AWS KMS 多区域

Question

使用 AWS KMS 加密开发工具包 - MultipleProviderFactory，可以将来自不同区域的多个 CMK 合并为单个主密钥提供程序，第一个 CMK 用于生成数据密钥，其他 CMK 仅用于加密数据密钥。这有助于使用本地 KMS 端点进行解密。

https://aws.amazon.com/blogs/security/how-to-use-the-new-aws-encryption-sdk-to-simplify-data-encryption-and-improve-application-availability/

如果第一个 CMK 的区域已关闭并且未生成数据密钥，因为第一个 CMK 是生成数据密钥的区域，那么会失败吗？有什么解决方案或解决方法吗？

Answer 1

基于 Greg 在另一个 AWS 论坛上的回答此回复来自本博客文章的作者 Greg：

https://aws.amazon.com/blogs/security/how-to-use-the-new-aws-encryption-sdk-to-simplify-data-encryption-and-improve-application-availability/

“这是正确的。如果第一个区域无法生成数据密钥，或者任何其他区域无法加密数据密钥，则加密将会失败。这是一个有意的设计决策，因为否则您最终可能会得到不是密文的密文。可以用所有预期的密钥解密。解密时，所需要的只是任何一个主密钥可用并且能够解密。

格雷格”