A equipe de engenharia de uma empresa está desenvolvendo um aplicativo que cria concessões de chaves gerenciadas pelo cliente (customer managed key grants) do AWS Key Management Service (AWS KMS) para usuários. Imediatamente após a criação de uma concessão, os usuários devem ser capazes de usar a chave KMS para criptografar um payload de 512 bytes. Durante os testes de carga, erros de AccessDeniedException ocorrem ocasionalmente na primeira tentativa de criptografia. O que o especialista em segurança deve recomendar para eliminar esses erros?

O AWS KMS tem um modelo de consistência eventual para concessões. Isso significa que, imediatamente após a criação de uma concessão, pode haver um pequeno atraso antes que a concessão seja totalmente propagada e utilizável. A AccessDeniedException ocorre porque a concessão ainda não está ativa. A solução correta é que a equipe de engenharia passe o GrantToken retornado pela chamada CreateGrant para os usuários. Os usuários devem então incluir este GrantToken em suas chamadas Encrypt. Isso força o KMS a verificar o estado da concessão imediatamente, garantindo que a operação seja bem-sucedida mesmo antes da propagação eventual. As outras opções são incorretas: A repetição com um atraso fixo de 2 minutos pode funcionar, mas é uma solução ineficiente e não garante o sucesso imediato, além de não ser a prática recomendada. Chamar CreateGrant com um token aleatório fornecido pelo usuário ou um nome de concessão aleatório não resolve o problema de consistência eventual, pois o token de concessão que garante a consistência é gerado pelo KMS, não pelo usuário.