Amazon ec2 AWS KMS:CMK与数据键澄清问题

我是AWS的新手，我希望有人能为我澄清一些关于加密的事情

我正在阅读关于Amazon EBS加密的AWS文档，在文档中，在“EBS加密如何工作”一节下，我注意到其中一个步骤是“Amazon EBS向AWS KMS发送一个GeneratedTakeyWithOutplainText请求，指定用于加密卷的CMK”

CMK不是应该加密然后用于加密卷的数据密钥吗？这是因为CMK无法加密大小超过4KB的数据

我的理解是，CMK（位于KMS中）将加密没有CMK大小限制的数据密钥，然后数据密钥将加密EC2实例的卷，并位于同一加密卷上，因为数据密钥本身也是加密的

我没有正确理解这一步吗

链接到文档：

---

提前谢谢

是的，您认为数据密钥将用于加密卷是正确的[并且不会直接使用CMK本身]。我相信你引用的声明：

Amazon EBS向AWS KMS发送GeneratedTakeyWithOutplainText请求，指定为卷加密选择的CMK

可以解释为：EBS调用GeneratedTakeyWithOutplainText API，要从KMS获取数据密钥，EBS需要指定CMK。KeyId是API所需的参数。我相信，下一步（如下所述）中确实会说明这一点，并消除混淆

AWS KMS生成一个新的数据密钥，在您选择用于卷加密的CMK下对其进行加密，并将加密的数据密钥发送到Amazon EBS，与卷元数据一起存储

如果您想知道为什么调用GeneratedTakeyWithOutplaIntext而不是GeneratedTakey，这非常有趣