AWS KMS versus Azure Key Vault versus GCP KMS

AWS KMS, Azure Key Vault en GCP Cloud KMS zijn de drie belangrijkste beheerde services van cloudproviders voor het genereren, opslaan en gebruiken van encryptiesleutels. De keuze is belangrijk, omdat elk een ander beveiligings- en toegangsmodel hanteert en overstappen op een andere service later betekent dat u uw encryptiestrategie opnieuw moet ontwerpen. De aanbevolen aanpak: kies de service die het beste aansluit bij uw dominante cloud voor native workloads en bepaal uw sleutelbeheermodel (native, BYOK of HYOK) expliciet voordat u opschaalt naar meer dan een handvol sleutels.

Gepubliceerd: juli 2021. Bijgewerkt: augustus 2026. Beoordeeld door het Cloud Key Management Advisory Team van Encryption Consulting.

Als je alleen AWS en Azure gebruikt en geen plannen hebt om GCP toe te voegen, gaat onze specifiekere vergelijking tussen AWS en Azure KMS dieper in op die keuze voor twee cloudomgevingen. Dit artikel behandelt alle drie de aanbieders voor teams die het volledige aanbod evalueren.

Wat zijn AWS KMS, Azure Key Vault en GCP Cloud KMS?

AWS Key Management Service (KMS), Azure Key Vault en Google Cloud Key Management Service (Cloud KMS) zijn de beheerde oplossingen van de respectievelijke cloudproviders voor het aanmaken, opslaan en gebruiken van cryptografische sleutels zonder dat u uw eigen hardwarebeveiligingsmodules (HSM's) hoeft te beheren. Alle drie volgen hetzelfde conceptuele patroon: een sleutelversleutelingssleutel (KEK) die door de service wordt beheerd, beschermt gegevensversleutelingssleutels (DEK's), die op hun beurt uw daadwerkelijke gegevens beschermen, en de KEK zelf wordt nooit onversleuteld aan u teruggegeven. Waar ze van elkaar verschillen, is de terminologie voor sleutelbeheer , IAM-integratie, standaardinstellingen voor sleutelrotatie en de mate waarin u de controle over het sleutelmateriaal buiten de provider kunt delegeren.

AWS heeft de oorspronkelijke terminologie "Customer Master Key (CMK)" jaren geleden hernoemd naar KMS-sleutel ; de huidige AWS-documentatie maakt onderscheid tussen door de klant beheerde sleutels , door AWS beheerde sleutels en sleutels in eigendom van AWS . Azure Key Vault geeft sleutels uit vanuit een Standard-laag (softwarematig beveiligd, voor meerdere tenants) of een Premium- laag (gedeelde HSM-pool), plus een apart Managed HSM- product voor single-tenant, dedicated hardware. GCP Cloud KMS hanteert prijzen voor SOFTWARE- , HSM- en EXTERNE sleutels als drie verschillende beveiligingsniveaus binnen één service.

Hoe verhouden de native sleutelopslagmodellen zich tot elkaar?

Elke provider hanteert standaard een ander niveau van hardwarevalidatie en ondersteuning voor verschillende sleuteltypen, wat bepaalt wat je kunt doen zonder over te stappen naar een premium abonnement.

Kenmerk	AWS KMS	Azure Key Vault	GCP Cloud KMS
Standaard sleutelbeveiliging	FIPS 140-2 gevalideerde HSM (alle sleutels)	Software (Standaard) of gedeelde HSM-pool (Premium)	Software, HSM of extern, gekozen op basis van de sleutel.
Speciale HSM-optie voor één enkele huurder	Via CloudHSM-integratie	Beheerde HSM (FIPS 140-3 niveau 3, Marvell LiquidSecurity)	Cloud HSM voor één tenant
Ondersteunde toetstypen	Symmetrisch, asymmetrisch (RSA, ECC), HMAC	RSA en elliptische curve (asymmetrisch); geen standaard symmetrisch sleuteltype	Symmetrisch (AES-256) en asymmetrisch (RSA, ECC)
Belangrijkste draagbaarheid	Het verlaat nooit de AWS-regio waarin het is gemaakt.	Verlaat nooit de kluisgrens; Microsoft stelt dat het geen toegang heeft tot het sleutelmateriaal.	Verlaat nooit de sleutelbos

Moet je native keys, BYOK of HYOK gebruiken in deze clouds?

Gebruik standaard de eigen sleutels van elke provider, schakel over op BYOK wanneer u moet bewijzen waar een sleutel vandaan komt, en reserveer HYOK voor specifieke sleutels waarvan een toezichthouder of contract voorschrijft dat ze nooit de infrastructuur van de cloudprovider mogen aanraken. Alle drie de cloudproviders ondersteunen alle drie de modellen, maar de HYOK-mechanismen verschillen voldoende om uw architectuur aan te passen.

