Makna dan Fungsi Kunci KMS

Kekuatan enkripsi hanya sebesar kekuatan perlindungan terhadap kuncinya. Menyimpan kunci dalam kode atau file berisiko dan sulit diaudit.

AWS KMS (Key Management Service) membuat, menyimpan, dan mengendalikan kunci enkripsi dalam modul keamanan perangkat keras, serta mengaitkan setiap penggunaan dengan izin IAM dan log audit.

Kunci KMS (sebelumnya disebut CMK, customer master key) adalah representasi logis dari kunci kriptografis di dalam KMS.

• Material kunci tidak pernah keluar dari KMS dalam keadaan tidak terenkripsi.
• Anda meminta KMS mengenkripsi atau mendekripsi; kunci mentah tidak dibuka kepada Anda.

Inilah dasar enkripsi AWS.

Kunci yang dikelola pelanggan adalah kunci KMS yang Anda buat dan kendalikan sepenuhnya.

• Anda menetapkan kebijakan kunci, mengaktifkan atau menonaktifkan kunci, serta menjadwalkan penghapusan.
• Anda mengendalikan rotasi dan pemberian izin.

Kunci ini dikenai biaya bulanan kecil serta biaya per permintaan, dan memberikan kendali paling besar.

Kunci yang dikelola AWS dibuat atas nama Anda oleh layanan AWS, dengan nama seperti aws/s3.

• AWS mengelola kebijakan dan rotasinya.
• Anda tidak dapat mengubah kebijakan kunci atau menghapusnya secara langsung.

Kunci ini praktis, tetapi memberikan kendali yang lebih sedikit daripada kunci yang dikelola pelanggan.

Kunci milik AWS adalah kumpulan bersama yang digunakan AWS di banyak akun.

Kunci ini tidak terlihat di akun Anda, gratis, dan sepenuhnya dikelola AWS. Anda tidak dapat melihat, mengaudit, atau mengendalikannya, sehingga kunci ini sesuai untuk kasus yang tidak memerlukan visibilitas kunci.

Anda berinteraksi dengan KMS melalui panggilan API seperti Encrypt, Decrypt, dan GenerateDataKey.

KMS menjalankan kriptografi di sisi server dan mengembalikan hasilnya. Enkripsi langsung dibatasi untuk data kecil (hingga sekitar 4 KB); data yang lebih besar menggunakan kunci data, yang akan dibahas nanti.

Setiap panggilan API KMS dicatat di CloudTrail.

Anda mendapatkan jejak audit lengkap tentang siapa yang menggunakan kunci mana, kapan, dan untuk operasi apa. Hal ini menjadikan KMS sebagai titik kontrol sekaligus mekanisme akuntabilitas yang penting untuk penyelidikan insiden.

Alias adalah nama yang mudah dikenali dan menunjuk ke kunci KMS, seperti alias/prod-db.

• Aplikasi merujuk alias, bukan ID kunci.
• Anda dapat mengarahkan ulang alias ke kunci baru tanpa mengubah kode aplikasi.

Alias menyederhanakan rotasi dan pengelolaan.

Kunci KMS melewati beberapa status: aktif, dinonaktifkan, menunggu penghapusan, dan (untuk material yang diimpor) menunggu impor.

Menonaktifkan kunci memblokir penggunaannya tanpa menghapusnya. Penghapusan dijadwalkan dengan masa tunggu (7 hingga 30 hari) agar Anda dapat membatalkannya jika data masih diperlukan, karena penghapusan tidak dapat dibatalkan.

KMS adalah otoritas kunci pusat di balik hampir semua enkripsi AWS: S3, EBS, RDS, Secrets Manager, dan layanan lainnya memanggil KMS secara internal.

Memahami jenis dan kendali kunci sangat penting karena pertanyaan ujian berfokus pada pihak yang mengelola dan dapat menggunakan kunci tertentu.

Pilih berdasarkan kebutuhan kendali:

• Dikelola pelanggan jika Anda memerlukan kendali penuh, kebijakan khusus, atau audit rotasi.
• Dikelola AWS untuk enkripsi layanan yang praktis.
• Milik AWS jika Anda sama sekali tidak memerlukan visibilitas.

Bedakan jenis-jenis kunci.

Anda telah mempelajari apa itu kunci KMS.

• Material kunci tetap berada di dalam KMS; Anda memanggil Encrypt/Decrypt.
• Kunci yang dikelola pelanggan memberikan kendali penuh; kunci yang dikelola AWS dibuat oleh layanan; kunci milik AWS tidak terlihat.
• Alias, status kunci, dan CloudTrail mendukung pengelolaan yang aman.