KMS Key Management Service

Définition

AWS Key Management Service (KMS) est un service managé AWS permettant de créer et gérer des clés cryptographiques et de contrôler leur utilisation dans les services AWS et les applications personnalisées. KMS fournit une infrastructure de gestion des clés hautement disponible, durable et sécurisée sans nécessiter de gérer un Hardware Security Module (HSM) physique. AWS KMS utilise des HSM FIPS 140-2 Level 2 validés pour protéger les clés. Les clés KMS (appelées KMS Keys ou Customer Master Keys - CMK) ne quittent jamais les HSM de KMS non chiffrées. Les opérations cryptographiques (chiffrement, déchiffrement, signature) sont effectuées à l'intérieur de KMS, garantissant que le matériel clé n'est jamais exposé. Il existe plusieurs types de clés KMS. Les clés managées AWS (aws/service) sont créées automatiquement par les services AWS lors de l'activation du chiffrement (aws/s3, aws/ebs, aws/rds). Les clés gérées par le client (CMK) sont créées et gérées par l'organisation, avec des politiques de clé personnalisables et une rotation annuelle automatique ou manuelle. Les clés importées permettent d'utiliser du matériel clé externe dans KMS. La politique de clé KMS (Key Policy) est le principal mécanisme de contrôle d'accès aux clés. Contrairement aux politiques IAM qui suffisent pour tous les services AWS, KMS nécessite une politique de clé explicite : sans statement autorisant les administrateurs IAM à gérer la clé, même un administrateur AWS ne peut pas utiliser la clé. Cette spécificité est souvent source de confusion lors des migrations ou des accès d'urgence. KMS est profondément intégré dans l'écosystème AWS : EBS, S3, RDS, DynamoDB, Secrets Manager, Systems Manager Parameter Store, CloudTrail, et de nombreux autres services utilisent KMS pour le chiffrement at-rest. La gestion centralisée des clés KMS est essentielle pour la conformité (RGPD, PCI-DSS, HDS) et pour la capacité à révoquer rapidement l'accès aux données chiffrées.