AWS KMS自动轮换密钥时，是否会自动重新加密SSM参数存储的SecureString值？

• 核心结论：开启AWS客户托管密钥的自动轮换后，无需手动重新加密SSM机密参数。AWS会自动处理底层密钥轮换逻辑，现有SecureString参数会自动适配新密钥版本完成解密/加密，不用额外操作。
• 原理细节：
  • 启用客户托管KMS密钥自动轮换后，AWS会定期生成新密钥版本，但旧版本会保留用于解密历史数据。
  • SSM访问SecureString时，会自动用当前活跃的密钥版本加密，解密时自动匹配对应版本，全程无需人工介入。
• 现有命令无需修改：
  你当前用的aws ssm put-parameter命令完全兼容自动轮换的密钥，后续更新参数时，SSM会自动用最新密钥版本加密，不需要调整--key-id参数（该参数指向密钥ID/ARN，而非特定版本）。

  aws ssm put-parameter \
              --region $region \
              --name "$name" \
              --value "$value" \
              --type "SecureString" \
              --key-id "$keyId" \
              --overwrite;
  

• 注意事项：
  • 要先确保你的KMS密钥已开启自动轮换：在KMS控制台找到对应密钥，进入「密钥轮换」选项卡开启即可。
  • 密钥轮换不会影响现有参数的可用性，所有历史参数仍能正常解密。
  • 只有手动轮换密钥时才需要重新加密参数，自动轮换场景下完全不需要。

内容的提问来源于stack exchange，提问作者Bijou Trouvaille