Ce que sont et font les clés KMS

Le chiffrement n’est aussi solide que la protection accordée aux clés. Stocker des clés dans du code ou des fichiers est risqué et difficile à auditer.

AWS KMS (Key Management Service) crée, stocke et contrôle les clés de chiffrement dans des modules de sécurité matériels, et associe chaque utilisation à des autorisations IAM et à des journaux d’audit.

Une clé KMS (anciennement appelée CMK, clé principale client) est une représentation logique d’une clé cryptographique au sein de KMS.

• Le matériau de la clé ne quitte jamais KMS sans être chiffré.
• Vous demandez à KMS de chiffrer ou de déchiffrer ; la clé brute ne vous est pas exposée.

C’est le fondement du chiffrement AWS.

Les clés gérées par le client sont des clés KMS que vous créez et contrôlez entièrement.

• Vous définissez la stratégie de clé, activez ou désactivez la clé et planifiez sa suppression.
• Vous contrôlez la rotation et les octrois.

Elles coûtent une petite somme mensuelle, à laquelle s’ajoutent des frais par demande, et offrent le niveau de contrôle le plus élevé.

Les clés gérées par AWS sont créées pour vous par un service AWS et portent un nom tel que aws/s3.

• AWS gère leur stratégie et leur rotation.
• Vous ne pouvez pas modifier leur stratégie de clé ni les supprimer directement.

Elles sont pratiques, mais offrent moins de contrôle que les clés gérées par le client.

Les clés détenues par AWS constituent un ensemble partagé qu’AWS utilise entre de nombreux comptes.

Elles sont invisibles dans votre compte, gratuites et entièrement gérées par AWS. Vous ne pouvez ni les consulter, ni les auditer, ni les contrôler ; elles conviennent donc aux situations où la visibilité sur les clés n’est pas nécessaire.

Vous interagissez avec KMS au moyen d’appels d’API tels que Chiffrer, Déchiffrer et GenerateDataKey.

KMS effectue les opérations cryptographiques côté serveur et renvoie le résultat. Le chiffrement direct est limité aux petites données (jusqu’à environ 4 Ko) ; les données plus volumineuses utilisent des clés de données, abordées plus loin.

Chaque appel d’API KMS est enregistré dans CloudTrail.

Vous disposez d’une piste d’audit complète indiquant qui a utilisé quelle clé, à quel moment et pour quelle opération. KMS constitue ainsi à la fois un point de contrôle et un mécanisme de responsabilisation, essentiel aux investigations après incident.

Un alias est un nom convivial qui pointe vers une clé KMS, comme alias/prod-db.

• Les applications font référence à l’alias, et non à l’identifiant de clé.
• Vous pouvez faire pointer un alias vers une nouvelle clé sans modifier le code de l’application.

Les alias simplifient la rotation et la gestion.

Une clé KMS passe par différents états : activée, désactivée, en attente de suppression et, pour le matériau importé, en attente d’importation.

La désactivation d’une clé bloque son utilisation sans la supprimer. La suppression est planifiée avec une période d’attente de 7 à 30 jours, afin que vous puissiez l’annuler si les données sont encore nécessaires, car la suppression est irréversible.

KMS est l’autorité centrale des clés qui se trouve derrière presque tous les mécanismes de chiffrement AWS : S3, EBS, RDS, Secrets Manager et bien d’autres services appellent KMS en arrière-plan.

Comprendre les types de clés et leur contrôle est essentiel, car les questions d’examen portent souvent sur l’identité de la personne ou du service qui gère et peut utiliser une clé donnée.

Choisissez selon vos besoins de contrôle :

• Gérée par le client lorsque vous avez besoin d’un contrôle total, d’une stratégie personnalisée ou de l’audit de la rotation.
• Gérée par AWS pour un chiffrement pratique par les services.
• Détenue par AWS lorsque vous n’avez absolument pas besoin de visibilité.

Distinguez les types de clés.

Vous avez appris ce que sont les clés KMS.

• Le matériau de la clé reste dans KMS ; vous appelez les opérations de chiffrement et de déchiffrement.
• Les clés gérées par le client offrent un contrôle total ; les clés gérées par AWS sont créées par les services ; les clés détenues par AWS sont invisibles.
• Les alias, les états des clés et CloudTrail contribuent à une gestion sécurisée.