Uma empresa executa workloads apenas na região us-east-1 e agora precisa replicar seus workloads e infraestrutura para a região us-west-1. Um engenheiro de segurança deve implementar o AWS Secrets Manager para armazenar segredos em ambas as regiões, criptografados com o AWS Key Management Service (AWS KMS). A solução deve minimizar a latência e continuar funcionando se apenas uma região estiver disponível. Os segredos foram criados em us-east-1. O que o engenheiro de segurança deve fazer a seguir?

A opção correta é usar uma chave KMS gerenciada pelo cliente (CMK) multi-região. Ao criar uma CMK multi-região em us-east-1 e replicá-la para us-west-1, os segredos podem ser criptografados com a chave original e depois replicados para us-west-1, onde serão criptografados com a réplica da chave. Isso garante que os segredos estejam disponíveis e descriptografáveis em ambas as regiões, minimizando a latência, pois as operações de criptografia/descriptografia ocorrem localmente em cada região, e mantendo a funcionalidade mesmo que uma região esteja indisponível. As opções que sugerem usar chaves gerenciadas pela AWS não permitem a replicação de chaves entre regiões. As opções que sugerem chamar o endpoint do Secrets Manager em us-east-1 a partir de us-west-1 introduzem latência e falham se us-east-1 estiver indisponível, violando os requisitos do problema.