AWS Key Management Service

AWS Key Management Service es un servicio administrado que facilita la creación y el control de las claves de cifrado que se utilizan para cifrar los datos. Además, utiliza módulos de seguridad de hardware (HSM) para proteger la seguridad de sus claves. AWS KMS se integra con otros servicios de AWS para ayudarlo a proteger los datos que almacene con estos servicios. AWS KMS también se integra con AWS CloudTrail para proporcionarle registros de todo su uso clave en función de los requisitos normativos y de cumplimiento.

Puede crear e importar claves y asignarlas a otros usuarios, así como definir políticas de uso y auditar el uso de forma sencilla desde la AWS Management Console o mediante el SDK o la CLI de AWS.

Las claves maestras de AWS KMS, tanto si las ha importado como si KMS las ha creado por usted, se almacenan cifradas en un almacén de larga duración para garantizar su recuperación cuando sea necesario. Puede optar por que KMS asigne automáticamente las CMK creadas en KMS a otros usuarios una vez al año sin necesidad de tener que volver a cifrar los datos que ya se han cifrado con la clave maestra. No necesita realizar un seguimiento de las versiones anteriores de las CMK porque KMS las mantiene disponibles para descifrar los datos cifrados anteriormente.

Para cualquier CMK de AWS KMS, puede controlar quién tiene acceso a esas claves y con qué servicios se pueden usar mediante una serie de controles de acceso, incluidas las concesiones y las condiciones de políticas clave dentro de las políticas clave o políticas de IAM. También puede importar claves de su infraestructura de administración de claves y utilizarlas en KMS.

Por ejemplo, la siguiente política utiliza la condición kms:ViaService para permitir que una CMK administrada por el cliente se use para las acciones especificadas solo cuando la solicitud provenga de Amazon EC2 o Amazon RDS en una región específica (us-west-2) en nombre de un usuario específico (ExampleUser).

        {
         “Version”: “2012-10-17”,
         “Statement”: [
             {
                “Effect”: “Allow”,
                “Principal”: {
                    “AWS”: “arn:aws:iam::111122223333:user/ExampleUser”
                 }
                “Action”: [
                     “kms:Encrypt*”,
                     “kms:Decrypt”,
                     ”kms:ReEncrypt*”,
                     “kms:GenerateDataKey*”,
                     “kms:CreateGrant”,
                     “kms:ListGrants”,
                     “kms:DescribeKey”
                 ],
                 “Resource”: “*”,
                 “Condition”: {
                    “ForAnyValue:StringEquals”: {
                        “kms:ViaService”: [
                              “ec2.us-west-2.amazonaws.com”,
                              “rds.us-west-2.amazonaws.com”
                        ]
                     } 
               }      
}