Présentation

AWS Key Management Service (KMS) vous offre un contrôle centralisé des clés de chiffrement utilisées pour protéger vos données. Le service est intégré aux autres services AWS, ce qui simplifie le chiffrement des données que vous stockez dans ces services et le contrôle d’accès aux clés pour les déchiffrer. AWS KMS est intégré à AWS CloudTrail, vous permettant de vérifier qui a utilisé quelles clés, sur quelles ressources et quand. AWS KMS permet aux développeurs d’ajouter facilement une fonctionnalité de signature numérique ou de chiffrement au code de leur application, que ce soit directement ou en utilisant l’AWS SDK. Le SDK de chiffrement AWS prend en charge AWS KMS comme fournisseur de clé principale pour les développeurs qui ont besoin de chiffrer/déchiffrer des données localement dans leurs applications.

Gestion de clés centralisée

AWS KMS vous fournit un contrôle centralisé sur le cycle de vie et les autorisations de vos clés. Vous pouvez créer de nouvelles clés dès que vous le souhaitez, et vous pouvez contrôler qui peut gérer les clés et qui ne le peut pas. Comme alternative à l’utilisation des clés générées par AWS KMS, vous pouvez importer des clés de votre propre infrastructure de gestion de clés, ou utiliser des clés stockées dans votre cluster AWS CloudHSM. Vous pouvez choisir automatiquement la rotation des clés principales générées dans AWS KMS une fois par an sans avoir besoin de chiffrer à nouveau les données précédemment chiffrées. Le service conserve automatiquement les versions précédentes de la clé principale disponible pour déchiffrer les données précédemment chiffrées. Vous pouvez gérer vos clés principales et en vérifier leur utilisation depuis AWS Management Console ou à l’aide du kit SDK AWS ou de l’interface de ligne de commande (CLI).

* L’option d’importer des clés n’est pas disponible pour les clés asymétriques.

Intégration aux services AWS

AWS KMS est intégré de manière transparente à la plupart des services AWS. Ces intégrations utilisent le chiffrement d’enveloppe, qui voit une clé de chiffrement de données utilisée par le service AWS pour chiffrer vos données être protégée sous une clé principale client (CMK) stockée dans AWS KMS. Il y a deux types de CMK : (i) une CMK gérée par AWS qui est créée automatiquement lorsque vous créez pour la première fois une ressource chiffrée dans un service AWS. Vous pouvez suivre l’utilisation d’une CMK gérée par AWS, mais le cycle de vie et les autorisations de la clé sont gérées en votre nom. (ii) une CMK gérée par le client que vous seul pouvez créer. Les CMK gérées par le client vous offrent un plein contrôle sur les autorisations et le cycle de vie permettant de déterminer qui peut utiliser la clé et sous quelles conditions.

Services AWS intégrés à AWS KMS
Alexa for Business* Amazon Elasticsearch Amazon Redshift AWS CodeBuild
Amazon AppFlow Amazon EMR Amazon Relational Database Service (RDS) AWS CodeCommit*
Amazon Athena Amazon Forecast Amazon S3 AWS CodeDeploy
Amazon Aurora Amazon Fraud Detector Amazon SageMaker AWS CodePipeline
Amazon CloudWatch Logs Amazon FSx for Windows File Server Amazon Simple Email Service (SES) AWS Database Migration Service
Amazon Comprehend Amazon GuardDuty Amazon Simple Notification Service (SNS) AWS Glue
Amazon Connect Amazon Kendra Amazon Simple Queue Service (SQS) AWS Lambda
Amazon DocumentDB Amazon Kinesis Data Streams Amazon Timestream AWS Secrets Manager
Amazon DynamoDB Accelerator (DAX)* Amazon Kinesis Firehose Amazon Transcribe AWS Snowball
Amazon DynamoDB Amazon Kinesis Video Streams Amazon Translate AWS Snowball Edge
Amazon EBS Amazon Lex Amazon WorkMail AWS Snowcone
Amazon EC2 Image Builder Amazon Lightsail* Amazon WorkSpaces AWS Snowmobile
Amazon EFS Amazon Macie AWS Backup AWS Storage Gateway
Amazon Elastic Container Registry (ECR) Amazon Managed Streaming for Kafka (MSK) AWS Certificate Manager* AWS Systems Manager
Amazon Elastic Kubernetes Service (EKS) Amazon MQ AWS Cloud9* AWS X-Ray
Amazon Elastic Transcoder Amazon Neptune AWS CloudTrail  
Amazon ElastiCache Amazon Personalize AWS CodeArtifact  

*Ne prend en charge que les clés AWS KMS gérées par AWS.

