📚 课程目录第3章导入密钥流程总览

导入密钥流程总览：密钥材料生成、封装、导入、激活

BYOK 听起来挺高大上的，对吧？其实说白了，就是把你自己生成的密钥，安全地塞进 KMS 里面。整个流程拆开来，就四个步骤：生成、封装、导入、激活。我把这四步串起来，画了个流程图，方便你理解。

第一步：密钥材料生成 — 自己动手，丰衣足食

这一步发生在你自己的环境里。你得生成一个对称密钥，作为后续的主要加密材料。我个人习惯用 AES-256，也就是 32 字节的随机数。

提示：别用密码或者固定字符串去派生密钥。一定要用密码学安全的随机数生成器。我在项目里见过有人直接写死一个密钥字符串，这其实和没加密差不多。

# 用 OpenSSL 生成 32 字节的随机密钥，输出为 HEX 格式
openssl rand -hex 32

生成之后，这个密钥 必须妥善保管。你想想看，一旦泄漏，整个加密体系就崩塌了。我在金融项目里，客户要求把密钥材料直接放在离线的 HSM 里，连网络都不接。

第二步：封装（Wrap） — 给密钥穿层铠甲

封装，说白了就是用 KMS 提供的公钥，把你的密钥材料给加密起来。为什么要这么做？因为公网传输不能裸奔，加密后才安全。

KMS 支持多种封装算法，我用的比较多的是 RSAES_OAEP_SHA_256。这时候你需要从 KMS 拿到一个公钥，这个公钥属于 KMS 里的一个「没有密钥材料的密钥」。

注意：封装参数必须和 KMS 要求的完全一致。不能自己想当然用 PKCS1v15，KMS 不支持！我早期踩过这个坑，对接时接口返回错误，查了大半天才发现是算法不匹配。

# 使用 KMS 公钥封装本地密钥
openssl pkeyutl -encrypt \
  -pubin -inkey kms-public-key.pem \
  -in plaintext-key-material.bin \
  -out encrypted-key-material.bin \
  -pkeyopt rsa_padding_mode:oaep \
  -pkeyopt rsa_oaep_md:sha256

封装完成后，你会得到一个 加密后的密钥材料。这个文件就可以安全地上传到 KMS 了。

第三步：导入（Import） — 把钥匙递进去

这时候调用 KMS 的 ImportKeyMaterial 接口，把封装好的密文传进去。别担心，API 封装得很好。

我建议你用 AWS CLI 或者 SDK 处理，手撸 HTTP 请求容易出错。

# 将封装后的密钥材料导入 KMS
aws kms import-key-material \
  --key-id 1234abcd-12ab-34cd-56ef-1234567890ab \
  --encrypted-key-material fileb://encrypted-key-material.bin \
  --import- fileb://import-.bin \
  --expiration-model KEY_MATERIAL_EXPIRES \
  --valid-to 2025-12-31T23:59:59Z

  关键参数说明：
  --key-id：事先在 KMS 创建的空密钥 ID（没有密钥材料的那个）
--encrypted-key-material：第二步生成的密文文件
--import-：创建空密钥时同步下载的 
--expiration-model：密钥过期策略，很重要！

导入成功后，密钥进入 PendingImport 状态。这个状态下还不能用，得激活。

第四步：激活 — 开锁，生效

激活其实就是把密钥状态从 PendingImport 改成 Enabled。方法很简单：

调用 EnableKey 接口
或者用 CLI：

aws kms enable-key --key-id 1234abcd-12ab-34cd-56ef-1234567890ab

激活之后，你的 BYOK 密钥就正式上线了。可以用于加密、解密、签名等操作。

小技巧：我习惯在导入时设置 --expiration-model KEY_MATERIAL_DOES_NOT_EXPIRE，省得到期后还得手动重新导入。除非你有强制轮换需求，否则这样最省心。

嗯，整个过程就是这样。从生成到激活，每个环节都环环相扣。只要按照这个流程走下来，BYOK 其实不复杂。我自己也是在第一个生产项目里反复试错，才摸清楚这些细节的。熟练之后，你会发现这套流程很稳固，也很灵活。