Overzicht – AWS KMS en CloudHSM

AWS biedt twee services voor het beheer van cryptografische sleutels in de cloud: AWS Key Management Service (AWS KMS) en AWS CloudHSM. Beide beschermen encryptiesleutels, maar ze verschillen fundamenteel in FIPS-validatieniveau, tenantmodel, wie de hardware beheert en aan welke compliance-eisen ze kunnen voldoen. Het aanbevolen startpunt voor de meeste workloads is AWS KMS met door de klant beheerde sleutels; CloudHSM is alleen nodig wanneer FIPS 140-2 Level 3 dedicated hardware of nul toegang tot AWS-sleutels een absolute vereiste is.

Kort antwoord: AWS KMS versus CloudHSM in één oogopslag

AWS KMS is een volledig beheerde sleutelbeheerservice voor meerdere tenants met FIPS 140-2 Level 2-gevalideerde HSM's, native integratie met meer dan 100 AWS-services, automatische sleutelrotatie en CloudTrail-auditregistratie per bewerking. Het is het juiste startpunt voor de meeste AWS-encryptieworkloads. AWS CloudHSM is een dedicated HSM-service voor één tenant met FIPS 140-2 Level 3-gevalideerde hardware in uw eigen VPC, waar AWS geen toegang heeft tot uw sleutels. CloudHSM is vereist voor FIPS Level 3-vereisten, geclassificeerde workloads of applicaties die directe toegang tot PKCS#11/JCE/CNG/OpenSSL API's nodig hebben. De twee services kunnen ook worden gecombineerd: een door CloudHSM ondersteunde KMS-sleutelopslag biedt u Level 3-hardwarebescherming met native KMS-service-integratie.

Key Takeaways

• KMS is een multi-tenant Level 2-oplossing; CloudHSM is een single-tenant Level 3-oplossing: AWS KMS maakt gebruik van FIPS 140-2 Level 2 gevalideerde HSM's die door meerdere klanten worden gedeeld met logische isolatie. AWS CloudHSM biedt dedicated fysieke HSM-hardware die is gevalideerd volgens FIPS 140-2 Level 3 en waartoe geen enkele andere klant toegang heeft.
• AWS bevindt zich binnen de KMS-vertrouwensgrens, maar buiten de CloudHSM-sleutelvertrouwensgrens: Met KMS beheert AWS de HSM-hardware en is daarmee een operationele partij in de sleutelketen. Met CloudHSM beheert AWS de fysieke infrastructuur, maar heeft op geen enkel moment toegang tot uw sleutelmateriaal of HSM-partities.
• KMS integreert naadloos met AWS-services; CloudHSM vereist aangepaste API-aanroepen of een aangepaste KMS-sleutelopslag. AWS KMS werkt van nature samen met S3, EBS, RDS, Lambda en meer dan 100 andere services. CloudHSM integreert niet van nature met deze services, tenzij gecombineerd met een aangepaste KMS-sleutelopslag.
• De gepersonaliseerde sleutelopslag overbrugt beide werelden: Een aangepaste KMS-sleutelopslag, ondersteund door een CloudHSM-cluster, biedt hardwarematige beveiliging op niveau 3 voor sleutels die worden gebruikt via de standaard KMS API en alle native AWS-service-integraties. Dit is de gebruikelijke productiearchitectuur wanneer zowel beveiliging op niveau 3 als native AWS-integratie vereist zijn.
• Het prijsverschil is groot; maak uw keuze op basis van de vereisten, niet op basis van uw voorkeuren: KMS kost $1 per sleutel per maand plus $0.03 per 10.000 API-aanroepen. Een CloudHSM-cluster met twee HSM-systemen kost ongeveer $2,100 per maand. Kies alleen voor CloudHSM als een strikte compliance- of technische vereiste de kosten en operationele overhead rechtvaardigt.

AWS Key Management Service (AWS KMS): Overzicht

AWS Key Management Service (AWS KMS) is een volledig beheerde service die de cryptografische sleutels creëert, opslaat en beheert die worden gebruikt om gegevens te beschermen in AWS-services en klantapplicaties. KMS integreert naadloos met meer dan 100 AWS-services, waaronder Amazon S3, Amazon EBS, Amazon RDS, Amazon DynamoDB, AWS Lambda en AWS Secrets Manager. Wanneer u versleuteling inschakelt voor een van deze services, genereert, bewaart en beschermt KMS de versleutelingssleutels die deze versleuteling mogelijk maken.

Al het sleutelmateriaal van AWS KMS wordt gegenereerd en opgeslagen in FIPS 140-2 Level 2 gevalideerde Hardware Security Modules (HSM's) . Sleutelmateriaal verlaat de HSM-grens onder geen enkele operationele omstandigheid in onversleutelde vorm. AWS KMS beheert de HSM's als een multi-tenant service, wat betekent dat de sleutels van meerdere klanten dezelfde fysieke hardware delen met logische isolatie ertussen. Sleutels die in een bepaalde AWS-regio zijn aangemaakt, kunnen niet vanuit een andere regio worden gebruikt of benaderd.