** Pour avoir une liste des services intégrés à AWS KMS dans la région AWS Chine (Beijing), opérée par Sinnet, et la région AWS Chine (Ningxia), opérée par NWCD, consultez la section Intégration au service AWS KMS en Chine.

Les services AWS non répertoriés ci-dessus chiffrent les données clients à l’aide de clés qui appartiennent au service qui les gère.

Capacités d'audit

Si vous avez activé AWS CloudTrail pour votre compte AWS, chaque requête transmise à AWS KMS est enregistrée dans un fichier journal qui est envoyé dans le compartiment Amazon S3 que vous avez sélectionné lors de l'activation d’AWS CloudTrail. Les informations enregistrées comprennent des détails concernant l'utilisateur, l'heure, la date, l’action d’API et, le cas échéant, la clé utilisée.

Scalabilité, durabilité et haute disponibilité

AWS KMS est un service entièrement géré. Le service s’adapte automatiquement pour répondre à vos besoins en matière d’utilisation du chiffrement au fur et à mesure qu’ils évoluent. Il vous donne la possibilité de gérer des milliers de CMK dans votre compte, et de les utiliser en tant que de besoin. Il spécifie les limites par défaut pour plusieurs clés et taux de requêtes, mais vous pouvez allez au-delà, si nécessaire.

Les CMK que vous créez ou celles créées en votre nom par d’autres services AWS ne sont pas exportables depuis le service. En conséquence, AWS KMS veille à leur durabilité. KMS enregistre plusieurs copies des versions chiffrées de vos clés dans des systèmes conçus pour fournir une durabilité de 99,999999999 % afin de garantir la haute disponibilité de vos clés et de vos données.

Lorsque vous importez des clés dans le service, vous conservez une copie sécurisée des CMK afin de pouvoir les réimporter en cas de leur indisponibilité au moment de leur utilisation. Lorsque vous utilisez la fonctionnalité stockage de clés personnalisé pour créer vos CMK dans un cluster AWS CloudHSM, des copies chiffrées de vos clés sont automatiquement sauvegardées et vous avez le plein contrôle sur le processus de récupération de celles-ci.

AWS KMS est conçu en tant que service hautement disponible avec un point de terminaison d’API régional. Comme la plupart des services AWS s’appuient sur lui en matière de chiffrement et de déchiffrement, il est conçu pour fournir un niveau de disponibilité prenant en charge le reste d'AWS et s'appuyant sur le contrat de niveau de service AWS KMS.

Sécurisé

AWS KMS est conçu de telle sorte que personne, pas même les employés d'AWS, ne puisse récupérer vos clés en texte simple sur le service. Le service utilise des modules de sécurité matériels (HSM) qui ont été validés par la norme FIPS 140-2, ou sont en cours de validation, pour protéger la confidentialité et l’intégrité de vos clés. Cela reste vrai, que vous demandiez à AWS KMS de créer des clés en votre nom, ou que vous les créiez dans un cluster AWS CloudHSM, ou que vous les importiez dans le service. Vos clés en texte simple ne sont jamais écrites sur disque. Elles sont uniquement utilisées sur la mémoire volatile des HSM pendant le temps nécessaire pour effectuer l'opération cryptographique demandée. Les clés créées par le service AWS KMS ne sont jamais exportées hors de la région AWS de création ; elles ne peuvent être utilisées que dans la région où elles ont été créées. Les mises à jour du micrologiciel AWS KMS HSM sont contrôlées par un contrôle d'accès multipartite vérifié et contrôlé par un groupe indépendant au sein d'Amazon et par un laboratoire certifié NIST, conformément à la norme FIPS 140-2.

