🔐 AWS Key Management Service (KMS)

Brayan Neciosup
7 nov
3 Min. de lectura

AWS Key Management Service (KMS) es un servicio administrado por AWS que permite crear, administrar y controlar claves de cifrado utilizadas para proteger los datos almacenados o transmitidos en la nube. Forma parte esencial del ecosistema de seguridad, monitoreo y auditoría junto con CloudTrail y CloudWatch. Su principal objetivo es asegurar la confidencialidad e integridad de los datos mediante procesos de cifrado y descifrado controlados y trazables.

Tipos de claves en KMS 🗝️🔐

KMS permite generar y utilizar distintos tipos de claves, según el nivel de control y propósito de seguridad:

a) Claves Simétricas

Se utiliza una única clave tanto para cifrar como para descifrar.
Es el tipo más común y el que la mayoría de servicios de AWS utiliza por defecto.
Ideal para cifrar objetos de S3, volúmenes de EBS, secretos de Secrets Manager, RDS, etc.
AWS puede administrarla automáticamente o puedes crear tu propia Customer Managed Key (CMK).

b) Claves Asimétricas

Se componen de dos claves diferentes:
- Clave pública: para cifrar o verificar firmas.
- Clave privada: para descifrar o firmar digitalmente.
Útiles para casos como firma digital, autenticación, o intercambio seguro de datos con terceros.
Permiten un nivel de control más granular sobre las operaciones de cifrado/descifrado.

Administración y control de acceso 👤🔏

Cada clave KMS tiene dos dimensiones de control:

Administración de la clave: quién puede crear, rotar o eliminar la clave.
Uso de la clave: quién puede usarla para cifrar o descifrar datos.

Esto se define mediante:

Políticas de claves (Key Policies) propias del servicio KMS.
Políticas IAM aplicadas a los usuarios o roles.
Grupos de permisos específicos dentro del servicio.

Ejemplo: Un administrador puede tener permisos para gestionar la clave, pero no para usarla en operaciones de cifrado. Otro usuario puede tener acceso limitado solo para cifrar/descifrar objetos en S3 usando esa clave.

Integración con servicios de AWS ☁️♾️

KMS se integra nativamente con múltiples servicios de AWS para ofrecer cifrado transparente:

S3: Cifrado automático de objetos (en reposo o al subirlos).
EBS: Volúmenes cifrados para instancias EC2.
RDS: Bases de datos cifradas con claves específicas.
Lambda: Variables de entorno cifradas.
Secrets Manager / Parameter Store: Cifrado de credenciales sensibles.

Al subir, guardar o procesar datos, AWS puede usar automáticamente una clave KMS definida por el usuario o una clave administrada por AWS.

Tipos de claves según su gestión 🔑🔑

Tipo de clave	Descripción	Control	Coste
AWS Managed Key (AWS-KMS)	Administrada automáticamente por AWS.	Bajo	Incluida en el servicio
Customer Managed Key (CMK)	Creada y administrada por el usuario.	Total	Costo adicional por uso y rotación
Customer-Imported Key	Clave generada externamente e importada a KMS.	Total	Costo adicional y control máximo

Ejemplo práctico

🧩 Escenario: Cifrado de objetos en S3.

Se crea una clave KMS (simétrica) llamada clave-cifrado-s3.
Se define una política donde solo los usuarios del grupo DataEngineers pueden usarla.
En el bucket de S3, se configura el cifrado automático con esa clave.
Cuando un objeto es subido:
- AWS KMS cifra automáticamente el objeto con la clave.
- Solo los usuarios autorizados pueden descifrarlo o acceder a él.

Comparación con otros proveedores

Plataforma	Servicio	Características similares
AWS	KMS	Gestión y control completo de claves de cifrado
Azure	Key Vault	Cifrado, gestión de secretos y certificados
GCP	Cloud KMS	Gestión de claves simétricas y asimétricas

Todos los proveedores permiten:

Crear claves propias o administradas por el servicio.
Definir políticas de uso y acceso.
Integrar el cifrado en servicios de almacenamiento, bases de datos y cómputo.

Importancia dentro del ecosistema AWS ☁️☁️🔐🔐

KMS es un componente esencial de la capa de seguridad en AWS porque:

Asegura que los datos estén cifrados tanto en reposo como en tránsito.
Permite trazabilidad y auditoría de cada operación de cifrado (integrado con CloudTrail).
Refuerza el cumplimiento de normas como ISO 27001, HIPAA, GDPR, SOC 2, etc.
Ofrece seguridad granular, evitando que todos los usuarios accedan o manipulen claves críticas.

Conclusión ✍️

AWS KMS es el núcleo del cifrado y protección de datos dentro del ecosistema AWS. Permite una gestión avanzada de claves, control de acceso preciso y trazabilidad completa mediante CloudTrail. En conjunto con servicios como S3, CloudWatch y CloudTrail, KMS garantiza una seguridad integral y una arquitectura resistente a accesos no autorizados o filtraciones de información.