Il KMS nativo è il livello di gestione delle chiavi integrato del provider cloud. Viene usato per creare, archiviare, ruotare, disabilitare e verificare chiavi crittografiche all'interno del piano di controllo del provider stesso. In pratica, è il controllo di crittografia di prima linea per i carichi di lavoro cloud, a supporto di funzioni come la crittografia di dischi, archiviazione oggetti e database senza richiedere un servizio di chiavi separato.
Il KMS nativo è importante perché la custodia delle chiavi definisce il vero confine di sicurezza. Se un attaccante raggiunge solo lo storage cifrato, i dati potrebbero rimanere illeggibili. Ma se compromette le autorizzazioni IAM, i ruoli di servizio o i diritti di amministrazione del KMS, potrebbe essere in grado di decifrare i dati, ricoprire le chiavi o indebolire i controlli di accesso. I difensori si affidano al privilegio minimo, alla separazione dei compiti, alla registrazione dei log e alla rotazione regolare per ridurre tale rischio. Per esigenze di conformità più rigorose o di sovranità, le organizzazioni possono andare oltre il KMS nativo e passare a un controllo delle chiavi esterno o a livello di applicazione.