Pour en savoir plus sur l’architecture d’AWS KMS et le modèle cryptographique utilisé pour protéger vos clés, veuillez consulter le livre blanc intitulé : Description détaillée de la cryptographie avec AWS Key Management Service.

*Les modules matériels de sécurité sont approuvés par le gouvernement chinois (non validés FIPS 140-2), et le livre blanc sur la description détaillée de la cryptographie mentionné plus haut ne s’applique pas à KMS dans la région AWS Chine (Beijing), opérée par Sinnet, ni la région AWS Chine (Ningxia), opérée par NWCD. 

Stockage de clés personnalisé

AWS KMS vous offre la possibilité de créer votre propre stockage de clés en utilisant les HSM que contrôlez. Chaque stockage de clés personnalisé est sauvegardé par un cluster AWS CloudHSM. Lorsque vous créez une CMK dans un stockage de clés personnalisé, le service génère et conserve les éléments de clé pour la CMK dans un cluster AWS CloudHSM que vous possédez et gérez. Lorsque vous utilisez une CMK dans un stockage de clés personnalisé, les opérations cryptographiques la concernant s’effectuent dans votre cluster CloudHSM AWS.

Les CMK stockées dans un stockage de clés personnalisé sont gérées par vous comme toute autre CMK et peuvent être utilisées avec n’importe quel service AWS qui s’intègre avec AWS KMS.

L’utilisation d’un stockage de clés personnalisé génère des coûts supplémentaires sur le cluster CloudHSM AWS et vous rend responsable de la disponibilité des éléments de clé dans ledit cluster. Pour savoir si les stockages de clés personnalisés sont bien adaptés à vos besoins, vous pouvez lire ce blog.

*La fonction de stockage de clés personnalisé n’est pas disponible dans la région AWS Chine (Beijing), opérée par Sinnet, et la région AWS Chine (Ningxia), opérée par NWCD.

** L’option de stockage de clé personnalisé n’est pas disponible pour les CMK asymétriques.

Clés asymétriques

AWS KMS vous donne la capacité de créer et d’utiliser des CMK asymétriques et des paires de clés de données. Vous pouvez désigner une CMK à utiliser comme paire de clés de signature ou paire de clés de chiffrement. La génération de paire de clés et les opérations de chiffrement asymétriques utilisant ces CMK sont effectuées dans HSM. Vous pouvez demander à la portion publique de la CMK asymétrique d’être utilisée dans vos applications locales, tandis que la portion privée ne quitte jamais le service.

Vous pouvez aussi demander au service de générer une paire de clés de données asymétrique. Cette opération retourne une copie de texte brut de la clé publique et de la clé privée ainsi qu’une copie de la clé privée chiffrée sous une CMK symétrique que vous spécifiez. Vous pouvez utiliser la clé privée ou publique en texte brut dans votre application locale et stocker la copie chiffrée de la clé privée pour une utilisation future.

* Les clés asymétriques sont désormais disponibles dans la région AWS Chine (Pékin), opérée par Sinnet, et la région AWS Chine (Ningxia), opérée par NWCD.

** Les clés asymétriques ne sont pas prises en charge par l’option de stockage de clés personnalisé.

Conformité

Les contrôles de sécurité et de qualité mis en place dans AWS KMS ont été validés et certifiés par les programmes de conformité suivants :

 
Voici la liste des autres programmes de conformité pour lesquels AWS KMS est validé et certifié.
 
*FIPS 140-2 ne s’applique pas à AWS KMS dans les régions Chine. L’utilisation des modules matériels de sécurité dans les régions Chine est approuvée par le gouvernement chinois.
Product-Page_Standard-Icons_01_Product-Features_SqInk
En savoir plus sur la tarification du produit

Consultez des exemples de tarification et calculez vos coûts.

En savoir plus 
Product-Page_Standard-Icons_02_Sign-Up_SqInk
Créer gratuitement un compte

Obtenez un accès instantané à l'offre gratuite d'AWS. 

S'inscrire 
Product-Page_Standard-Icons_03_Start-Building_SqInk
Commencer à créer sur la console

Commencez à créer avec AWS Key Management Service dans la console AWS.

Se connecter