使用 BYOK 解决方案使用 GCP_KMS 管理密钥轮换

Question

我们在本地生成了 RSA 密钥对，并计划将它们同步到 GCP-KMS。 每年一次的密钥轮换政策将在本地完成，新的 key_versions 将同步到 KMS。 我关心的是 KMS API。

问题：API 总是要求“key_version”作为加密/解密文件的参数。

期望的行为：在解密过程中，KMS 是否不可能看到证书指纹并返回适当的密钥版本来解密给定的加密文件？ 例如，当提供给 KMS 时，用 RSA_public 封装的 DEK 会被正确版本的 RSA_Private（或 KEK）解密。

如果是，是否有详细说明此用例的文档？

Answer 1

根据文档，您可以使用对称签名（未指定密钥版本）实现，但不能使用 asymetricDecrypt（API 的URL 路径中需要密钥版本）