Clé KMS gérée par le client

Les données RH doivent être chiffrées avec une clé gérée par l'entreprise. Travaillez depuis ~/kms.

1. aws kms create-key --description "Chiffrement données RH" --key-usage ENCRYPT_DECRYPT --key-spec SYMMETRIC_DEFAULT
2. Alias alias/donnees-rh sur la clé créée (create-alias --alias-name … --target-key-id <KeyId>)
3. Rotation automatique : aws kms enable-key-rotation --key-id <KeyId>
4. Politique politique-cle.json : le compte racine arn:aws:iam::123456789012:root garde l'administration (kms:*), le rôle arn:aws:iam::123456789012:role/app-rh n'obtient que kms:Encrypt, kms:Decrypt, kms:GenerateDataKey ; aucun principal *. Appliquez : aws kms put-key-policy --key-id <KeyId> --policy-name default --policy file://politique-cle.json
5. Comment s'appelle le mécanisme où KMS chiffre une clé de données qui chiffre elle-même les données ? → answer mecanisme <enveloppe|hachage|signature>