3. SSE-KMS 加密概述：服务端加密原理与云服务集成
好，咱们进入第三章。这一章，我会带你彻底搞懂 SSE-KMS 的核心原理。
说实话，很多人在用 AWS 加密服务时，把 KMS 当成一个“黑盒”。只管调 API，不管里面怎么转的。出了问题，比如 S3 上传失败、EBS 无法挂载，就一脸懵。
我个人习惯是，先把原理摸透，再看集成方式。这样排错的时候，心里有底。
3.1 什么是 SSE-KMS？它的核心价值是什么？
先给个定义吧。
SSE-KMS 全称是 Server-Side Encryption with AWS Key Management Service。说白了，就是你把数据扔给云服务（比如 S3、EBS、RDS），云服务在落盘之前，先拿 KMS 生成的密钥把数据加密，再存到硬盘上。
读取的时候，云服务自动帮你解密，返回明文。
核心价值就三点：
- 加密对应用透明：你的应用代码几乎不用管加密逻辑，存储服务自己就搞定了。
- 密钥由 KMS 统一管控：密钥的创建、轮换、权限控制，全在 KMS 里。这比你自己在代码里管理密钥安全得多。
- 支持审计：谁什么时候用了哪把密钥，CloudTrail 全记着。
3.2 服务端加密原理：数据密钥与信封加密
这里有个关键点，很多文档讲得云里雾里——数据密钥。
KMS 本身不直接加密你的数据，因为数据可能很大（几 GB 甚至几百 GB）。KMS 哪扛得住这么重的活儿？
实际流程是这样的：
- 请求主密钥：存储服务（比如 S3）调用 KMS 的 GenerateDataKey API，传入你指定的 KMS 主密钥 ID。
- 生成数据密钥：KMS 返回两个东西：
- CiphertextBlob：加密后的数据密钥，可以公开存。
- Plaintext：明文数据密钥，在内存里用完就丢。
- 加密数据：存储服务用明文的数据密钥，在内存中加密你的数据。
- 落盘：加密后的数据，和加密后的数据密钥（CiphertextBlob）一起存到硬盘上。
- 清理：明文数据密钥从内存里抹掉。
读取时刚好反过来：存储服务把 CiphertextBlob 再发给 KMS，KMS 解密后返回明文数据密钥，在内存里解密数据。
这就是 信封加密（Envelope Encryption）。主密钥只用来加密数据密钥，数据密钥才用来加密真正的数据。性能和安全都兼顾了。
3.3 KMS 与 S3 的集成方式
S3 是 SSE-KMS 用得最多的场景。集成方式很灵活：
| 配置方式 | 密钥来源 | 适用场景 |
|---|---|---|
| S3 默认加密 | 指定一个默认 KMS Key | 全桶统一加密，新对象自动继承 |
| PutObject 时指定 | 请求头 x-amz-server-side-encryption: aws:kms | 不同对象用不同 Key，粒度更细 |
| 使用 S3 Bucket Key | 桶级别数据密钥缓存 | 降低 KMS API 调用成本，提升性能 |
我个人特别推荐大家用 S3 Bucket Key。为什么呢？
我记得有一次帮客户优化成本，发现他们家每天 S3 PUT 操作有几百万次，每次都要调 KMS 的 GenerateDataKey，KMS 费用哗啦啦地涨。后来开了 S3 Bucket Key，把 KMS 请求量降了 99%。
原理其实不复杂：S3 在桶级别缓存一个数据密钥，桶内多个对象复用同一个密钥加密，直到密钥过期或桶配置变化。
kms:GenerateDataKey 权限，上传会报 AccessDenied。我遇到过有人排查了半天，最后发现是角色策略漏了。
3.4 KMS 与 EBS 的集成方式
EBS 的加密逻辑和 S3 不太一样，但思想一致。
- EC2 启动时关联：创建 EBS 卷时指定 KMS Key，或者用账户的默认 EBS 加密 Key。
- 自动加密：如果你开了“账户级 EBS 加密”，新创建的 EBS 卷会自动用 KMS Key 加密，你很省心。
- 加密快照：加密卷的快照也是加密的。复制快照时，可以换成另一把 KMS Key。
这里有个坑，我得提醒你。
EBS 加密用的是 卷级别的数据密钥，不是文件级别的。所以，整个卷是一把密钥加密的。这意味着，如果你要和别人共享一个加密快照，必须确保对方有对应 KMS Key 的解密权限。
3.5 KMS 与 RDS 的集成方式
RDS 的加密集成更细一点。它和 S3、EBS 最大的区别是：RDS 加密的是整个实例的存储、备份、只读副本和快照。
| 特性 | 说明 |
|---|---|
| 加密范围 | 实例存储、自动备份、手动快照、只读副本 |
| 密钥模式 | 创建实例时指定 KMS Key，后续不可更改 |
| 跨区域加密 | 需要先用源区域的 KMS Key 加密快照，再复制到目标区域，重新加密 |
这里有个硬性限制：
RDS 实例一旦创建，KMS Key 就无法更换。如果你需要换密钥，只有两个办法：
- 用当前实例的加密快照，恢复到新实例，恢复时指定新 Key。
- 做数据迁移，比如用 DMS。
嗯，所以生产环境里，选 KMS Key 的时候，一定要想清楚。我通常建议用一个专门的、带自动轮换的 Key，避免后续密钥变更的麻烦。
3.6 一张图看懂 SSE-KMS 核心流程
下面这张图，我把 S3、EBS、RDS 三种集成方式的核心流程抽象了一下。你一看就能明白它们的共性——都走信封加密，但细节有差异。
好，这一章的内容就是这些。记住上面这张图，后面讲轮换策略的时候，你会回来感谢我的。