AWS是否支持软件密钥（非HSM）以实现低成本密钥存储？

AWS完全支持软件密钥（非HSM密钥）作为低成本密钥存储方案，对应AWS KMS中的软件保护级别密钥，具体细节如下：

• 成本适配场景：AWS KMS的软件密钥（保护级别标记为SOFTWARE）是默认密钥类型，月度成本远低于HSM级密钥，和你提到的Google Cloud软件密钥与HSM密钥的成本差类似。这种低成本特性非常适合crypto shredding这类需要为大量用户/主体分配独立密钥的场景，能避免HSM密钥带来的高额成本压力。
• 安全增强实践：你提出的在软件密钥之上添加key wrapping是可行的安全优化方案。可以将AWS KMS软件密钥作为根密钥，用来包装（加密）业务层的用户密钥——既保留了软件密钥的低成本优势，又借助AWS KMS的托管能力提升安全性：根密钥由AWS KMS在安全基础设施中托管，无需自行运维，还能通过KMS的权限管控、审计日志等功能强化密钥全生命周期管理。
• 产品定位对比：和Google Cloud的软件备份密钥逻辑一致，AWS KMS软件密钥不依赖专用HSM，但仍在AWS安全硬件环境中托管，能满足多数加密场景的安全要求，同时大幅压缩密钥存储成本。

内容的提问来源于stack exchange，提问作者curiousdev