使用AWS KMS生成HMAC-SHA256：能否无密钥轮转使用单密钥及相关资源

• 你提出的用AWS KMS生成明文对应HMAC-SHA256值的操作完全可行。AWS KMS原生支持托管对称HMAC密钥，通过GenerateMac接口即可基于KMS内部存储的密钥材料，对输入明文计算指定算法的HMAC值，支持的算法包含HMAC-SHA256、HMAC-SHA384、HMAC-SHA512三类，配套的VerifyMac接口可对生成的HMAC值做合法性校验。
• 可以在不做密钥轮转的前提下，用同一枚密钥为所有明文生成哈希结果。AWS KMS的自动密钥轮转是完全可配置的可选功能，新建HMAC密钥的轮转功能默认处于关闭状态。只要你不手动开启轮转配置、也不触发密钥的计划删除流程，这枚密钥的核心材料会长期保持固定，每次调用接口计算同一段明文得到的HMAC值完全一致，不存在默认轮转导致的密钥值变动问题。
  补充说明：就算后续你手动为这枚HMAC密钥开启了年度自动轮转，旧版本的密钥材料也不会被立即清除，历史生成的HMAC值依然可以正常验证，不会破坏你固定密钥算固定结果的一致性要求。

你可以查阅AWS KMS官方文档的以下模块了解细节，无需跳转外部第三方站点：

• 「HMAC密钥」专项介绍章节：明确HMAC密钥的适用边界、和传统加密类KMS密钥的差异、支持的算法范围
• GenerateMac、VerifyMacAPI接口参考章节：包含接口入参限制、明文最大支持大小（4KB）、调用所需的IAM权限策略要求
• 密钥生命周期管理章节：说明自动轮转的触发规则、密钥版本保留机制、密钥删除的保护逻辑

内容的提问来源于stack exchange，提问作者Nerd001