AWS KMS organiseert sleutels in drie typen: door de klant beheerde sleutels (die u aanmaakt, beheert en volgens een aangepast schema kunt vernieuwen), door AWS beheerde sleutels (die automatisch door AWS-services worden aangemaakt wanneer u versleuteling inschakelt zonder een sleutel op te geven) en sleutels in AWS-eigendom (die worden gedeeld door meerdere klantaccounts en niet zichtbaar zijn in uw account). Voor gereguleerde workloads bieden alleen door de klant beheerde sleutels het CloudTrail-auditspoor per bewerking en de onafhankelijke sleutelcontrole die vereist zijn door PCI DSS, HIPAA en FedRAMP. AWS heeft de naam "Customer Master Keys (CMK's)" in 2021 gewijzigd in "KMS-sleutels"; de onderliggende functionaliteit blijft hetzelfde.

AWS KMS ondersteunt symmetrische AES-256-sleutels voor dataversleuteling en -ontsleuteling, asymmetrische RSA-sleutels (2048, 3072, 4096 bit) en ECC-sleutels (NIST P-256, P-384, P-521 en SECG secp256k1) voor ondertekening en asymmetrische versleuteling, en HMAC-sleutels voor berichtauthenticatie. Alle symmetrische sleutels en private asymmetrische sleutels verlaten de KMS HSM's nooit in platte tekst; alleen publieke sleutels kunnen vanuit KMS worden geëxporteerd.

Voor een gedetailleerde beveiligingsevaluatie van AWS KMS, inclusief de analyse van de vertrouwensgrenzen, het IAM-model en de nalevingsmapping, raadpleegt u onze handleiding over hoe veilig de Key Management Services van Amazon (AWS KMS) zijn.

AWS KMS: Overzicht van cryptografische eigenschappen

Eigendom	AWS KMS
Huurmodel	Multitenant (gedeelde HSM-hardware, logische isolatie)
FIPS 140-2-validatie	Niveau 2
Ondersteunde toetstypen	Symmetrisch (AES-256), Asymmetrisch (RSA 2048/3072/4096, ECC NIST/SECG), HMAC
Sleuteltypes	Door de klant beheerd, door AWS beheerd, eigendom van AWS.
API toegang	AWS SDK / AWS KMS API
Toegangscontrole	IAM-identiteitsbeleid + KMS-sleutelresourcebeleid (verplicht)
Belangrijkste toegankelijkheid	Regionaal (sleutels die in een regio zijn aangemaakt, kunnen niet in een andere regio worden gebruikt)
Hoge beschikbaarheid	Door AWS beheerd, ingebouwd (geen configuratie door de klant vereist)
Auditcapaciteit	CloudTrail-beheergebeurtenissen (altijd ingeschakeld) + gegevensgebeurtenissen (moeten worden ingeschakeld)
Automatische sleutelrotatie	Ja (90 dagen tot 7 jaar voor door de klant beheerde sleutels met door AWS gegenereerd materiaal)
BYOK-ondersteuning	Ja (via KMS-importtaken; Oorsprong: EXTERNE)
Kosten	$1.00 per sleutel per maand + $0.03 per 10 API-aanroepen

AWS CloudHSM: Overzicht

AWS CloudHSM is een cloudgebaseerde service voor hardwarebeveiligingsmodules (HSM's) die dedicated, single-tenant fysieke HSM-hardware levert binnen uw eigen Amazon Virtual Private Cloud (VPC). CloudHSM is gevalideerd volgens FIPS 140-2 Level 3, het hoogste commercieel beschikbare FIPS-validatieniveau voor HSM-hardware. In tegenstelling tot AWS KMS, waarbij AWS de HSM's beheert als een gedeelde service, wijst CloudHSM dedicated hardware exclusief toe aan uw organisatie.

AWS beheert de fysieke infrastructuur voor CloudHSM (racking, netwerken, stroomvoorziening, hardwarevervanging en firmware-updates), maar heeft op geen enkel moment toegang tot uw HSM-software, sleutelmateriaal of HSM-gebruikersgegevens. U beheert zelf de HSM-softwarelaag, de HSM-gebruikers- en partitie-instellingen en het sleutelmateriaal, met behulp van hardware-authenticatiemechanismen die losstaan ​​van AWS IAM. Dit betekent dat AWS geen toegang heeft tot uw sleutels, zelfs niet als het daartoe wettelijk verplicht zou zijn, omdat AWS de HSM-authenticatiegegevens of het sleutelmateriaal daadwerkelijk niet beheert.

CloudHSM is toegankelijk via industriestandaard cryptografische API's: PKCS#11 (de meest gebruikte standaard onder HSM-leveranciers), JCE (Java Cryptography Extension), Microsoft CNG (Cryptography Next Generation) en OpenSSL Dynamic Engine. Hierdoor is CloudHSM compatibel met een breed scala aan toepassingen die HSM-ondersteunde cryptografische bewerkingen vereisen, waaronder bescherming van CA-privésleutels voor Public Key Infrastructure (PKI) , codeondertekening, transparante dataversleuteling (TDE) voor databases, bescherming van TLS/SSL-privésleutels, versleuteling van betaal-PIN's en digitaal rechtenbeheer (DRM).

CloudHSM-clusters kunnen zich uitstrekken over meerdere beschikbaarheidszones binnen een AWS-regio voor hoge beschikbaarheid. Elke HSM in het cluster bewaart een gesynchroniseerde kopie van al het sleutelmateriaal. Voor productieworkloads zijn minimaal twee HSM's in afzonderlijke beschikbaarheidszones vereist om te garanderen dat een enkele hardwarefout de cryptografische bewerkingen niet kan onderbreken.

