AWS KMS agora rastreia o último uso de todas as chaves KMS

O que mudou no AWS KMS

A AWS anunciou uma melhoria importante no Serviço de Gerenciamento de Chaves (KMS): a partir de agora, o serviço registra automaticamente o último uso criptográfico de cada chave KMS. Isso elimina a necessidade de consultar e analisar logs manualmente para descobrir quando uma chave foi utilizada pela última vez.

Para equipes de segurança e conformidade, essa visibilidade é um ganho real no dia a dia. Antes, identificar se uma chave estava ativa ou abandonada exigia cruzar dados do AWS CloudTrail de forma manual — um processo trabalhoso e sujeito a erros.

O que é possível visualizar

Com o novo recurso, é possível consultar, diretamente pelo console de gerenciamento do AWS KMS ou via API, as seguintes informações sobre cada chave:

• O timestamp da última operação criptográfica realizada;
• O tipo de operação que foi executada;
• O ID do evento no AWS CloudTrail associado àquela operação.

Casos de uso práticos

A AWS destaca três aplicações diretas para esse novo recurso:

• Identificar chaves sem uso para limpeza e organização do ambiente;
• Confirmar que chaves críticas estão sendo usadas ativamente, o que é essencial para auditorias de conformidade;
• Rastrear como as chaves são utilizadas em conjunto com o AWS CloudTrail, facilitando investigações e revisões de segurança.

Proteção contra exclusão acidental

Além da visibilidade, a atualização traz uma nova condition key chamada kms:TrailingDaysWithoutKeyUsage. Ela permite criar políticas que protegem chaves usadas recentemente contra exclusão acidental — ou seja, é possível configurar uma regra que impeça a remoção de qualquer chave que tenha sido utilizada nos últimos N dias.

Esse tipo de proteção baseada em política reduz o risco operacional em ambientes onde múltiplas equipes gerenciam chaves, tornando o controle mais robusto sem depender apenas de processos manuais.

Disponibilidade

O recurso já está disponível em todas as regiões AWS onde o KMS opera, incluindo as regiões comerciais globais, as regiões AWS GovCloud (US) e as regiões AWS China. Para mais detalhes técnicos, a documentação oficial traz um guia completo sobre como determinar o uso passado de uma chave KMS no AWS KMS Developer Guide.

Fonte

AWS KMS now tracks last usage of all KMS keys (https://aws.amazon.com/about-aws/whats-new/2026/04/aws-kms-tracks-last-usage-kms-keys/)