AWS CloudHSM

鍵管理サービスのKMSとの違いは、モジュールを誰が管理するかだ。KMSは共有インフラで、AWSのポリシーが守られることを信頼する形になる。CloudHSMはシングルテナントのHSMを自分のネットワークに置き、ユーザー管理も自分で行い、AWSは鍵素材にログインできない。認証情報を失えば、鍵を取り戻せるサポートチケットは存在しない。

2013年の初代はリース品のSafeNet Luna アプライアンスで動いていた。2017年からの現行世代は、FIPS 140認定モジュールのクラスタとして動き、PKCS#11、Java JCE、Microsoft CNG経由で利用する。KMSのカスタムキーストアとして接続することもでき、KMSの連携機能を使いつつ管理権は手放したくない場合に向く。