AWS CloudHSM: Samenvatting van cryptografische eigenschappen

Eigendom	AWS CloudHSM
Huurmodel	Single-tenant (specifieke fysieke HSM-hardware)
FIPS 140-2-validatie	Niveau 3
Ondersteunde toetstypen	Symmetrisch: AES (CBC, GCM, ECB-modi); Asymmetrisch: RSA, ECC; Hashing: SHA-256, SHA-512, ECDSA
Hoofdsleutel	De hoofdsleutel wordt opgeslagen en beveiligd in de HSM-hardware.
API-ondersteuning	PKCS#11, JCE (Java), OpenSSL Dynamic Engine, Microsoft CNG
Toegangscontrole	HSM-gebruikersreferenties (quorumgebaseerde K-of-N-authenticatie, los van AWS IAM)
Belangrijkste toegankelijkheid	Toegankelijk vanuit meerdere VPC's binnen de regio via VPC-peering.
Hoge beschikbaarheid	Voeg HSM's toe in verschillende beschikbaarheidszones binnen het cluster.
Auditcapaciteit	CloudTrail (infrastructuurgebeurtenissen), CloudWatch (statistieken), HSM-auditlogboek (sleutelbewerkingen), MFA-ondersteuning
Automatische sleutelrotatie	Nee (door de klant beheerd, moet extern worden geïmplementeerd)
AWS-toegang tot sleutels	Geen (AWS heeft geen toegang tot HSM-partities of sleutelmateriaal)
Kosten	~$1.45/uur per HSM (~$1,050/maand per HSM; ~$2,100/maand voor een HA-cluster met 2 HSM's)

BYOK en HYOK: belangrijke soevereiniteitsopties

Zowel AWS KMS als CloudHSM ondersteunen Bring Your Own Key (BYOK)-patronen, maar de mechanismen en soevereiniteitsgaranties verschillen aanzienlijk.

BYOK met AWS KMS: U genereert AES-256-sleutelmateriaal in uw eigen HSM of sleutelbeheersysteem buiten AWS. U versleutelt het materiaal met een versleutelingssleutel die u downloadt van een KMS-importtaak en uploadt het versleutelde materiaal naar KMS. De KMS-sleutelbron is ingesteld op EXTERNAL. AWS KMS gebruikt uw geïmporteerde materiaal voor alle cryptografische bewerkingen. U bewaart het origineel buiten AWS; het verwijderen van de geïmporteerde kopie uit KMS ontneemt AWS onmiddellijk en permanent de mogelijkheid om de sleutel te gebruiken. AWS behoudt operationele toegang tot het geïmporteerde sleutelmateriaal zolang het zich in KMS bevindt. Automatische rotatie is niet beschikbaar voor geïmporteerde sleutels.

BYOK met CloudHSM (als generatiebron): U genereert sleutelmateriaal in uw CloudHSM-cluster en gebruikt dat materiaal als BYOK-bron voor sleutels die worden geïmporteerd in AWS KMS of andere sleutelbeheersystemen. De sleutel is gegenereerd op FIPS 140-2 Level 3-hardware die u beheert, waardoor u Level 3-bewijs van sleutelprovenance hebt. Na import in KMS is de KMS-kopie een geïmporteerde sleutel (Oorsprong: EXTERNAL); uw CloudHSM behoudt de gezaghebbende kopie.

HYOK (Hold Your Own Key) met CloudHSM: Voor het sterkste sleutelsoevereiniteitsmodel versleutelen uw applicaties gegevens met sleutels die zich in uw CloudHSM-cluster bevinden en deze nooit verlaten. AWS-services slaan alleen de versleutelde tekst op. AWS heeft onder geen enkele omstandigheid toegang tot de onversleutelde tekst of de versleutelingssleutel. Dit patroon vereist dat uw applicaties de CloudHSM API's rechtstreeks aanroepen voor elke cryptografische bewerking, en uw CloudHSM-cluster moet een hoge beschikbaarheid hebben om alle applicatiebewerkingen te laten slagen.

Afmeting	Native KMS (door AWS gegenereerd)	BYOK in KMS (geïmporteerd)	CloudHSM (sleutels blijven in HSM)
Sleutel gegenereerd door	AWS KMS HSM	Klant-HSM (geïmporteerd in KMS)	Klant (blijft in CloudHSM)
AWS-toegang tot de sleutel tijdens gebruik	Ja (multi-tenant HSM-operator)	Ja (operationele toegang tijdens gebruik van KMS)	Nee
CloudTrail-auditlogboek	Ja (per bewerking via KMS API)	Ja (per bewerking via KMS API)	Alleen HSM-auditlogboek (niet standaard opgenomen in CloudTrail voor belangrijke bewerkingen)
Onafhankelijke intrekking	Sleutel uitschakelen/verwijderen in KMS	Geïmporteerd materiaal direct verwijderen	Vernietig de sleutel in het HSM-cluster.
Automatische sleutelrotatie	Ja (90 dagen tot 7 jaar)	Nee (herimport vereist)	Nee (door de klant beheerd)
FIPS-validatieniveau	Niveau 2	Niveau 2 (in KMS); de opwekkingsbron kan niveau 3 zijn.	Niveau 3
Native AWS-service-integratie	Ja (meer dan 100 diensten)	Ja (via KMS API)	Alleen via een aangepaste sleutelopslag.
Operationele complexiteit	Laag	Medium	Hoge

IAM-toegangsbeheermodel

AWS KMS en CloudHSM gebruiken fundamenteel verschillende mechanismen voor toegangscontrole, en dat is een van de belangrijkste verschillen om te begrijpen bij de keuze tussen beide.

