AWS KMS

Qué es: AWS Key Management Service (KMS) crea, guarda y controla las claves de cifrado que usan tus servicios, sin que la clave salga nunca de él sin cifrar.

• Integración: S3, EBS, RDS, DynamoDB, Secrets Manager y casi todo servicio que guarda datos piden la clave a KMS. Tú solo eliges qué clave usar.
• Tipos de clave: las administradas por AWS (alias aws/s3, aws/ebs) las crea y rota un servicio por ti; no las controlas. Las administradas por el cliente las creas tú: decides quién las usa, activas su rotación y puedes desactivarlas. Existen además claves propiedad de AWS, que ni siquiera ves en tu cuenta.
• Control: una política de clave (key policy), junto con IAM (Sesión 5), dice quién puede cifrar o descifrar. Cada uso de la clave queda registrado para auditarlo.
• Precio: 1 dólar al mes por clave administrada por el cliente, más las solicitudes; 20.000 solicitudes al mes son gratis.

Analogía: el llavero de un conserje, que presta cada llave solo a quien está en su lista y anota cada préstamo. Dónde falla la analogía: el conserje entrega la llave. KMS casi nunca la entrega: cifra o descifra por ti, o te da una clave de datos protegida por la suya.

Ejemplo real: Boletos Faro cifra el bucket de sus reportes financieros con una clave administrada por el cliente. Solo el rol de finanzas puede usarla para descifrar. Si un empleado de otra área tiene permiso de lectura en S3, descarga el archivo pero no logra descifrarlo.

Úsalo cuando: necesites cifrar datos en servicios de AWS y controlar quién usa la clave. No lo uses cuando: una norma te exija un módulo de hardware dedicado solo a ti (CloudHSM, en el catálogo) o quieras guardar contraseñas de aplicación (Secrets Manager).