Le chiavi gestite dal cliente (CMK) sono chiavi di crittografia che il cliente crea, archivia, ruota e controlla, invece di affidare questo controllo al provider cloud. Il servizio può comunque crittografare i dati, ma il provider non può usare o divulgare completamente il contenuto protetto senza l'autorizzazione del cliente o l'accesso alla chiave.
Le CMK sono importanti perché il controllo della chiave è spesso controllo dei dati. In ambito di cyber security, riducono il rischio che un provider, un amministratore o una terza parte possa accedere ai dati in chiaro tramite uso improprio interno, coercizione legale o una compromissione lato provider. Sono anche una difesa comune per i carichi di lavoro regolamentati, in cui le organizzazioni necessitano di una maggiore verificabilità, separazione dei compiti e della possibilità di revocare rapidamente l'accesso. Negli ambienti reali, le CMK sono efficaci solo se le chiavi sono davvero isolate, supportate da un processo di gestione delle chiavi recuperabile e testate per il failover e l'uscita dal servizio. Una strategia delle chiavi difettosa può trasformare la crittografia in un blocco dell'accesso invece che in una protezione.