KMS Custom Keystores

• Best of both worlds, KMS y CloudHSM.

• Recibes keys que pueden interactuar con KMS y KMS APIS

• Todas las operaciones de encrypt se hacen en el CloudHSM (via kms)

• Puedes ser FIPS 140-2 level 3.

• No usas HSMS compartidos.

Limitations

• Actualmente solo soporta Symmetric Keys.

• No multi region key support.

• No Automatic key rotation.

• Cada cloudhsm soporta solo 1 custom key store.

• Al hacer la integracion se crea un usuario "kmsuser" necesario para la integracion entre los dos productos.

• El CloudHSM cluster necesita estar en la misma cuenta y region que quieres usar el custom keystore.