AWS 云安全性

美国联邦信息处理标准（FIPS）140-3

概览

什么是 FIPS 140？

美国联邦信息处理标准（FIPS）第 140 号出版物是美国和加拿大的一项政府标准，其中规定了对保护敏感信息的加密模块的安全要求。有关 FIPS 140 及其当前的第三版（即 140-3）的更多信息，请访问 NIST 计算机安全资源中心网站上的加密模块验证计划。

AWS FIPS 验证方法

为 AWS 服务提供支持的加密模块会针对多种模块类型进行 FIPS 验证，以下列出了相关 FIPS 模块类型及其对应的模块名称：

软件库：AWS-LC（动态）、AWS-LC（静态）、AWS OpenSSL FIPS（基于 OpenSSL FIPS 提供商）
操作系统库：Amazon Linux Kernel Cryptographic API、Amazon Linux OpenSSL FIPS 提供商、Amazon Linux GnuTLS、Amazon Linux NSS、Amazon Linux Libgcrypt
硬件安全模块（HSM）：AWS 密钥管理服务 HSM、AWS CloudHSM（Marvell LS2 HSM 系列）
光纤网络：AWS 加密模块和 AWS 可扩展网络加密
Nitro 静态存储：AWS Nitro 卡安全性引擎 SSMAE、AWS Nitro 以太网存储加密（ESE）引擎
Nitro VPC 网络：AWS Nitro 网络

由于 FIPS 验证流程具有周期性特点，即验证 -> 更新 -> 再次验证，上述模块名称可以在各个阶段出现在以下某个或多个位置：FIPS 加密模块验证计划（CMVP）搜索页面、正在处理的模块列表以及正在测试的实施列表中。AWS 遵循更新流方法来维护 FIPS 模块，这与 FedRAMP 关于加密模块选择和使用的策略一致。按照这种方法，我们将最新的更新和补丁应用于在 FIPS 批准模式下运行的经过 FIPS 验证的加密模块，同时通过正式的验证流程提交重大更新。

除用于传输中加密的 FIPS 端点外，所有加密解决方案都是全球性的（仅限美国商业、GovCloud 和加拿大区域）。

传输中数据加密

FIPS 端点

FIPS 端点使用经 FIPS 验证的加密库提供传输中加密。他们确保 AWS 服务与客户应用程序之间的通信使用经过 CMVP 认证并且在 FIPS 批准模式下运行的加密模块。本页面列出的所有 FIPS 端点均使用最新版本 AWS-LC（动态）中的加密技术，该技术会针对每个新发布的主要版本进行定期的 FIPS 验证。有关 AWS-LC 的更多信息，请查阅这篇 AWS 安全性博客文章。

AWS Site-to-Site 光学连接

在我们的数据中心和区域互连的 AWS 全球网络中，所有的数据流动在离开我们的安全设施之前，都经过物理层自动加密。这些支持 AES256 加密功能的 MACsec 加密边缘设备将来自 AWS 加密模块和 AWS 可扩展网络加密模块验证的加密技术用于进行中的模块列表以及来自其他供应商的原始设备制造商（OEM）FIPS 模块。

AWS Client VPN 和 Site-to-Site VPN

AWS Client VPN 和 Site-to-Site VPN 使用来自 AWS-LC 最新版本（静态）以及 Amazon Linux 2023 内核的加密技术，这两者均经过了定期的 FIPS 验证。AWS Site-to-Site VPN 端点将 AWS-LC 用于 IKEv2 并将 Amazon Linux 2023 内核用于 IPsec 操作，而 AWS Client VPN 将 AWS-LC 用于服务器端加密。

经 FIPS 验证的 HSM（密钥保护）

经 FIPS 验证的硬件安全模块（HSM），例如 AWS Key Management Service（KMS）或 AWS CloudHSM，使用经过 FIPS 140-3 第 3 级“加密模块验证计划”（CMVP）独立验证的物理型 HSM。这些服务会在一个防篡改边界内保护密钥，确保明文形式的密钥无法被导出。

AWS Key Management Service（AWS KMS）

AWS KMS 使用经过 FIPS 140-3 第 3 级验证或正在验证的 HSM。向 KMS 提供功能时，这些模块仅以符合 FIPS 标准的模式运行。在 KMS 中，HSM 的每个生产版本发布都会经过 FIPS 140 验证。

验证级别：FIPS 140-3 第 3 级
更多信息：AWS Key Management Service 功能 → 安全

AWS CloudHSM

^{⚠️ 重要迁移通知
2026 年 1 月 4 日，hsm1.medium 的证书迁移至 CMVP 历史清单。客户应迁移到 hsm2m.medium 实例类型。}

AWS CloudHSM 提供专用的单租户 HSM，这些模块已通过 CMVP 认证，并在 FIPS 批准的模式运行。

验证级别：FIPS 140-3 第 3 级
更多信息：AWS CloudHSM FIPS 验证

静态数据加密

我们的基础存储服务是 AWS 中存储静态数据的最大区域，不仅被客户使用，也被其他 AWS 服务所利用。它们利用进行中的 FIPS 模块页面或已完成的 AWS FIPS 验证列表中经过 FIPS 测试的最新版本的库：

Amazon S3 - 所有操作模式（SSE-S3、SSE-KMS、SSE-C、DSSE-KMS、S3 存储桶密钥）均使用 AWS-LC（静态）进行服务器端加密。
Amazon DynamoDB - 所有操作模式均使用 AWS-LC（静态）进行服务器端加密。
Amazon Elastic Block Store（EBS）- Nitro 实例使用 Nitro 卡安全引擎（SSMAE）对 EBS 卷进行加密，但支持 NVMR Direct 的实例（例如 C8gb、M8gb、R8gb 实例）则使用 Nitro 以太网存储加密（ESE）引擎。
Amazon EC2 Nitro – Nitro 实例使用 AWS Nitro 卡安全引擎 SSMAE 进行服务器端加密。

操作系统

Amazon Linux FIPS 模式

Amazon Linux（AL）为在操作系统层面需要符合合规要求的加密操作的客户提供了 FIPS 模式支持，包括内核级和用户空间加密操作。更多信息：

按服务列出的 FIPS 端点

最后更新日期：2026 年 5 月 8 日

其他资源

AWS 与客户合作，提供他们在使用 AWS 美国东部/西部、AWS GovCloud（美国）或 AWS 加拿大（中部/西部）区域时管理合规性所需的信息。

有关 AWS 合规计划和认证的问题，请联系您的 AWS 账户团队或访问 AWS 合规计划页面。有关特定服务的更多详细信息，可通过 AWS 管理控制台在“构件”部分中获取。

常见问题

在哪里查找全部 AWS 端点？

有关所有 AWS 端点的列表，请参阅《AWS 一般参考》中的区域和端点。有关向联合用户提供对 AWS 管理控制台的单点登录访问的信息，请参阅向联合用户提供对 AWS 管理控制台的直接访问。

在哪里查找 AWS GovCloud（美国）端点（非 FIPS）？

有关 AWS 端点的列表，请参阅 AWS 一般参考中的“查看服务端点”。