Présentation

AWS Key Management Service (KMS) vous offre un contrôle centralisé des clés de chiffrement utilisées pour protéger vos données. Le service est intégré aux autres services AWS, ce qui simplifie le chiffrement des données que vous stockez dans ces services et le contrôle d’accès aux clés pour les déchiffrer. AWS KMS est intégré à AWS CloudTrail, vous permettant de vérifier qui a utilisé quelles clés, sur quelles ressources et quand. AWS KMS permet aux développeurs d’ajouter facilement une fonctionnalité de signature numérique ou de chiffrement au code de leur application, que ce soit directement ou en utilisant l’AWS SDK. Le SDK de chiffrement AWS prend en charge AWS KMS comme fournisseur de clé principale pour les développeurs qui ont besoin de chiffrer/déchiffrer des données localement dans leurs applications.

Gestion de clés centralisée

AWS KMS vous fournit un contrôle centralisé sur le cycle de vie et les autorisations de vos clés. Vous pouvez créer de nouvelles clés dès que vous le souhaitez, et vous pouvez contrôler qui peut gérer les clés et qui ne le peut pas. Comme alternative à l’utilisation des clés générées par AWS KMS, vous pouvez importer des clés de votre propre infrastructure de gestion de clés, ou utiliser des clés stockées dans votre cluster AWS CloudHSM. Vous pouvez choisir automatiquement la rotation des clés principales générées dans AWS KMS une fois par an sans avoir besoin de chiffrer à nouveau les données précédemment chiffrées. Le service conserve automatiquement les versions précédentes de la clé principale disponible pour déchiffrer les données précédemment chiffrées. Vous pouvez gérer vos clés principales et en vérifier leur utilisation depuis AWS Management Console ou à l’aide du kit SDK AWS ou de l’interface de ligne de commande (CLI).

* L’option d’importer des clés n’est pas disponible pour les clés asymétriques.

Intégration des services AWS

AWS KMS est intégré aux services AWS pour chiffrer les données au repos ou pour faciliter les procédures de connexion et de vérification à l’aide d’une clé principale client (CMK) AWS KMS. Pour protéger des données au repos, les services AWS intégrés utilisent le chiffrement d’enveloppe, dans le cadre duquel une clé de données est utilisée pour chiffrer les données et est elle-même chiffrée à l’aide d’une CMK enregistrée dans AWS KMS. Pour les procédures de connexion et de vérification, les services AWS intégrés utilisent une paire de clés issue d’une CMK asymétrique dans AWS KMS. Pour en savoir plus sur la façon dont un service intégré utilise AWS KMS, reportez-vous à la documentation de votre service AWS.

Deux types de ressources CMK peuvent être créées dans votre compte AWS : (i) Une CMK gérée par AWS peut être créée automatiquement en cas de besoin. Vous pouvez répertorier les CMK gérées par AWS ou en dresser l’inventaire, et obtenir un journal de leur utilisation dans AWS CloudTrail, mais les autorisations associées à la ressource sont gérée par le service AWS pour lequel elle a été créée. (ii) Une CMK gérée par le client vos donne le degré de contrôle le plus élevé sur les autorisations et le cycle de vie de la clé.

Services AWS intégrés à AWS KMS
Alexa for Business* Amazon EMR Amazon Relational Database Service (RDS) AWS CodeArtifact
Amazon AppFlow Amazon Forecast Amazon Route 53 AWS CodeBuild
Amazon Athena Amazon Fraud Detector Amazon S3 AWS CodeCommit*
Amazon Aurora Amazon FSx for Windows File Server Amazon SageMaker AWS CodePipeline
Amazon CloudWatch Logs Amazon GuardDuty Amazon Simple Email Service (SES) AWS Database Migration Service
Amazon Comprehend Amazon Kendra Amazon Simple Notification Service (SNS) AWS Glue
Amazon Connect Amazon Kinesis Data Streams Amazon Simple Queue Service (SQS) AWS Glue DataBrew
Amazon Connect Customer Profiles Amazon Kinesis Firehose Amazon Textract AWS IoT SiteWise
Amazon DocumentDB Amazon Kinesis Video Streams Amazon Timestream AWS Lambda
Amazon DynamoDB Amazon Lex Amazon Transcribe AWS License Manager
Amazon DynamoDB Accelerator (DAX)* Amazon Lightsail* Amazon Translate AWS Secrets Manager
Amazon EBS Amazon Macie Amazon WorkMail AWS Snowball
Amazon EC2 Image Builder Amazon Managed Streaming for Kafka (MSK) Amazon WorkSpaces AWS Snowball Edge
Amazon EFS Amazon Managed Workflows for Apache Airflow (MWAA) AWS Audit Manager AWS Snowcone
Amazon Elastic Container Registry (ECR) Amazon Monitron AWS Backup AWS Snowmobile
Amazon Elastic Kubernetes Service (EKS) Amazon MQ AWS Certificate Manager* AWS Storage Gateway
Amazon Elastic Transcoder Amazon Neptune AWS Cloud9* AWS Systems Manager
Amazon ElastiCache Amazon Personalize AWS CloudHSM AWS X-Ray
Amazon Elasticsearch Amazon Redshift AWS CloudTrail  

