Nitro Enclaves 与密钥管理服务（KMS）可集成，从而将密钥管理任务从应用程序卸载至 AWS 托管服务。KMS 为更广泛的 AWS 生态系统提供统一的公共 API，用于创建和管理由硬件安全模块（HSM）支持的密钥。KMS 支持三种主要密钥类型：客户托管密钥（CMK）、数据密钥（DK）和数据密钥对。KMS 与 Nitro Enclaves 的集成引入了新的威胁，包括针对 enclave-KMS 通信通道的被动攻击和主动攻击。为防止被动攻击，必须使用加密上下文、正确授权对 KMS 的请求，并使用正确的 CMK。加密上下文由 enclave 决定，并非完全由攻击者控制，这有助于防止诸如数据交换攻击等攻击。此外，使用包含证明（attestation）的 Recipient 参数，可允许 KMS 验证 PCR 并防止未经授权的访问。利用密钥承诺属性对于防止生成单个密文并在不同密钥下正确解密此类攻击也至关重要。总体而言，KMS 与 Nitro Enclaves 的集成需要仔细评估安全风险，并实施措施以防止被动和主动攻击。遵循最佳实践，例如使用加密上下文并正确授权对 KMS 的请求，开发人员可帮助确保 KMS 与 Nitro Enclaves 的安全集成。enclave-KMS 通信通道的安全性对于防止攻击并确保敏感数据的机密性和完整性至关重要。