Toegangsbeheer voor AWS KMS maakt gebruik van het AWS IAM-model: een combinatie van sleutelresourcebeleid (de primaire, verplichte controle op elke door de klant beheerde sleutel) en IAM-identiteitsbeleid (een secundaire laag). Er moet een sleutelbeleid bestaan ​​dat expliciet toestemming verleent aan elke gebruiker om de sleutel te gebruiken. IAM-identiteitsbeleid kan aanvullende KMS-machtigingen verlenen, maar alleen binnen de grenzen die het sleutelbeleid toestaat. Service Control Policies (SCP's) op AWS-organisatieniveau kunnen extra beveiligingsmaatregelen bovenop IAM toevoegen. Het belangrijkste IAM-beveiligingsprincipe voor KMS is het scheiden van sleutelbeheerders (die sleutelbeleid, -rotatie en -verwijdering kunnen beheren) van sleutelgebruikers (die de functies Encrypt, Decrypt en GenerateDataKey kunnen aanroepen). Geen enkele gebruiker mag beide rollen op dezelfde sleutel hebben. Zie onze handleiding over AWS KMS-beveiliging voor meer informatie over het IAM-model.

De toegangscontrole van CloudHSM maakt gebruik van het eigen gebruikers- en partitiebeheersysteem van de HSM, dat volledig losstaat van AWS IAM. CloudHSM kent drie categorieën gebruikers: de Precrypto Officer (PRECO, een tijdelijke initiële gebruiker die alleen wordt gebruikt voor de eerste initialisatie van de HSM), Crypto Officers (CO's, die HSM-gebruikers kunnen aanmaken en verwijderen en gebruikersreferenties beheren) en Crypto Users (CU's, die cryptografische bewerkingen uitvoeren op sleutelmateriaal). CloudHSM ondersteunt quorumgebaseerde M-van-N-authenticatie, waarbij een minimum aantal Crypto Officers moet worden geauthenticeerd voordat gevoelige bewerkingen (zoals het verwijderen van een sleutel of het wijzigen van een beleid) kunnen worden uitgevoerd. AWS IAM speelt geen rol in de sleutelbewerkingen van CloudHSM. Deze authenticatielaag wordt volledig door u beheerd, onafhankelijk van een AWS-account of IAM-machtiging.

Dit verschil in toegangsmodel heeft aanzienlijke gevolgen voor de beveiliging: voor AWS KMS omvat het risicomodel een verkeerd geconfigureerd sleutelbeleid of IAM-beleid als de meest voorkomende kwetsbaarheid in de praktijk. Voor CloudHSM omvat het risicomodel verkeerd geconfigureerde HSM-gebruikersreferenties, te lage quorumdrempels of ontoereikende fysieke en logische toegangscontroles tot de HSM-beheertools.

Toetsrotatie

AWS KMS-sleutelrotatie Voor door de klant beheerde sleutels met door AWS gegenereerd materiaal is de rotatie automatisch en configureerbaar tussen 90 dagen en 7 jaar. Wanneer rotatie plaatsvindt, genereert KMS nieuw sleutelmateriaal en wijst dit aan als de primaire versie voor nieuwe versleutelingsbewerkingen. Eerdere versies van het sleutelmateriaal worden permanent bewaard, zodat gegevens die ermee zijn versleuteld nog steeds kunnen worden ontsleuteld. De sleutel-ARN en alle aliassen blijven ongewijzigd; rotatie is transparant voor applicaties. Rotatie op aanvraag is beschikbaar via de RotateKeyOnDemand API. Voor BYOK-sleutels met geïmporteerd materiaal is automatische rotatie niet beschikbaar; u moet extern nieuw materiaal genereren en opnieuw importeren als een nieuwe sleutelversie.

AWS CloudHSM-sleutelrotatie heeft geen ingebouwd automatisch rotatiemechanisme. U bent zelf verantwoordelijk voor het opzetten en uitvoeren van het rotatieproces: het genereren van nieuw sleutelmateriaal in de HSM, het bijwerken van de verwijzingen in alle applicaties en services die de oude sleutel gebruiken, het opnieuw versleutelen of migreren van gegevens indien nodig, en het buiten gebruik stellen van het oude sleutelmateriaal. Dit voegt aanzienlijk operationele complexiteit toe in vergelijking met KMS, met name voor omgevingen met veel sleutels of applicaties. Voor compliance-workloads die periodieke cryptografische sleutelrotatie vereisen (PCI DSS-vereiste 3.7.4, NIST SP 800-57 cryptoperiod-richtlijn), moet het rotatieproces voor CloudHSM-sleutels worden ontworpen en getest vóór de implementatie in productie.

Auditregistratie

De AWS KMS CloudTrail-integratie is een van de sterkste compliancefuncties van KMS. Elke KMS API-aanroep genereert een CloudTrail-gebeurtenis die de bewerking, de sleutel-ARN, de aanvragende IAM-identiteit, het bron-IP-adres, de regio en het tijdstempel vastlegt. Beheergebeurtenissen (sleutelaanmaak, wijzigingen in sleutelbeleid, ScheduleKeyDeletion, DisableKey) zijn altijd ingeschakeld. Gegevensgebeurtenissen (GenerateDataKey, Decrypt per object-bewerking) moeten afzonderlijk worden ingeschakeld voor gereguleerde workloads en bieden het per-bewerking identiteitsgekoppelde auditspoor dat vereist is door PCI DSS-vereiste 10, HIPAA Audit Control (45 CFR 164.312(b)) en FedRAMP AU-controles.

