Módulo 3 · Cuentas, identidad y acceso/Lección 18
Cifrado y secretos: KMS, Secrets Manager y ACM
Cifrado en tránsito y en reposo, llaves administradas y un lugar seguro para contraseñas y certificados.
Cifrar es transformar los datos para que solo quien tenga la llave pueda leerlos. Se cifra en dos momentos: mientras los datos viajan (en tránsito) y mientras están guardados (en reposo). En el modelo de responsabilidad compartida, decidir qué cifras y quién usa las llaves es tu trabajo; AWS te da las herramientas.
En tránsito y en reposo
| Criterio | En tránsito | En reposo |
|---|---|---|
| Protege contra | Que alguien lea o altere los datos mientras viajan por la red | Que alguien lea los datos si obtiene el disco, el archivo o la copia |
| Cómo | TLS (HTTPS), VPN con IPsec | Cifrado del almacenamiento con llaves de KMS |
| Ejemplos en AWS | HTTPS en un balanceador con certificado de ACM; Site-to-Site VPN | S3 cifra los objetos nuevos por defecto; volúmenes EBS, RDS y DynamoDB cifrados |
| Pieza clave | Certificados (ACM) | Llaves (KMS) |
AWS KMS: llaves administradas
AWS Key Management Service crea y guarda llaves en módulos de seguridad de hardware (HSM) que AWS opera. Tú controlas quién puede usar cada llave con su política de llave y con IAM, y cada uso queda registrado en CloudTrail. Se integra con la mayoría de servicios: casi siempre activar el cifrado es elegir una llave en un menú.
Para datos grandes, KMS usa cifrado de sobre (envelope encryption): KMS genera una llave de datos, el servicio cifra tus datos con ella y guarda la llave de datos cifrada por la llave de KMS al lado de los datos. Para leer, pide a KMS que descifre la llave de datos. Así la llave principal nunca sale de KMS y los datos no viajan hasta KMS.
AWS CloudHSM es otra cosa: te da HSM dedicados, de un solo inquilino, dentro de tu VPC, donde solo tú administras las llaves. Se elige cuando una regulación o un contrato exige control exclusivo del hardware, o cuando una aplicación necesita interfaces estándar como PKCS#11. Para casi todo lo demás, KMS es más simple.
Secretos: fuera del código
Una contraseña de base de datos escrita en el código termina en el repositorio, en los logs y en el portátil de alguien. Los secretos se guardan en un servicio y la aplicación los pide al arrancar, usando su rol de IAM.
| Criterio |  AWS Secrets Manager |  Parameter Store |
|---|---|---|
| Para qué | Secretos: contraseñas de bases de datos, llaves de API, tokens | Configuración y secretos simples, en jerarquías como /app/prod/url |
| Rotación automática | Sí, programada; integración nativa con RDS, Aurora, Redshift y DocumentDB, y con Lambda para lo demás | No incluida |
| Cifrado | Siempre, con KMS | Opcional: parámetros SecureString cifrados con KMS |
| Cuándo elegirlo | Credenciales que deben cambiar solas sin tocar la app | Parámetros de configuración y valores que rara vez cambian |
ACM: certificados para HTTPS
AWS Certificate Manager emite y administra certificados TLS. Los públicos los instalas con un clic en servicios integrados, como Elastic Load Balancing, CloudFront y API Gateway, y ACM los renueva solo antes de que venzan. Un certificado vencido es una de las caídas más evitables que existen.
AWS KMS
La caja fuerte de llaves
Crea y controla llaves de cifrado; cifra datos en reposo en casi todos los servicios.
AWS CloudHSM
Una caja fuerte propia, solo para ti
HSM dedicados bajo tu control exclusivo, para requisitos estrictos.AWS Secrets Manager
El casillero de contraseñas que cambia la clave solo
Guarda secretos y los rota de forma automática.Parameter Store
El tablero de avisos con cajones con llave
Parte de AWS Systems Manager. Configuración jerárquica y secretos simples.
AWS Certificate Manager
El sello oficial que prueba quién eres
Certificados TLS para HTTPS, con renovación automática en servicios integrados.
Quiz
Pon a prueba lo que aprendiste
0 de 5 correctas · 5 sin responder
1.Una aplicación usa una contraseña de RDS que debe cambiar cada 30 días sin modificar el código. ¿Qué servicio es el indicado?
2.Una regulación exige que la empresa tenga control exclusivo de HSM dedicados de un solo inquilino. ¿Qué servicio cumple?
3.¿Qué protege el cifrado en tránsito?
4.¿Qué servicio emite certificados TLS públicos y los renueva automáticamente para un Application Load Balancer?
5.Necesitas definir quién puede usar una llave, activar su rotación y poder desactivarla. ¿Qué tipo de llave de KMS eliges?