 

*Seules les clés AWS KMS gérées par AWS sont prises en charge.

** Pour avoir une liste des services intégrés à AWS KMS dans la région AWS Chine (Beijing), opérée par Sinnet, et la région AWS Chine (Ningxia), opérée par NWCD, consultez la section Intégration au service AWS KMS en Chine.

Les services AWS non répertoriés ci-dessus chiffrent les données clients à l’aide de clés qui appartiennent au service qui les gère.

Capacités d'audit

Si vous avez activé AWS CloudTrail pour votre compte AWS, chaque requête transmise à AWS KMS est enregistrée dans un fichier journal qui est envoyé dans le compartiment Amazon S3 que vous avez sélectionné lors de l'activation d’AWS CloudTrail. Les informations enregistrées comprennent des détails concernant l'utilisateur, l'heure, la date, l’action d’API et, le cas échéant, la clé utilisée.

Scalabilité, durabilité et haute disponibilité

AWS KMS est un service entièrement géré. Le service s’adapte automatiquement pour répondre à vos besoins en matière d’utilisation du chiffrement au fur et à mesure qu’ils évoluent. Il vous donne la possibilité de gérer des milliers de CMK dans votre compte, et de les utiliser en tant que de besoin. Il spécifie les limites par défaut pour plusieurs clés et taux de requêtes, mais vous pouvez allez au-delà, si nécessaire.

Les CMK que vous créez ou celles créées en votre nom par d’autres services AWS ne sont pas exportables depuis le service. En conséquence, AWS KMS veille à leur durabilité. KMS enregistre plusieurs copies des versions chiffrées de vos clés dans des systèmes conçus pour fournir une durabilité de 99,999999999 % afin de garantir la haute disponibilité de vos clés et de vos données.

Lorsque vous importez des clés dans le service, vous conservez une copie sécurisée des CMK afin de pouvoir les réimporter en cas de leur indisponibilité au moment de leur utilisation. Lorsque vous utilisez la fonctionnalité stockage de clés personnalisé pour créer vos CMK dans un cluster AWS CloudHSM, des copies chiffrées de vos clés sont automatiquement sauvegardées et vous avez le plein contrôle sur le processus de récupération de celles-ci.

AWS KMS est conçu en tant que service hautement disponible avec un point de terminaison d’API régional. Comme la plupart des services AWS s’appuient sur lui en matière de chiffrement et de déchiffrement, il est conçu pour fournir un niveau de disponibilité prenant en charge le reste d'AWS et s'appuyant sur le contrat de niveau de service AWS KMS.

Sécurisé

AWS KMS est conçu de telle sorte que personne, pas même les employés d'AWS, ne puisse récupérer vos clés en texte simple sur le service. Le service utilise des modules de sécurité matériels (HSM) qui ont été validés par la norme FIPS 140-2, ou sont en cours de validation, pour protéger la confidentialité et l’intégrité de vos clés. Cela reste vrai, que vous demandiez à AWS KMS de créer des clés en votre nom, ou que vous les créiez dans un cluster AWS CloudHSM, ou que vous les importiez dans le service. Vos clés en texte simple ne sont jamais écrites sur disque. Elles sont uniquement utilisées sur la mémoire volatile des HSM pendant le temps nécessaire pour effectuer l'opération cryptographique demandée. Les clés créées par le service AWS KMS ne sont jamais exportées hors de la région AWS de création ; elles ne peuvent être utilisées que dans la région où elles ont été créées. Les mises à jour du micrologiciel AWS KMS HSM sont contrôlées par un contrôle d'accès multipartite vérifié et contrôlé par un groupe indépendant au sein d'Amazon et par un laboratoire certifié NIST, conformément à la norme FIPS 140-2.