AWS CloudHSM-auditregistratie werkt anders. Gebeurtenissen op infrastructuurniveau (aanmaken van een HSM-cluster, toevoegen/verwijderen van een HSM-instantie, verwijderen van een cluster) verschijnen in CloudTrail. Sleutelbewerkingen die binnen de HSM worden uitgevoerd (aanmaken, versleutelen, ondertekenen en ontsleutelen van sleutels binnen de HSM-partitie) worden echter vastgelegd in het interne auditlogboek van de HSM zelf, niet in CloudTrail. Het HSM-auditlogboek kan worden geëxporteerd naar CloudWatch Logs of een S3-bucket voor bewaring en analyse, maar dit is niet dezelfde native CloudTrail-integratie als die van KMS. Voor omgevingen waar de auditor CloudTrail-bewijs verwacht voor elke cryptografische bewerking, vereist het CloudHSM-auditlogboek extra tools om de gegevens te aggregeren en in hetzelfde formaat te presenteren.

Aangepaste sleutelopslag: beide services samen gebruiken

Met de functie voor aangepaste sleutelopslag in AWS KMS kunt u de operationele eenvoud van KMS combineren met de hardware-isolatie van CloudHSM volgens FIPS 140-2 niveau 3. Wanneer u een aangepaste sleutelopslag configureert, koppelt u uw CloudHSM-cluster aan AWS KMS. KMS-sleutels die in die aangepaste sleutelopslag worden aangemaakt, genereren hun sleutelmateriaal binnen uw CloudHSM-cluster in plaats van in de standaard KMS-infrastructuur voor meerdere tenants. Het sleutelmateriaal is niet-exporteerbaar en verlaat uw CloudHSM-cluster nooit in platte tekst.

Het praktische voordeel: alle meer dan 100 AWS-service-integraties blijven werken via de normale KMS API. S3 SSE-KMS, EBS-encryptie, RDS-encryptie, Secrets Manager-encryptie en elke andere KMS-geïntegreerde service kunnen een sleutel gebruiken die wordt ondersteund door uw CloudHSM-cluster. Vanuit het perspectief van de applicatie en de AWS-service is de sleutel gewoon een KMS-sleutel; de CloudHSM-ondersteuning is transparant.

Belangrijke beperkingen voor aangepaste sleutelarchieven: er zijn minimaal twee actieve HSM's in verschillende beschikbaarheidszones vereist. Als uw CloudHSM-cluster niet beschikbaar is, kan KMS geen bewerkingen uitvoeren op sleutels in dat aangepaste sleutelarchief. Dit betekent dat elke applicatie of AWS-service die deze sleutels gebruikt, niet meer werkt totdat het cluster is hersteld. Deze beschikbaarheidsafhankelijkheid is het grootste operationele risico van de architectuur met aangepaste sleutelarchieven. Ontwerp uw CloudHSM-cluster met dezelfde beschikbaarheidsdoelstelling als de applicaties waarvan de encryptiesleutels erin zijn opgeslagen.

Voor alle operationele details van de integratie van de aangepaste sleutelopslag en de mechanismen van de KMS-sleutelhiërarchie, raadpleeg onze AWS KMS Deep Dive.

Hoe te kiezen: een beslissingskader voor AWS KMS versus CloudHSM

Gebruik dit beslissingskader om de juiste dienst voor uw werkzaamheden te selecteren:

eis	Aanbevolen service
Versleutel S3, EBS, RDS, DynamoDB of andere AWS-services met minimale configuratie.	AWS KMS (native integratie)
FIPS 140-2 Niveau 2-validatie is acceptabel.	AWS KMS
FIPS 140-2 Level 3-hardware is vereist.	AWS CloudHSM (of een aangepaste KMS-sleutelopslag die door CloudHSM wordt ondersteund)
AWS moet volledig worden uitgesloten van de belangrijkste vertrouwensgrens.	AWS CloudHSM (HYOK/client-side encryptie)
Auditlogboek per bewerking in CloudTrail via native AWS-integratie	AWS KMS
Automatische sleutelrotatie volgens een instelbaar schema.	AWS KMS
PKCS#11-, JCE-, CNG- of OpenSSL-API-toegang tot de HSM	AWS CloudHSM
Beveiliging van de privésleutel van een CA voor een PKI-certificaatinstantie	AWS CloudHSM
TLS/SSL-offload, versleuteling van betalings-PIN, TDE-hoofdsleutel voor databases	AWS CloudHSM
BYOK met door de klant beheerde sleutelgeneratiebron op niveau 3	Genereer in CloudHSM; importeer in KMS (of bewaar in CloudHSM)
FedRAMP Gematigd	AWS KMS (door de klant beheerde sleutels)
FedRAMP High (FIPS 140-2 Niveau 3 vereist onder SC-12)	CloudHSM aangepaste sleutelopslag of AWS CloudHSM rechtstreeks.
PCI DSS v4.0.1 (meeste vereisten)	AWS KMS met door de klant beheerde sleutels + CloudTrail-gegevensgebeurtenissen
PCI DSS-vereiste 3.7.1 (sleutelgeneratie in HSM)	CloudHSM aangepaste sleutelopslag of CloudHSM als BYOK-bron
Laagste operationele overheadkosten	AWS KMS
Laagste prijs voor een klein aantal sleutels	AWS KMS (1 dollar per sleutel per maand versus circa 2,100 dollar per maand voor een CloudHSM-cluster met 2 HSM-servers)