Model	AWS KMS	Azure Key Vault	GCP Cloud KMS
Native	Door KMS gegenereerde sleutel, nooit exporteerbaar.	Sleutel gegenereerd door Vault of Managed-HSM	Cloud KMS-gegenereerde sleutel
BIJ OK	Importeer sleutelmateriaal dat is versleuteld met RSA; AWS bewaart een bruikbare kopie.	Importeer HSM-beveiligd sleutelmateriaal vanuit een on-premises HSM naar Managed HSM.	Sleutelmateriaal importeren (AES-256 versleuteld met RSA 3072-bit)
HYOK	Externe sleutelopslag (XKS): dubbele versleuteling, de sleutel verlaat uw externe sleutelbeheerder nooit.	Extern sleutelbeheer (preview): het inpakken/uitpakken van sleutels is gedelegeerd aan een door de klant beheerde EKM-proxy; dit valt niet onder de Managed HSM SLA.	Cloud External Key Manager (EKM): tweelaagse encryptie via Fortanix, Futurex of Thales; een verzoek mislukt als de externe sleutel niet bereikbaar is.

Elke HYOK-implementatie kent dezelfde afweging: je krijgt aantoonbare controle over de sleutel, maar je neemt ook het operationele risico van de beschikbaarheid van je externe sleutelbeheerder op je. Google is expliciet over de nadelen – specifiek voor Cloud Spanner leidt een EKM-sleutel die langer dan 30 dagen onbereikbaar is tot permanent dataverlies, omdat Google aangeeft dat het geen gegevens kan herstellen die beschermd worden door een sleutel die het nooit in bezit heeft gehad. Zie onze uitleg over hybride KMS voor een uitgebreidere vergelijking tussen BYOK en HYOK, en over dedicated versus shared HSM's voor meer informatie over hoe keuzes met betrekking tot de isolatie van sleutelbeheer van invloed zijn op de aanschaf van HSM's.

Hoe verschilt het IAM-model tussen AWS, Azure en GCP?

Alle drie gebruiken het algemene identiteitssysteem van hun platform voor sleuteltoegang, aangevuld met een KMS-specifiek machtigings- of beleidsmodel — geen van hen heeft een apart identiteitssysteem speciaal voor sleutels ontwikkeld.

• AWS KMS Dit combineert op identiteit gebaseerde IAM-beleidsregels met een verplicht sleutelbeleid dat aan elke KMS-sleutel is gekoppeld, plus tijdelijke machtigingen voor toegang tot meerdere accounts of services. De configuratie volgens het principe van minimale bevoegdheden betekent dat toegang wordt geweigerd. kms:CreateGrant behalve wanneer een encryptiecontextvoorwaarde overeenkomt met een goedgekeurde sleutel-ARN.
• Azure Key Vault Het ondersteunt zowel traditionele toegangsbeleidsregels voor de kluis als Azure RBAC; Managed HSM gebruikt een apart, lokaal RBAC-systeem dat Azure-abonnementsbeheerders niet kunnen overschrijven. Dat is precies de bedoeling: het is zo ontworpen dat zelfs Microsoft-ondersteuningsmedewerkers zichzelf geen toegang tot sleutels kunnen verlenen.
• GCP Cloud KMS wordt volledig beheerd door Cloud IAM-rollen, zoals roles/cloudkms.cryptoKeyEncrypterDecrypter voor toegang uitsluitend voor gebruik en roles/cloudkms.admin voor het management, waarbij Google expliciet een scheiding van taken tussen de twee aanbeveelt.

Een configuratie met minimale privileges die op alle drie werkt, volgt dezelfde vijf stappen, ongeacht de provider:

1. Scheid productie- en niet-productiesleutels in verschillende accounts, abonnementen of projecten, zodat een gecompromitteerde testidentiteit nooit toegang kan krijgen tot een productiesleutel.
2. Verleen versleutelings-/ontsleutelingsrechten (gebruiksrechten) en sleutelbeheerrechten aan verschillende rollen — nooit aan dezelfde rol.
3. Koppel elke toekenning aan een specifieke sleutelbron, nooit aan een wildcard, met behulp van resource-ARN's (AWS), RBAC-toewijzingen op basis van bereik (Azure) of IAM-voorwaarden (GCP).
4. Vereis MFA of een workflow met bevoorrechte toegang voor elke actie waarmee een sleutel of kluis kan worden verwijderd of de verwijdering ervan kan worden ingepland.
5. Controleer de toegang elk kwartaal met behulp van de eigen tools van elke provider: IAM Access Analyzer (AWS), Azure AD-toegangsbeoordelingen (Azure) of IAM Recommender (GCP).

