AWS 秘密管理器：轮换秘密后如何解密数据？

Question

这个问题是关于 AWS secrets manager 轮换的。 创建秘密时，您可以选择轮换频率，但我不知道轮换是如何工作的。

想象一个像下面这样的场景。

1. 您在 aws secret manager 中创建一个 secret A1 ，并指定轮换频率为 30 天。

2. 您使用A1加密数据。

3. 30 天后， A1已轮换为A2 。

4. 然后，您编写程序检索 AWS 秘密管理器并获得A2的值。 你如何解密用A1加密的数据？

Answer 1

Secrets Manager 轮换主要用于 API 密钥或密码。

您的加密值存储在 Secrets Manager 密钥中，但加密密钥本身存储在 KMS 中。

当发生轮换时，这些值将被替换为相同的 KMS 客户主密钥，将用于加密新值。

如果您想要存储加密密钥，您可以使用AWS KMS或AWS CloudHSM （如果您的组织有特定的监管要求或想要投资专用 HSM）。

Answer 2

您应该使用 KMS 来存储加密密钥，而不是 Secrets Manager。 您可以在 KMS 中轮换加密密钥，同时保持旧密钥可用。

Secrets Manager 用于密码之类的事情，其中轮换涉及更新帐户以使用新密码，并且不再需要旧密码。