KMS Anahtarlarının Ne Olduğu ve Ne Yaptığı

Şifreleme, anahtarları nasıl koruduğunuz kadar güçlüdür. Anahtarları kodda veya dosyalarda saklamak risklidir ve denetlenmesi zordur.

AWS KMS (Key Management Service), şifreleme anahtarlarını donanım güvenlik modüllerinde oluşturur, saklar ve denetler; ayrıca her kullanımı IAM izinlerine ve denetim günlüklerine bağlar.

Bir KMS anahtarı (eski adıyla CMK, customer master key), KMS içindeki bir şifreleme anahtarının mantıksal gösterimidir.

• Anahtar materyali KMS'den şifrelenmemiş olarak asla çıkmaz.
• KMS'den şifreleme veya şifre çözme talep edersiniz; ham anahtar size açığa çıkarılmaz.

AWS şifrelemesinin temeli budur.

Müşteri tarafından yönetilen anahtarlar, oluşturduğunuz ve tamamen denetlediğiniz KMS anahtarlarıdır.

• Anahtar politikasını belirlersiniz, anahtarı etkinleştirir veya devre dışı bırakırsınız ve silinmesini planlarsınız.
• Döndürmeyi ve izin tanımlarını denetlersiniz.

Küçük bir aylık ücretin yanı sıra istek başına ücretlendirilir ve en yüksek denetim düzeyini sunarlar.

AWS tarafından yönetilen anahtarlar, bir AWS hizmeti tarafından sizin adınıza oluşturulur ve aws/s3 gibi adlandırılır.

• AWS bunların politikasını ve döndürülmesini yönetir.
• Anahtar politikalarını değiştiremez veya anahtarları doğrudan silemezsiniz.

Kullanışlıdırlar; ancak müşteri tarafından yönetilen anahtarlara göre daha az denetim sunarlar.

AWS'ye ait anahtarlar, AWS'nin birçok hesapta kullandığı ortak bir havuzdur.

Hesabınızda görünmezler, ücretsizdirler ve tamamen AWS tarafından yönetilirler. Bunları görüntüleyemez, denetleyemez veya kontrol edemezsiniz; bu nedenle anahtar görünürlüğüne ihtiyaç duymadığınız durumlar için uygundurlar.

KMS ile Encrypt, Decrypt ve GenerateDataKey gibi API çağrıları aracılığıyla etkileşim kurarsınız.

KMS şifreleme işlemini sunucu tarafında gerçekleştirir ve sonucu döndürür. Doğrudan şifreleme küçük verilerle (yaklaşık 4 KB'a kadar) sınırlıdır; daha büyük verilerde, ileride ele alınacak veri anahtarları kullanılır.

Her KMS API çağrısı CloudTrail'e kaydedilir.

Hangi anahtarı kimin, ne zaman ve hangi işlem için kullandığına ilişkin eksiksiz bir denetim izi elde edersiniz. Bu özellik, KMS'yi hem bir denetim noktası hem de olay incelemeleri için önemli bir hesap verebilirlik mekanizması hâline getirir.

Takma ad, alias/prod-db gibi KMS anahtarını gösteren, anlaşılır bir addır.

• Uygulamalar anahtar kimliği yerine takma ada başvurur.
• Uygulama kodunu değiştirmeden takma adı yeni bir anahtarı gösterecek şekilde yönlendirebilirsiniz.

Takma adlar döndürme ve yönetim işlemlerini kolaylaştırır.

Bir KMS anahtarı şu durumlardan geçer: etkin, devre dışı, silinmeyi bekliyor ve (içe aktarılan materyal için) içe aktarılmayı bekliyor.

Bir anahtarı devre dışı bırakmak, anahtarı silmeden kullanımını engeller. Silme işlemi bir bekleme süresiyle (7 ila 30 gün) planlanır; böylece veriler hâlâ gerekiyorsa işlemi iptal edebilirsiniz, çünkü silme işlemi geri alınamaz.

KMS, AWS'deki neredeyse tüm şifrelemenin arkasındaki merkezi anahtar yetkilisidir: S3, EBS, RDS, Secrets Manager ve diğer hizmetler perde arkasında KMS'yi çağırır.

Anahtar türlerini ve denetimi anlamak çok önemlidir; çünkü sınav soruları belirli bir anahtarı kimin yönettiği ve kullanabildiği üzerine kuruludur.

Denetim gereksinimlerinize göre seçin:

• Tam denetime, özel bir politikaya veya döndürme işleminin denetlenmesine ihtiyaç duyduğunuzda müşteri tarafından yönetilen anahtarları seçin.
• Kullanışlı hizmet şifrelemesi için AWS tarafından yönetilen anahtarları seçin.
• Hiç görünürlüğe ihtiyaç duymadığınızda AWS'ye ait anahtarları seçin.

Anahtar türlerini birbirinden ayırın.

KMS anahtarlarının ne olduğunu öğrendiniz.

• Anahtar materyali KMS içinde kalır; Encrypt/Decrypt çağrılarını yaparsınız.
• Müşteri tarafından yönetilen anahtarlar tam denetim sağlar; AWS tarafından yönetilen anahtarlar hizmet tarafından oluşturulur; AWS'ye ait anahtarlar görünmezdir.
• Takma adlar, anahtar durumları ve CloudTrail güvenli yönetimi destekler.