Hoe werkt sleutelrotatie in elke dienst?

Bij alle drie de services vindt automatische rotatie plaats voor symmetrische sleutels, maar het configureerbare bereik en de harde limieten verschillen voldoende om van invloed te zijn op uw compliance-documentatie.

• AWS KMSAutomatische rotatie voor symmetrische sleutels is instelbaar van 90 dagen tot 2,560 dagen (ongeveer zeven jaar); asymmetrische en HMAC-sleutels komen niet in aanmerking en moeten worden geroteerd door een nieuwe sleutel aan te maken. Geïmporteerd sleutelmateriaal ondersteunt rotatie op aanvraag, tot tien keer gedurende de levensduur van de sleutel. De eerste twee rotaties van een sleutel kosten $1 per maand extra; daarna is de prijsverhoging gemaximeerd.
• Azure Key Vault beheerde HSMAutorotatiebeleid is gebaseerd op aanmaakdatum of vervaldatum, met een minimuminterval van 28 dagen; Microsoft raadt aan om sleutels minstens elke twee jaar te roteren volgens NIST SP 800-57. Elke sleutel heeft een limiet van 100 versies in totaal, en rotaties tellen mee voor deze limiet. Standaard en Premium Key Vault (niet-Managed-HSM) bieden geen ingebouwde autorotatie op dezelfde manier en maken doorgaans gebruik van rotatie die wordt geactiveerd door Azure Automation of Event Grid.
• GCP Cloud KMSAutomatische rotatie voor symmetrische sleutels kan worden geconfigureerd van 1 dag tot 100 jaar; asymmetrische ondertekenings- en versleutelingssleutels komen niet in aanmerking voor automatische rotatie. Het roteren van een sleutel schakelt gegevens die door oudere sleutelversies worden beschermd niet uit en versleutelt deze ook niet opnieuw — deze versies moeten handmatig worden uitgeschakeld of vernietigd zodra ze niet meer in gebruik zijn.

Wat moet je in elke cloud registreren en monitoren?

Schakel logboekregistratie in voordat u uw eerste sleutel aanmaakt in een van de drie services, en niet pas nadat een incident u daartoe heeft gedwongen.

• AWSCloudTrail registreert elke KMS-beheeroproep (aanmaken, roteren, uitschakelen, beleid wijzigen) en elke cryptografische oproep (versleutelen, ontsleutelen, gegevenssleutel genereren), inclusief de belleridentiteit en het bron-IP-adres.
• AzuurKey Vault geeft een signaal af AuditEvent Diagnostische logboekcategorie via de diagnostische instellingen van Azure Monitor, doorstuurbaar naar Log Analytics, een Event Hub of opslag voor langdurige bewaring.
• GCPCloud Audit Logs registreert zowel beheerdersactiviteiten (beheerbewerkingen, altijd actief, kan niet worden uitgeschakeld) als gegevenstoegangslogboeken (sleutelgebruik, moet expliciet worden ingeschakeld) voor elke Cloud KMS-sleutel.

Welke cloud je ook kiest als standaard, voer deze logbestanden in een SIEM-systeem in en genereer specifieke waarschuwingen voor het verwijderen van sleutels, beleidswijzigingen en export- of wrap/unwrap-gebeurtenissen met betrekking tot HYOK-sleutels. Dit zijn namelijk de acties die een routinematige sleutelbewerking in een incident veranderen.

Hoe verhouden AWS KMS, Azure Key Vault en GCP Cloud KMS zich tot elkaar qua kosten?

Geen van de drie prijsmodellen sluit naadloos op elkaar aan: AWS rekent per sleutel, GCP rekent per sleutelversie per beveiligingsniveau en Azure rekent per bewerking plus een aparte toeslag voor HSM-sleutels.

leverancier	Basiskosten voor de sleutel	Operaties	HYOK / externe optie
AWS KMS	$1.00 per sleutel per maand, vast tarief ongeacht het type sleutel.	$0.03/10,000 aanvragen (20,000 gratis/maand)	Externe sleutelopslag: hetzelfde bedrag van $1 per maand, plus de kosten voor uw eigen sleutelbeheerinfrastructuur.
Azure Key Vault	Software-sleutels: geen aparte opslagkosten; HSM-beveiligde sleutels: ongeveer $1–$5 per sleutel per maand, afhankelijk van het volume.	~$0.03/10,000 bewerkingen (software), ~$0.15/10,000 voor geavanceerde sleutelbewerkingen	Extern sleutelbeheer: preview, nog geen aparte prijs gepubliceerd.
GCP Cloud KMS	$0.06 per sleutelversie per maand (software), $1.00 per sleutelversie per maand (HSM)	$0.03/10,000 transacties ($0.15/10,000 voor bepaalde HSM-transacties)	EXTERNE/EXTERNE_VPC (EKM): $3.00/sleutelversie/maand