Kostenvergelijking

De kosten voor AWS KMS bedragen $ 1.00 per door de klant beheerde sleutel per maand. Voor door AWS beheerde en in eigendom zijnde sleutels zijn er geen opslagkosten. API-aanroepen kosten $ 0.03 per 10,000 verzoeken (symmetrische bewerkingen). Voor S3-workloads met een hoog volume reduceert S3 Bucket Key het aantal KMS API-aanroepen met wel 99%, waardoor de kosten per bewerking drastisch dalen. Voor de meeste workloads bedragen de KMS-kosten tientallen dollars per maand, niet honderden.

Kosten voor AWS CloudHSM: ongeveer $ 1.45 per uur per HSM-instantie (prijzen kunnen wijzigen; controleer de actuele prijzen op aws.amazon.com). Een enkele HSM kost ongeveer $ 1,050 per maand. De minimale productieconfiguratie (twee HSM's in aparte beschikbaarheidszones voor hoge beschikbaarheid) kost ongeveer $ 2,100 per maand. Er worden geen kosten per API-aanroep in rekening gebracht voor CloudHSM-bewerkingen. Grotere clusters voor een hogere cryptografische doorvoer kosten ongeveer $ 1,050 per extra HSM per maand extra.

Het kostenverschil is aanzienlijk. Een enkele door de klant beheerde KMS-sleutel kost ongeveer $12 per jaar. Een CloudHSM-cluster met twee HSM's kost ongeveer $25,200 per jaar. CloudHSM is economisch gezien zinvol wanneer een hoog volume aan cryptografische bewerkingen zou leiden tot hoge kosten voor KMS API-aanroepen die de vaste kosten van CloudHSM overschrijden, of wanneer hardware van niveau 3 of specifieke huurdersvereisten CloudHSM operationeel noodzakelijk maken, ongeacht de kosten.

Nalevingsmapping

PCI DSS v4.0.1 (verplicht sinds 31 maart 2025): AWS KMS met door de klant beheerde sleutels voldoet aan vereiste 3.5.1 (sterke cryptografie voor opgeslagen PAN's) en vereiste 3.7.4 (sleutelrotatie) met automatische rotatie ingeschakeld. CloudTrail Data Access-gebeurtenissen voldoen aan vereiste 10. Voor vereiste 3.7.1 (sleutelgeneratie met behulp van een HSM) is een aangepaste CloudHSM-sleutelopslag of CloudHSM als BYOK-generatiebron vereist, aangezien standaard KMS niet valideert op niveau 3.

FedRAMP: Standaard AWS KMS (FIPS 140-2 Niveau 2) voldoet aan de FedRAMP Moderate SC-12- en SC-28-vereisten. FedRAMP High vereist FIPS 140-2 Niveau 3-gevalideerde modules voor cryptografisch sleutelbeheer; hiervoor is AWS CloudHSM of een aangepaste KMS-sleutelopslag met CloudHSM-ondersteuning nodig. Zowel AWS KMS als CloudHSM zijn inbegrepen in het AWS FedRAMP High-autorisatiepakket.

HIPAA: AWS KMS met door de klant beheerde sleutels voldoet aan de HIPAA Technical Safeguard for Encryption and Decryption (45 CFR 164.312(a)(2)(iv)) voor ePHI in rust. De Business Associate Agreement (BAA) van AWS dekt zowel KMS als CloudHSM. CloudTrail Data Access-gebeurtenissen voldoen aan de Audit Control-standaard (45 CFR 164.312(b)). Voor organisaties met HIPAA-risicoanalyses die dedicated hardware of toegang tot sleutels van de cloudprovider vereisen, voldoet CloudHSM aan beide vereisten.

DORA (Digital Operational Resilience Act, van toepassing op financiële instellingen in de EU sinds 17 januari 2025): Artikel 9 en 10 van DORA vereisen ICT-risicobeheer en operationele veerkracht, inclusief veerkracht van sleutelbeheer. Zowel KMS (sleutelreplicatie met meerdere beschikbaarheidszones en automatische rotatie) als CloudHSM (clusterconfiguratie met meerdere beschikbaarheidszones) ondersteunen de veerkrachtvereisten van DORA wanneer ze correct geconfigureerd zijn.

Multi-cloud sleutelbeheerarchitectuur

Noch AWS KMS, noch AWS CloudHSM biedt van nature ondersteuning voor Azure, GCP of on-premises omgevingen. Organisaties die met meerdere cloudproviders werken, hebben een expliciete strategie nodig voor het beheer van cryptografische sleutels buiten de AWS-omgeving.

