能否使用AWS KMS管理密钥并缓存到本地内存完成本地加解密？

可以，这是高并发加解密场景下的标准实现方案，基于AWS KMS的信封加密（Envelope Encryption）机制即可实现你需要的能力。

• 首次需要执行加解密操作时，仅需调用1次KMS的GenerateDataKey接口，获取两类返回值：明文数据密钥、被KMS根密钥加密后的密文数据密钥
• 将明文数据密钥缓存到服务本地内存中，密文数据密钥可和加密后的业务数据绑定存储，或单独持久化存储
• 后续所有业务数据的加解密操作，直接使用本地缓存的明文数据密钥在本地执行对称加解密（如AES-256-GCM等标准算法），全程不需要调用KMS接口，无任何网络请求开销

• 性能足够支撑极高访问流量：本地加解密操作仅消耗服务本身的计算资源，没有KMS API调用的网络延迟、限流风险
• 安全合规性不受影响：核心根密钥全程仅在KMS内部留存，不会对外暴露，你仍然可以复用KMS的原生能力完成密钥权限控制、轮换、操作审计等全生命周期管理
• 实现成本低：AWS Encryption SDK已经原生内置了信封加密、密钥缓存、本地加解密的完整实现，你不需要自研核心逻辑，仅需配置缓存过期策略即可直接使用

• 本地缓存的明文数据密钥需要设置合理的过期时间，不建议永久缓存，常规业务场景建议配置1~24小时的过期时长，密钥过期后重新调用KMS的Decrypt接口解密密文数据密钥，拿到新的明文密钥后重新缓存即可
• 禁止将KMS根密钥下载到本地存储或缓存，所有根密钥的操作都仅在KMS内部完成
• 多实例部署场景下，每个实例可以独立缓存自己的明文数据密钥，不需要跨实例同步缓存内容，所有实例都可以通过同一个密文数据密钥解密得到相同的明文密钥
• 本地加解密请使用经过安全验证的官方算法实现，不要自研加解密逻辑

内容的提问来源于stack exchange，提问作者irregular