Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
AWS KMS concepts
Découvrez les termes et concepts de base utilisés dans AWS Key Management Service (AWS KMS) et comment ils fonctionnent ensemble pour protéger vos données.
Présentation de AWS KMS
AWS Key Management Service (AWS KMS) fournit une interface Web permettant de générer et de gérer des clés cryptographiques et fonctionne en tant que fournisseur de services cryptographiques pour la protection des données. AWS KMS propose des services de gestion de clés traditionnels intégrés à AWS des services visant à fournir une vue cohérente des clés des clients dans l'ensemble AWS, avec une gestion et un audit centralisés.
AWS KMS inclut une interface Web via l' Console de gestion AWS interface de ligne de commande et des opérations d'API RESTful pour demander les opérations cryptographiques d'un parc distribué de modules de sécurité matériels (HSM) validés FIPS 140-3. Le AWS KMS HSM est une appliance cryptographique matérielle autonome multipuce conçue pour fournir des fonctions cryptographiques dédiées afin de répondre aux exigences de sécurité et d'évolutivité de. AWS KMS Vous pouvez établir votre propre hiérarchie HSM-based cryptographique à partir des clés que vous gérez. AWS KMS keys Ces clés sont disponibles uniquement sur les HSM et uniquement en mémoire pendant le temps nécessaire au traitement de votre demande cryptographique. Vous pouvez créer plusieurs clés KMS, chacune représentée par son ID de clé. Ce n'est que dans le cadre des rôles et des comptes AWS IAM administrés par chaque client que les clés KMS gérées par le client peuvent être créées, supprimées ou utilisées pour chiffrer, déchiffrer, signer ou vérifier des données. Vous pouvez définir des contrôles d'accès indiquant qui peut gérer and/or l'utilisation des clés KMS en créant une politique associée à la clé. Ces politiques vous permettent de définir des utilisations propres à l'application de vos clés pour chaque opération d'API.
En outre, la plupart des AWS services prennent en charge le chiffrement des données au repos à l'aide de clés KMS. Cette fonctionnalité permet aux clients de contrôler comment et quand les AWS services peuvent accéder aux données cryptées en contrôlant comment et quand les clés KMS sont accessibles.
AWS KMS est un service hiérarchisé composé d' AWS KMS hôtes orientés vers le Web et d'un niveau de HSM. Le regroupement de ces hôtes hiérarchisés forme la AWS KMS pile. Toutes les demandes AWS KMS doivent être effectuées via le protocole TLS (Transport Layer Security) et se terminer sur un AWS KMS hôte. AWS KMS les hôtes n'autorisent le protocole TLS qu'avec une suite de chiffrement qui assure une parfaite confidentialité.
AWS KMS objectifs de conception
AWS KMS est conçu pour répondre aux exigences suivantes.
- Durabilité
-
La durabilité des clés cryptographiques est conçue pour égaler celle des services les plus durables du marché AWS. Une seule clé cryptographique peut chiffrer de grands volumes de vos données qui se sont accumulés sur une longue période.
- Digne de confiance
-
L'utilisation des clés est protégée par des politiques de contrôle d'accès que vous définissez et gérez. Il n'existe aucun mécanisme permettant d'exporter des clés KMS en texte brut. La confidentialité de vos clés cryptographiques est primordiale. Plusieurs employés d'Amazon disposant d'un accès spécifique aux contrôles d'accès basés sur le quorum doivent effectuer des actions administratives sur les HSM.
- Low-latency et haut débit
-
AWS KMS fournit des opérations cryptographiques à des niveaux de latence et de débit adaptés à une utilisation par d'autres services dans AWS.
- Régions indépendantes
-
AWS fournit des régions indépendantes aux clients qui ont besoin de restreindre l'accès aux données dans différentes régions. L'utilisation de la clé peut être isolée dans un Région AWS.
- Source sécurisée de nombres aléatoires
-
Parce que la cryptographie robuste dépend d'une génération de nombres aléatoires véritablement imprévisible, elle AWS KMS fournit une source de nombres aléatoires validée et de haute qualité.
- Audit
-
AWS KMS enregistre l'utilisation et la gestion des clés cryptographiques dans des AWS CloudTrail journaux. Vous pouvez utiliser AWS CloudTrail les journaux pour contrôler l'utilisation de vos clés cryptographiques, y compris l'utilisation des clés par les AWS services agissant en votre nom.
Pour atteindre ces objectifs, le AWS KMS système comprend un ensemble d' AWS KMS opérateurs et d'opérateurs d'hébergement de services (collectivement, les « opérateurs ») qui administrent des « domaines ». Un domaine est un ensemble de AWS KMS serveurs, de HSM et d'opérateurs défini au niveau régional. Chaque AWS KMS opérateur possède un jeton matériel contenant une paire de clés privée et publique qui est utilisée pour authentifier ses actions. Les HSM disposent d'une paire de clés privées et publiques supplémentaires qu'ils utilisent pour établir des clés de chiffrement qui protègent la synchronisation d'état HSM.