• Per-cloud native KMS met gecentraliseerd beheer: Gebruik AWS KMS voor AWS-workloads, Azure Key Vault voor Azure en GCP Cloud KMS voor GCP. Een gecentraliseerd platform voor het beheer van de sleutellevenscyclus aggregeert inventarisgegevens, rotatiestatus en auditlogboeken van alle drie de providers. De gegevens van elke cloud worden beschermd door het eigen KMS van die cloud, zonder dat er latentie tussen de clouds ontstaat. Dit is het meest operationeel efficiënte model voor multi-cloudomgevingen.
• CloudHSM als gedeelde BYOK-generatiebron: Genereer al het sleutelmateriaal vanuit een CloudHSM-cluster dat toegankelijk is in alle clouds. Importeer de afgeleide sleutels in AWS KMS voor AWS-workloads, Azure Key Vault voor Azure-workloads en GCP Cloud KMS voor GCP-workloads. Alle encryptie is terug te voeren op één gezaghebbende hardwarebron van niveau 3. Encryption Consulting's HSM als een service Biedt de externe FIPS 140-2 Level 3 HSM-infrastructuur voor dit model wanneer een onafhankelijke (niet-AWS) HSM-bron de voorkeur heeft.
• Externe HSM als een service voor HYOK in alle clouds: Versleutel gegevens op applicatie- of pipelineniveau voordat ze een cloudprovider bereiken, met behulp van sleutels die worden bewaard in een externe HSM als een service. Alle clouds slaan alleen versleutelde gegevens op. Dit biedt de sterkste soevereiniteit tussen clouds en elimineert alle drie de cloudproviders uit de sleutelvertrouwensketen, ten koste van de complexiteit van de applicatie en de beschikbaarheidseisen van de externe HSM.

Hoe encryptieconsultancy kan helpen

Encryption Consulting is een bedrijf gespecialiseerd in toegepaste cryptografie met ISO/IEC 27001:2022- en SOC 2-certificeringen. Wij helpen organisaties bij het evalueren, ontwerpen en implementeren van AWS KMS- en CloudHSM-architecturen, van de initiële serviceselectie tot het continu genereren van bewijsmateriaal voor naleving.

• Architectuurontwerp voor AWS KMS en CloudHSM: We evalueren uw compliancevereisten, dreigingsmodel, operationele capaciteit en workloadkenmerken om de juiste combinatie van KMS, CloudHSM en aangepaste sleutelopslag aan te bevelen. We ontwerpen de sleutelhiërarchie, het IAM-sleutelbeleidsmodel, het rotatieschema en de routering van auditlogboeken voor elke service. Bekijk onze cloudadviesdiensten.
• HSM als een service: Voor BYOK-implementaties die FIPS 140-2 Level 3-sleutelgeneratie buiten AWS vereisen, of voor HYOK-architecturen die een extern sleutelbeheersysteem vereisen, biedt Encryption Consulting de volgende oplossingen. HSM als een service Biedt een dedicated HSM-infrastructuur die gelijktijdig toegankelijk is vanuit AWS, Azure en GCP. Dient als een CloudHSM-alternatief voor organisaties die Level 3-hardware nodig hebben zonder de operationele complexiteit van het beheren van een CloudHSM-cluster.
• CBOM Secure voor AWS Cryptografische Ontdekking: AWS-omgevingen bevatten vaak inconsistente KMS-configuraties: een mix van sleutels in eigendom van AWS, door AWS beheerde sleutels en door de klant beheerde sleutels met uiteenlopende beleidsregels en rotatieschema's. Encryption Consulting's CBOM Secure Ontdekt en inventariseert alle KMS-sleutelconfiguraties, CloudHSM-clusters en toegangsbeleidsregels voor sleutels in alle AWS-accounts, en genereert een cryptografische materiaallijst (CBOM) in CycloneDX-formaat die nalevingslacunes identificeert en ondersteuning biedt voor de PCI DSS v4.0.1-vereiste 12.3.3-documentatie.
• Advies over PCI DSS- en FedRAMP-naleving: We brengen uw AWS KMS- en CloudHSM-configuratie in kaart en stemmen deze af op de specifieke vereisten van PCI DSS v4.0.1, FedRAMP High, HIPAA, DORA en NIST SP 800-53 Rev. 5. We identificeren hiaten in de controle, stellen het compliance-bewijspakket samen en ondersteunen u bij vragen van QSA's en assessoren. Bekijk onze Nalevingsadviesdiensten.
• PQC-gereedheid: NIST heeft in augustus 2024 de post-kwantumcryptografiestandaarden FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA) afgerond. NIST IR 8547 geeft aan dat RSA en ECC voor nieuwe toepassingen rond 2030 uitgefaseerd zouden moeten worden. Zowel KMS als CloudHSM RSA/ECC asymmetrische sleutels zullen moeten worden gemigreerd. Encryption Consulting's PQC-gereedheid De service brengt uw AWS-sleutelportfolio in kaart ten opzichte van de migratietijdlijn na de quantumovergang.

Neem contact op met Encryption Consulting om uw AWS KMS- en CloudHSM-architectuur of compliancevereisten te bespreken.

Conclusie

AWS KMS en AWS CloudHSM vervullen verschillende rollen in de AWS-stack voor cryptografisch sleutelbeheer. KMS is de juiste standaardkeuze voor de meeste AWS-encryptieworkloads: het is volledig beheerd, integreert naadloos met alle belangrijke AWS-services, biedt automatische sleutelrotatie, levert een CloudTrail-auditlogboek per bewerking en voldoet aan de meeste wettelijke workloadvereisten op FIPS 140-2 niveau 2. CloudHSM is de juiste keuze wanneer een strikte vereiste FIPS 140-2 niveau 3-hardware vereist, wanneer AWS volledig moet worden uitgesloten van de sleutelvertrouwensketen of wanneer een applicatie directe PKCS#11/JCE/CNG/OpenSSL-toegang tot een HSM nodig heeft.

