用?

Answer 1

KMS密钥永远不会离开其硬件。就是这样。

默认情况下，KMS用于信封加密。有一个数据加密密钥，KMS用于加密数据密钥。

您可以调用KMS根据其加密值生成一个随机数据密钥，然后使用数据密钥对数据本身进行加密。

如果您为同一系统加密(数据为同一目标加密)，您可以重用相同的数据密钥并使用唯一的IV来加密多条消息。

编辑:我建议使用AWS加密SDK来帮助开发人员正确地做到这一点