De exacte cijfers voor Azure variëren per regio en worden op het moment van schrijven niet als vaste wereldwijde tarieven op de prijslijst van Microsoft gepubliceerd; beschouw de bovenstaande cijfers als indicatief en controleer de actuele regionale prijzen voordat u een budget opstelt. Een Cloud HSM voor één tenant op GCP kost ongeveer $ 3,500 per maand (vast tarief) en omvat 15,000 sleutelversies zonder extra kosten, wat in de praktijk goedkoper kan zijn dan een HSM per versie.

Hoe ziet een sleutelbeheerarchitectuur voor meerdere clouds eruit?

Als u alle drie de cloudomgevingen gebruikt, of verwacht dat te doen, behandelt het veiligere ontwerp de KMS van elke provider als een regionaal handhavingspunt onder een gecentraliseerde laag voor sleutel- en certificaatbeheer, in plaats van drie onafhankelijke bronnen van waarheid die in de loop der tijd uit elkaar groeien. Deze laag houdt bij welke sleutels zich waar bevinden, welk beveiligingsniveau en rotatiebeleid elke sleutel hanteert en welk team de eigenaar is – taken die AWS KMS, Azure Key Vault en GCP Cloud KMS niet voor u uitvoeren, ongeacht de provider.

Voor de volledige referentiearchitectuur raadpleegt u onze Multi-Cloud PKIaaS Architectuurgids voor AWS, Azure en GCP . Voor achtergrondinformatie over waarom dit belangrijk is, zelfs voordat u drie clouds bereikt, behandelt ons Educatiecentrum sleutelbeheer in meerdere clouds en de functies die commerciële oplossingen voor sleutelbeheer gemeen hebben.

Wat zijn de beperkingen van elke dienst?

• AWS KMSEen sleutel verlaat nooit de regio waarin deze is aangemaakt, dus een strategie voor meerdere regio's vereist expliciete sleutels voor meerdere regio's, geen standaardsleutel; KMS kan geen gegevenssleutel gebruiken om namens u te versleutelen of te ontsleutelen, dus applicaties moeten dat zelf afhandelen.
• Azure Key VaultExtern sleutelbeheer bevindt zich nog in de previewfase, valt niet onder de Managed HSM SLA en ondersteunt alleen wrap/unwrap; Managed HSM beperkt het aantal versies per sleutel tot 100, en frequente rotatie telt mee voor die limiet.
• GCP Cloud KMSCloud EKM ondersteunt momenteel slechts drie externe partners voor sleutelbeheer (Fortanix, Futurex, Thales); het roteren van een sleutel versleutelt gegevens niet automatisch opnieuw onder oude versies, dus moeten verouderde versies handmatig worden opgeschoond om kosten en risico's te beheersen.

Beslissingschecklist: Kiezen tussen AWS KMS, Azure Key Vault en GCP Cloud KMS

1. Begin bij de plek waar uw werk zich al bevindt. De naadloze integratie met uw computer-, opslag- en databaseservices weegt ruimschoots op tegen de marginale verschillen in functionaliteit tussen de drie KMS-aanbiedingen.
2. Bepaal uw sleutelbeheermodel op basis van de gegevensclassificatie.Niet één keer voor de hele organisatie — native voor de meeste workloads, BYOK waar de belangrijkste herkomst moet worden gedocumenteerd, HYOK alleen waar een toezichthouder of contract dit vereist.
3. Stem uw rotatiebeleid af op de daadwerkelijke beperkingen van elke zorgverlener. — De minimale gebruiksduur van 28 dagen en de limiet van 100 versies voor Azure Managed HSM moeten met name vooraf worden meegenomen in het ontwerp en niet pas tijdens een audit worden ontdekt.
4. De modelberekening is gebaseerd op uw werkelijke sleutel- en bedrijfsvolume.Het gaat niet om het bedrag per sleutel of per bewerking in de koptekst, maar om de prijs per beveiligingsniveau van GCP en de gelaagde HSM-sleutelkosten van Azure, die beide aanzienlijk veranderen bij grotere schaal.
5. Als u momenteel meer dan één cloud gebruikt, of dit binnen 18 maanden verwacht,Evalueer een gecentraliseerde laag voor sleutel- en certificaatbeheer voordat u drie onafhankelijke, uiteenlopende KMS-configuraties moet synchroniseren.

