KMS administra claves criptográficas que usan servicios AWS para proteger datos. No sustituye la gestión de acceso IAM ni el cifrado TLS en tránsito.

Por qué importa en una infraestructura moderna

SNS y SQS admiten cifrado en reposo. Puede bastar con las opciones administradas del servicio o requerirse una clave administrada por el cliente si se necesitan permisos y control más específicos.

Cómo utilizarlo correctamente

Antes de elegir claves propias, revisa políticas, permisos de los servicios, rotación y coste. Un error en una política KMS puede impedir procesar mensajes, y eliminar la clave que protege datos puede volverlos inaccesibles. Controla políticas de retención al borrar pilas.

¿Cuándo conviene utilizar AWS KMS?

Es útil cuando resuelve una necesidad real de arquitectura; incluir todos los servicios en una plantilla solo porque existen añade complejidad, permisos y costes. Empieza con el flujo más pequeño posible, documenta las responsabilidades, trabaja primero en pruebas y crea alarmas de coste y operación.

Infraestructura como código con CloudFormation

Cuando haya que repetir el despliegue, usa una plantilla versionada que describa los recursos pertinentes y sus relaciones. Revisa los permisos antes de ejecutar cambios. Para aprender se puede empezar desde la consola de AWS y pasar a AWS CLI después.

Artículos de esta serie

Referencia oficial

Documentación de AWS sobre AWS KMS.

Cifrado en reposo, en tránsito y control de claves

KMS administra claves criptográficas que pueden proteger datos en servicios de AWS. No reemplaza HTTPS/TLS, que protege comunicaciones en tránsito. Tampoco reemplaza IAM, que decide quién tiene permiso para actuar. En un sistema de eventos, los mensajes pueden cifrarse mientras permanecen en SQS o SNS, pero además hay que restringir quién puede leerlos.

Ejemplo SNS → SQS con cifrado

Una cola recibe eventos que incluyen identificadores de pedidos. Se puede activar cifrado administrado por el propio servicio o configurar una clave de KMS gestionada por el cliente. En el segundo caso, la política de la clave y los permisos de productores y consumidores deben permitir las operaciones criptográficas necesarias. Un error puede hacer que SNS publique correctamente pero SQS rechace la entrega.

¿Hace falta crear una clave propia?

No siempre. Si bastan las opciones de cifrado que ofrece el servicio, una clave gestionada por AWS o el cifrado propio de SQS puede simplificar la operación. Una clave de cliente tiene sentido cuando necesitas control fino del acceso, trazabilidad específica, determinadas políticas o requisitos internos de segregación. A cambio, añade costes de clave y uso de API, permisos y riesgos operativos.

Rotación, eliminación y recuperación

Revisa las opciones de rotación según el tipo de clave. Deshabilitar o programar la eliminación de una clave utilizada puede impedir recuperar información previamente cifrada. Nunca borres claves porque «ya no parecen usarse» sin inventariar los datos y recursos asociados. Para infraestructuras gestionadas con CloudFormation, considera políticas de retención, copias y separación del ciclo de vida de las claves respecto a recursos efímeros.

Qué aporta a una Lambda

Lambda puede necesitar permisos KMS si procesa datos protegidos con claves propias, pero no por el mero hecho de existir. No concedas kms:Decrypt de forma global. Utiliza ARN, condiciones y políticas adecuados, documenta el flujo de cifrado y prueba errores de acceso en un entorno seguro.

Guías relacionadas de Laraflex

CloudFormation · Amazon SNS · Amazon SQS · AWS Lambda · AWS IAM · AWS Secrets Manager

Consulta la documentación oficial de AWS para ampliar y contrastar los detalles técnicos.