Serviço de gerenciamento de chaves
Um serviço em nuvem que cria, guarda e usa chaves de criptografia, para que o cliente não precise operar o próprio hardware de chaves.
O AWS KMS foi lançado em 2014, com o Google Cloud KMS e o Azure Key Vault como equivalentes. As chaves, em regra, nunca saem do serviço em texto claro, e o uso pode ser registrado em log. É mais simples do que manter o próprio HSM, mas você passa a confiar na interface do provedor e a torcer para que a fatura de chamadas de API não cresça rápido demais.
O serviço costuma ficar por baixo da criptografia de envelope, de modo que as aplicações só enxergam chaves de dados. Também é um ponto fraco: quando as chamadas ao KMS falham, a descriptografia falha para tudo que depende dele. É tanto um problema de operação quanto de segurança.