A Voxel Media hospeda um data lake com bilhões de pequenos objetos no Amazon S3 usando SSE-KMS com uma CMK gerenciada pelo cliente. Recentemente, as cobranças de solicitação do KMS dispararam e ocorreu throttling ocasional durante picos intensos de PUT/GET. Eles devem manter o SSE-KMS. Qual é a mudança mais eficaz para reduzir as solicitações e os custos do KMS sem alterar a postura de conformidade?

Habilitar S3 Bucket Keys é a solução mais eficaz porque centraliza as solicitações de descriptografia do KMS. Em vez de cada objeto exigir uma chamada individual ao KMS para descriptografar sua chave de dados, uma S3 Bucket Key permite que o S3 gere uma chave de dados temporária do KMS para o bucket, que é então usada para criptografar e descriptografar vários objetos. Isso reduz drasticamente o número de solicitações diretas ao KMS, diminuindo custos e mitigando o throttling. Mudar para SSE-S3 não é uma opção, pois o requisito é manter o SSE-KMS. Solicitar uma cota mais alta do KMS pode mitigar o throttling, mas não reduz o número de solicitações ou os custos associados. Mover para criptografia do lado do cliente com chaves gerenciadas pelo KMS ainda resultaria em uma alta taxa de solicitações ao KMS por objeto, e a complexidade de gerenciamento seria maior.