Um aplicativo usa o AWS KMS para criptografar dados antes de colocá-los em um bucket do Amazon S3 em uma região da AWS. A política da empresa exige que os dados sejam criptografados antes do upload e descriptografados pelo aplicativo na leitura. O bucket do S3 é replicado para outras regiões. O aplicativo deve ser capaz de criptografar e descriptografar os dados entre regiões e usar a mesma chave para descriptografia em todas as regiões. Qual solução atende a esses requisitos?

A criação de uma chave primária multi-Region do KMS e chaves de réplica multi-Region em cada região adicional atende aos requisitos porque as chaves multi-Region do KMS têm o mesmo material de chave e ID de chave em todas as regiões, permitindo que os dados criptografados em uma região sejam descriptografados em qualquer outra região usando a chave correspondente. Isso garante que a mesma chave seja usada para descriptografia em todas as regiões. As outras opções são incorretas porque: Criar uma chave KMS gerenciada pelo cliente separada em cada região resultaria em chaves diferentes, impedindo a descriptografia entre regiões. Usar o AWS Private Certificate Authority não é relevante para criptografia de dados com KMS. Exportar material de chave do KMS e armazená-lo no Systems Manager Parameter Store não é uma prática recomendada de segurança e não aproveita os recursos de gerenciamento de chaves do KMS para chaves multi-Region.