KMS 数据密钥对是否安全？

Question

因此，我正在构建一个用于 MTLS 身份验证的应用程序，并使用 AWS ACM PCA 生成 X509 证书，并将它们与 PKCS#12 格式的私钥捆绑在一起。

目前，我在 Java 中以编程方式生成从未存储的密钥对。

但由于我不是安全专家，我认为使用 AWS KMS 创建密钥对可能会更好。

所以，看起来我需要的是一个CMK，它可以生成存储在KMS中的data key pairs。 如果它们存储在 KMS 中并且我可以随时获取私钥，那么这比根本不存储它更安全吗？

还是 KMS 的目的仅仅是安全地存储密钥？

Answer 1

如果您使用 kms.generateDataKeyPair 将提供的加密私钥，那么它将很有用。这也是确保您的密钥安全生成（安全随机性等）的好方法。

需要注意的是，KMS 不会存储生成的密钥对。这个想法是您将存储明文公钥和加密私钥，并在需要时调用 kms.decrypt 将加密私钥转换为明文。