Pour en savoir plus sur l’architecture d’AWS KMS et le modèle cryptographique utilisé pour protéger vos clés, veuillez consulter le livre blanc intitulé : Description détaillée de la cryptographie avec AWS Key Management Service.

*Les modules matériels de sécurité sont approuvés par le gouvernement chinois (non validés FIPS 140-2), et le livre blanc sur la description détaillée de la cryptographie mentionné plus haut ne s’applique pas à KMS dans la région AWS Chine (Beijing), opérée par Sinnet, ni la région AWS Chine (Ningxia), opérée par NWCD. 

Stockage de clés personnalisé

AWS KMS vous offre la possibilité de créer votre propre stockage de clés en utilisant les HSM que contrôlez. Chaque stockage de clés personnalisé est sauvegardé par un cluster AWS CloudHSM. Lorsque vous créez une CMK dans un stockage de clés personnalisé, le service génère et conserve les éléments de clé pour la CMK dans un cluster AWS CloudHSM que vous possédez et gérez. Lorsque vous utilisez une CMK dans un stockage de clés personnalisé, les opérations cryptographiques la concernant s’effectuent dans votre cluster AWS CloudHSM.

Les CMK stockées dans un stockage de clés personnalisé sont gérées par vous comme toute autre CMK et peuvent être utilisées avec n’importe quel service AWS qui s’intègre avec AWS KMS.

L'utilisation d'un stockage de clés personnalisé génère des coûts supplémentaires sur le clusterAWS CloudHSM et vous rend responsable de la disponibilité des éléments de clé dans ledit cluster. Pour savoir si les stockages de clés personnalisés sont bien adaptés à vos besoins, vous pouvez lire ce blog.

*La fonction de stockage de clés personnalisé n’est pas disponible dans la région AWS Chine (Beijing), opérée par Sinnet, et la région AWS Chine (Ningxia), opérée par NWCD.

** L’option de stockage de clé personnalisé n’est pas disponible pour les CMK asymétriques.

Clés asymétriques

AWS KMS vous donne la capacité de créer et d’utiliser des CMK asymétriques et des paires de clés de données. Vous pouvez désigner une CMK à utiliser comme paire de clés de signature ou paire de clés de chiffrement. La génération de paire de clés et les opérations de chiffrement asymétriques utilisant ces CMK sont effectuées dans HSM. Vous pouvez demander à la portion publique de la CMK asymétrique d’être utilisée dans vos applications locales, tandis que la portion privée ne quitte jamais le service.

Vous pouvez aussi demander au service de générer une paire de clés de données asymétrique. Cette opération retourne une copie de texte brut de la clé publique et de la clé privée ainsi qu’une copie de la clé privée chiffrée sous une CMK symétrique que vous spécifiez. Vous pouvez utiliser la clé privée ou publique en texte brut dans votre application locale et stocker la copie chiffrée de la clé privée pour une utilisation future.

* Les clés asymétriques sont désormais disponibles dans la région AWS Chine (Pékin), opérée par Sinnet, et la région AWS Chine (Ningxia), opérée par NWCD.

** Les clés asymétriques ne sont pas prises en charge par l’option de stockage de clés personnalisé.

Conformité

Les contrôles de sécurité et de qualité mis en place dans AWS KMS ont été validés et certifiés par les programmes de conformité suivants :

 
Voici la liste des autres programmes de conformité pour lesquels AWS KMS est validé et certifié.
 
*FIPS 140-2 ne s’applique pas à AWS KMS dans les régions Chine. L’utilisation des modules matériels de sécurité dans les régions Chine est approuvée par le gouvernement chinois.
Product-Page_Standard-Icons_01_Product-Features_SqInk
En savoir plus sur la tarification du produit

Consultez des exemples de tarification et calculez vos coûts.

En savoir plus 
Sign up for a free account
Créer gratuitement un compte

Obtenez un accès instantané à l'offre gratuite d'AWS. 

S'inscrire 
Standard Product Icons (Start Building) Squid Ink
Commencer à créer sur la console

Commencez à créer avec AWS Key Management Service dans la console AWS.

Se connecter