Wat zou Encryption Consulting aanbevelen?

Voor een omgeving met één cloud kunt u het native KMS van die cloud gebruiken en hoeft u zich daar niet te veel zorgen over te maken — alle drie zijn volwaardige, FIPS-gecertificeerde services. De keuze wordt pas echt lastig wanneer u twee of meer clouds gebruikt, omdat AWS KMS, Azure Key Vault en GCP Cloud KMS niet zijn ontworpen om u één overzicht van alle clouds te bieden. In onze projecten zien we dat de organisaties die problemen ondervinden, degenen zijn die de KMS van elke cloud afzonderlijk hebben geïmplementeerd en vervolgens achteraf governance hebben proberen toe te voegen. We raden aan om uw sleutelbeheermodel (native, BYOK of HYOK) en uw rotatie- en logstandaarden één keer centraal te bepalen via HSM-as-a-Service voor FIPS-gecertificeerd beheer dat providers overspant, voordat individuele teams standaardiseren op de standaardinstellingen van hun cloudconsole. Als u een externe beoordeling nodig hebt van uw huidige sleutelbeheer in meerdere clouds, dan vergelijkt onze Cloud Data Protection-beoordeling AWS-, Azure- en GCP-omgevingen met de NIST- en CIS-normen.

Veelgestelde Vragen / FAQ

Welke is veiliger: AWS KMS, Azure Key Vault of GCP Cloud KMS?

Alle drie zijn FIPS-gevalideerde beheerde services van providers met een solide reputatie op het gebied van beveiliging, en geen enkele is categorisch minder veilig dan de andere bij standaardgebruik met de native sleutel. De wezenlijke beveiligingsverschillen zitten hem in de details: het niveau van hardwarevalidatie per tier, of HYOK algemeen beschikbaar is of zich nog in de previewfase bevindt, en hoe strikt u IAM en logging configureert – niet in welk logo van de leverancier op de service staat.

Kan ik dezelfde encryptiesleutel gebruiken voor AWS, Azure en GCP?

Niet direct. De eigen sleutel van elke provider verlaat per definitie nooit de grenzen van die provider. De dichtstbijzijnde benadering van een gedeelde sleutel tussen clouds is HYOK: het opslaan van het sleutelmateriaal in uw eigen externe sleutelbeheerder en elke cloud die sleutel laten aanroepen (AWS External Key Store, Azure External Key Management of GCP Cloud EKM). Hierdoor kan één sleutelbron meerdere clouds bedienen, maar dit maakt uw externe sleutelbeheerder wel een single point of failure voor al die clouds.

Is Azure Key Vault Managed HSM hetzelfde als HYOK?

Nee. Managed HSM is een speciale hardware-optie voor één tenant die nog steeds binnen de infrastructuur van Microsoft draait — het is een sterkere native-key-optie, geen externe. Azure's daadwerkelijke HYOK-equivalent is External Key Management, een aparte preview-functie die wrap/unwrap-bewerkingen delegeert aan een sleutelbeheerder die u buiten Azure uitvoert.

Waarom rekent GCP meer voor externe (EKM) sleutels dan voor HSM-sleutels?

Google rekent $3.00 per maand voor de EXTERNAL- en EXTERNAL_VPC-sleutelversies, drie keer zoveel als het HSM-tarief van $1.00 per maand. Dit komt doordat elke cryptografische bewerking met een EKM-sleutel een directe netwerkverbinding met uw externe sleutelbeheerder vereist, in plaats van een lokale HSM-aanroep. Deze extra latentie en afhankelijkheid is ook de reden waarom Google expliciet waarschuwt dat het verliezen van toegang tot een externe sleutel kan leiden tot permanent en onherstelbaar gegevensverlies.

Heb ik een sleutelbeheerstrategie voor meerdere clouds nodig als ik momenteel maar één cloud gebruik?

Niet direct, maar het is verstandig om uw sleutelbeheermodel, rotatiebeleid en logstandaard te bepalen alsof u een tweede cloud zou toevoegen. Het achteraf aanpassen van deze beslissingen is namelijk veel ingrijpender dan ze vanaf het begin consistent vast te leggen. Als een tweede cloud al op uw roadmap staat, begin dan nu met de governance-laag in plaats van na de migratie.

Neem contact op met [email protected] als u hulp nodig heeft bij het controleren of ontwerpen van sleutelbeheer binnen AWS, Azure en GCP.