A HealthSync usa uma chave KMS simétrica gerenciada pelo cliente com material de chave importado (origem EXTERNAL) para criptografar dados de aplicativos. Um novo controle de conformidade exige rotação anual automática gerenciada pela AWS com sobrecarga operacional mínima. Qual é a melhor abordagem para atender a esse requisito?

A rotação automática de chaves gerenciada pela AWS só está disponível para chaves KMS com material de chave gerado pela AWS. Chaves com material de chave importado (origem EXTERNAL) não suportam rotação automática. Portanto, a melhor abordagem é criar uma nova chave KMS com material de chave gerado pela AWS e habilitar a rotação automática nela. Usar um alias estável permite que os aplicativos continuem usando o mesmo identificador lógico, mesmo quando a chave subjacente muda, minimizando a sobrecarga operacional. Habilitar a rotação na chave existente não funcionará devido à origem EXTERNAL. Reimportar material de chave anualmente é uma rotação manual, não automática gerenciada pela AWS. Converter a chave existente em uma chave gerenciada pela AWS não é possível; chaves gerenciadas pela AWS são um tipo diferente de chave KMS.