AWS CloudHSM
Ein dediziertes HSM im Rechenzentrum von Amazon, bei dem der Kunde und nicht Amazon die Schlüssel hält.
Der Unterschied zum Key Management Service KMS liegt darin, wer das Modul kontrolliert. KMS ist geteilte Infrastruktur, und man vertraut darauf, dass die AWS-Richtlinien halten; CloudHSM stellt dagegen ein HSM nur für einen Mandanten in das eigene Netzwerk, die Benutzer verwaltet man selbst, und AWS hat keinen Zugang zum Schlüsselmaterial. Verliert man seine Zugangsdaten, gibt es kein Support-Ticket, das die Schlüssel zurückbringt.
Das Original von 2013 lief auf gemieteten SafeNet-Luna-Appliances. Die aktuelle Generation seit 2017 läuft als Cluster FIPS-140-validierter Module, angesprochen über PKCS#11, Java JCE oder Microsoft CNG. Sie lässt sich auch als eigener Schlüsselspeicher hinter KMS einhängen — für alle, die die Integrationen von KMS wollen, ohne die Kontrolle abzugeben.