多区域CloudTrail追踪是否必须使用多区域KMS密钥进行加密？

核心结论 #

针对覆盖us-east-1、us-west-2、eu-west-2、eu-central-1的多区域CloudTrail追踪，推荐使用多区域KMS密钥（MRK），且无需手动为每个区域创建副本密钥——创建MRK时指定目标区域，AWS会自动在这些区域生成关联的副本密钥。

关键细节说明 #

1. 为什么必须用MRK？ #

多区域CloudTrail会在每个覆盖区域生成日志片段，加密后上传到统一的S3存储桶。如果用单区域KMS密钥：

• 仅密钥所在区域的CloudTrail能正常加密日志，其他区域的CloudTrail因跨区域KMS调用限制（默认禁止）会直接失败，即便配置密钥策略也可能出现延迟或权限异常。
• MRK的副本密钥与主密钥共享相同的密钥ID和加密材料，每个区域的CloudTrail可调用本地的MRK副本完成加密，完全规避跨区域API调用的问题，同时保证全区域日志加密一致性。

2. 副本密钥的创建方式 #

在Terraform中通过aws_kms_multi_region_key资源的replica_regions参数指定CloudTrail覆盖的区域即可，AWS会自动在这些区域生成副本密钥，无需手动逐个创建。示例代码如下：

resource "aws_kms_multi_region_key" "cloudtrail_mrk" {
  description = "Multi-region KMS key for cross-region CloudTrail encryption"
  # 主密钥策略（us-east-1区域）
  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect    = "Allow"
        Principal = { Service = "cloudtrail.amazonaws.com" }
        Action    = ["kms:GenerateDataKey*", "kms:DescribeKey"]
        Resource  = "*"
      }
    ]
  })

  # 为每个额外区域配置副本密钥及策略
  replica_regions {
    region = "us-west-2"
    policy = jsonencode({
      Version = "2012-10-17"
      Statement = [
        {
          Effect    = "Allow"
          Principal = { Service = "cloudtrail.amazonaws.com" }
          Action    = ["kms:GenerateDataKey*", "kms:DescribeKey"]
          Resource  = "*"
        }
      ]
    })
  }

  replica_regions {
    region = "eu-west-2"
    policy = jsonencode({
      Version = "2012-10-17"
      Statement = [
        {
          Effect    = "Allow"
          Principal = { Service = "cloudtrail.amazonaws.com" }
          Action    = ["kms:GenerateDataKey*", "kms:DescribeKey"]
          Resource  = "*"
        }
      ]
    })
  }

  replica_regions {
    region = "eu-central-1"
    policy = jsonencode({
      Version = "2012-10-17"
      Statement = [
        {
          Effect    = "Allow"
          Principal = { Service = "cloudtrail.amazonaws.com" }
          Action    = ["kms:GenerateDataKey*", "kms:DescribeKey"]
          Resource  = "*"
        }
      ]
    })
  }
}

# 将MRK关联到多区域CloudTrail
resource "aws_cloudtrail" "cross_region_trail" {
  name                          = "cross-region-trail"
  s3_bucket_name                = aws_s3_bucket.cloudtrail_logs.bucket
  include_global_service_events = true
  is_multi_region_trail         = true
  kms_key_id                    = aws_kms_multi_region_key.cloudtrail_mrk.arn
}

3. MRK密钥策略的注意事项 #

你提到的MRK主密钥与副本密钥不共享策略是正确的，因此必须为每个区域的副本密钥单独配置权限：

• 每个副本密钥的策略都需要允许cloudtrail.amazonaws.com服务主体执行kms:GenerateDataKey*和kms:DescribeKey动作，确保对应区域的CloudTrail能正常调用本地副本密钥。
• 无需针对区域单独限定服务主体，AWS会自动处理区域级的权限映射。

不推荐的替代方案 #

如果强行使用单区域KMS密钥，你需要：

• 在密钥策略中明确允许所有CloudTrail覆盖区域的CloudTrail服务主体跨区域调用密钥
• 承担跨区域KMS调用的延迟、潜在权限冲突风险
• 这种方式极易出现日志加密失败的情况，尤其是在多区域日志量较大时，因此不建议采用

内容的提问来源于stack exchange，提问作者Code Goose