La gestione esterna delle chiavi è una configurazione di sicurezza in cui le chiavi di cifratura, spesso le chiavi radice che proteggono altre chiavi o dati, sono custodite al di fuori del controllo diretto di un provider cloud. Un'organizzazione può conservarle in moduli hardware di sicurezza (HSM) di sua proprietà oppure affidarsi a un servizio di terze parti considerato affidabile. Il carico di lavoro nel cloud deve richiedere l'accesso per utilizzare una chiave, nel rispetto dei controlli configurati.
Ciò può ridurre la capacità del provider di accedere autonomamente ai dati protetti e aiutare le organizzazioni a soddisfare i requisiti di governance o normativi. Nelle implementazioni reali, il rilascio delle chiavi può essere soggetto a restrizioni basate su criteri di identità, flussi di approvazione o controlli che verificano l'ambiente del carico di lavoro. Tuttavia, la custodia esterna non elimina ogni dipendenza: i servizi cloud, i sistemi di identità, le procedure di assistenza e le modalità di ripristino possono comunque influire sull'accesso. I team dovrebbero proteggere i backup delle chiavi, testare il ripristino, monitorare le richieste di utilizzo delle chiavi e pianificare eventuali interruzioni o perdite di accesso.