Hva KMS-nøkler er og gjør

Kryptering er bare så sterk som beskyttelsen av nøklene. Det er risikabelt og vanskelig å revidere når nøkler lagres i kode eller filer.

AWS KMS (Key Management Service) oppretter, lagrer og kontrollerer krypteringsnøkler i maskinvaresikkerhetsmoduler, og knytter all bruk til IAM-tillatelser og revisjonslogger.

En KMS-nøkkel (tidligere kalt CMK, customer master key) er en logisk representasjon av en kryptografisk nøkkel i KMS.

• Nøkkelmaterialet forlater aldri KMS ukryptert.
• Du ber KMS om å kryptere eller dekryptere; selve nøkkelen eksponeres ikke for deg.

Dette er grunnlaget for AWS-kryptering.

Kundeadministrerte nøkler er KMS-nøkler du oppretter og har full kontroll over.

• Du angir nøkkelpolicyen, aktiverer eller deaktiverer nøkkelen og planlegger sletting.
• Du kontrollerer rotasjon og tildelinger.

De koster en liten månedlig avgift i tillegg til kostnader per forespørsel, og gir mest kontroll.

AWS-administrerte nøkler opprettes på dine vegne av en AWS-tjeneste og har navn som aws/s3.

• AWS administrerer policyen og rotasjonen.
• Du kan ikke endre nøkkelpolicyen eller slette nøklene direkte.

De er praktiske, men gir mindre kontroll enn kundeadministrerte nøkler.

AWS-eide nøkler er en delt samling som AWS bruker på tvers av mange kontoer.

De er usynlige i kontoen din, kostnadsfrie og fullstendig administrert av AWS. Du kan ikke vise, revidere eller kontrollere dem, så de passer i tilfeller der du ikke trenger innsyn i nøklene.

Du samhandler med KMS gjennom API-kall som Encrypt, Decrypt og GenerateDataKey.

KMS utfører kryptografien på serversiden og returnerer resultatet. Direkte kryptering er begrenset til små datamengder (opptil omtrent 4 KB); større datamengder bruker datanøkler, som omtales senere.

Alle KMS API-kall registreres i CloudTrail.

Du får et fullstendig revisjonsspor som viser hvem som brukte hvilken nøkkel, når og til hvilken operasjon. Dette gjør KMS både til et kontrollpunkt og en mekanisme for ansvarliggjøring, noe som er viktig ved undersøkelser av hendelser.

Et alias er et lett gjenkjennelig navn som peker til en KMS-nøkkel, for eksempel alias/prod-db.

• Applikasjoner refererer til aliaset, ikke nøkkel-ID-en.
• Du kan peke et alias til en ny nøkkel uten å endre applikasjonskoden.

Aliaser gjør rotasjon og administrasjon enklere.

En KMS-nøkkel går gjennom ulike tilstander: aktivert, deaktivert, sletting venter og (for importert materiale) import venter.

Deaktivering av en nøkkel blokkerer bruken av den uten å slette den. Sletting planlegges med en ventetid på 7–30 dager, slik at du kan avbryte den hvis dataene fortsatt trengs, siden sletting ikke kan reverseres.

KMS er den sentrale nøkkelinstansen bak nesten all AWS-kryptering: S3, EBS, RDS, Secrets Manager og flere andre tjenester kaller KMS underliggende.

Det er viktig å forstå nøkkeltyper og kontroll, fordi eksamensoppgaver ofte handler om hvem som administrerer og kan bruke en bestemt nøkkel.

Velg ut fra behovet for kontroll:

• Kundeadministrert når du trenger full kontroll, en egendefinert policy eller revisjon av rotasjonen.
• AWS-administrert for praktisk tjenestekryptering.
• AWS-eid når du ikke trenger innsyn i det hele tatt.

Du har lært hva KMS-nøkler er.

• Nøkkelmaterialet forblir i KMS; du kaller Encrypt/Decrypt.
• Kundeadministrerte nøkler gir full kontroll, AWS-administrerte opprettes av tjenester, og AWS-eide nøkler er usynlige.
• Aliaser, nøkkeltilstander og CloudTrail støtter sikker administrasjon.