KMS密钥轮换

Question

【以下的问题经过翻译处理】 当启用KMS密钥轮换以1年为周期轮换（例如，密钥是在13个月前创建的），CMK会在什么时候轮换？是否是在启用后一年，还是在密钥创建后一年？

Answer

【以下的回答经过翻译处理】 启用自动密钥轮换后一年后会生成新的加密材料，用于管理客户的CMK。AWS KMS会永久保存CMK的旧加密材料，以便用于解密已加密的数据。AWS KMS不会删除任何轮换的密钥材料，除非您删除了CMK。

密钥轮换仅更改CMK的后端密钥，该密钥是用于加密操作的加密材料。无论其后端密钥更改了多少次，CMK仍是同一个逻辑资源。如下图所示，CMK的属性不会改变。

有关更多细节，请参阅以下文档页面：

相关内容