Uma chave mestra de cliente (CMK) do KMS foi criada com material de chave importado e é referenciada por um alias em um aplicativo Java para criptografia. A organização precisa rotacionar o material da chave a cada seis meses. Qual é o procedimento adequado para rotacionar esta CMK de material importado?

A opção correta é criar uma nova CMK com material de chave recém-importado e redirecionar o alias. O AWS KMS não oferece rotação automática para CMKs com material de chave importado. Para rotacionar essas chaves, você deve criar uma nova CMK, importar o novo material de chave e, em seguida, atualizar as aplicações para usar a nova CMK, o que pode ser feito redirecionando o alias. A rotação automática não é uma opção para chaves importadas. Remover e reimportar material de chave na mesma CMK não é uma rotação, pois a CMK mantém o mesmo ID e não oferece os benefícios de segurança de uma nova chave. Importar uma cópia para uma nova CMK como backup não aborda a rotação da CMK original em uso.