De aangepaste sleutelopslagarchitectuur overbrugt beide services: hardwarematige beveiliging op niveau 3 voor sleutels die worden gebruikt via de volledige KMS API en alle native AWS-service-integraties. Voor de meeste organisaties die uiteindelijk CloudHSM-functionaliteit nodig hebben, is de aangepaste sleutelopslag de architectuur die beide biedt zonder dat een migratie van KMS nodig is.

Voor een uitgebreidere bespreking van de beveiligingsevaluatie en vertrouwensgrenzen van AWS KMS, raadpleegt u onze handleiding ' Hoe veilig zijn de Key Management Services van Amazon (AWS KMS)?'. Voor informatie over de operationele mechanismen van KMS, waaronder workflows voor het aanmaken van sleutels, envelopversleuteling en datasleutelpatronen, raadpleegt u onze AWS KMS Deep Dive.

Veelgestelde Vragen / FAQ

Wat is het verschil tussen AWS KMS en AWS CloudHSM?

AWS KMS is een volledig beheerde, multi-tenant sleutelbeheerservice met FIPS 140-2 Level 2 gevalideerde HSM's. AWS beheert de hardware. U bepaalt het sleutelbeleid en de sleutelrotatie. AWS CloudHSM biedt dedicated fysieke HSM-hardware voor één tenant, gevalideerd volgens FIPS 140-2 Level 3, in uw VPC. AWS beheert de fysieke hardware, maar heeft geen toegang tot uw sleutels of HSM-partities. U beheert HSM-gebruikers, sleutelmateriaal en authenticatie los van AWS IAM.

Wanneer moet ik AWS KMS gebruiken in plaats van CloudHSM?

Gebruik AWS KMS wanneer u native integratie met S3, EBS, RDS, Lambda of andere AWS-services nodig hebt, automatische sleutelrotatie en CloudTrail-auditregistratie per bewerking wilt, en waar FIPS 140-2 Level 2 multi-tenant hardware acceptabel is. KMS dekt de meeste gereguleerde workloads, waaronder HIPAA, PCI DSS (met door de klant beheerde sleutels en data-eventregistratie) en FedRAMP Moderate. Begin met KMS, tenzij een specifieke vereiste u dwingt om CloudHSM te gebruiken.

Wanneer moet ik AWS CloudHSM gebruiken in plaats van KMS?

Gebruik CloudHSM wanneer FIPS 140-2 Level 3 dedicated single-tenant hardware vereist is (FedRAMP High, eIDAS), wanneer AWS volledig uit de sleutelvertrouwensketen moet worden uitgesloten, of wanneer een applicatie directe PKCS#11-, JCE-, CNG- of OpenSSL-API-toegang tot de HSM vereist (bescherming van CA-privésleutels, TLS-offload, betalings-PIN-bewerkingen, database TDE). CloudHSM brengt aanzienlijke operationele overhead met zich mee en kost ongeveer $ 2,100 per maand voor een minimale HA-configuratie.

Wat is BYOK in AWS KMS en hoe verschilt het van BYOK in CloudHSM?

BYOK in KMS betekent dat u extern sleutelmateriaal genereert, dit verpakt en importeert in een KMS-sleutel (Oorsprong: EXTERNAL). AWS gebruikt uw geïmporteerde materiaal; u behoudt het origineel buiten AWS; het verwijderen van de import ontneemt AWS onmiddellijk de mogelijkheid om het te gebruiken. AWS behoudt operationele toegang tot de sleutel zolang deze zich in KMS bevindt en automatische rotatie is niet beschikbaar. CloudHSM BYOK betekent dat de sleutel in uw CloudHSM-cluster blijft; AWS heeft er nooit toegang toe. CloudHSM kan ook dienen als de Level 3-generatiebron voor sleutels die in KMS worden geïmporteerd.

Kunnen AWS KMS en CloudHSM samen gebruikt worden?

Ja, via de KMS-functie voor aangepaste sleutelopslag. Een aangepaste sleutelopslag koppelt uw CloudHSM-cluster aan KMS. KMS-sleutels die in de aangepaste sleutelopslag worden aangemaakt, krijgen hun materiaal gegenereerd en opgeslagen in uw CloudHSM-cluster (FIPS 140-2 niveau 3), terwijl alle meer dan 100 native AWS-service-integraties blijven werken via de normale KMS API. Dit biedt u hardwarebeveiliging op niveau 3 met gelijktijdige native AWS-service-integratie. Het nadeel: de beschikbaarheid van uw CloudHSM-cluster heeft direct invloed op de beschikbaarheid van KMS-sleutels.

Wat kosten AWS KMS en CloudHSM?

AWS KMS: $ 1.00 per door de klant beheerde sleutel per maand, plus $ 0.03 per 10,000 API-aanroepen. Voor door AWS beheerde en in AWS-eigendom zijn er geen opslagkosten. AWS CloudHSM: circa $ 1.45 per uur per HSM (ongeveer $ 1,050 per maand per HSM). Een minimale HA-productieconfiguratie (2 HSM's) kost circa $ 2,100 per maand of $ 25,200 per jaar. Er worden geen kosten per API-aanroep in rekening gebracht voor CloudHSM-bewerkingen. Een enkele KMS-sleutel kost ongeveer $ 12 per jaar; een CloudHSM-cluster met 2 HSM's kost ongeveer $ 25,200 per jaar.