AWS KMS和现场HSM

Question

任何人能为我定义数据加密和解密的进程流程吗?在通过IPSEC隧道连接到AWS的数据中心运行本地HSM。使用本地HSM进行这些操作。加密和解密对象、数据的流程是什么？数据显然没有发送到HSM，但是具体是什么呢？计划将CMK保留在当地的HSM中。

Answer 1

数据显然没有发送到HSM，但是具体是什么呢？

通过本地HSM甚至KSM直接加密所有数据是不太有效的。因此，KMS或本地HSM应该加密的是加密密钥。

在KMS或本地HSM中，您可以生成主服务/目的密钥。

您可以使用随机加密密钥加密数据，然后使用KMS / HSM (使用服务密钥)加密数据加密密钥。只需将主密钥id、加密数据密钥和IV存储在加密内容旁边即可。