Uma empresa opera todas as cargas de trabalho na região us-east-1 e não possui recursos multi-região. A empresa deve replicar suas cargas de trabalho e infraestrutura para us-west-1. Um engenheiro de segurança precisa armazenar segredos em ambas as regiões com o AWS Secrets Manager, criptografados pelo AWS Key Management Service (AWS KMS), com latência mínima e a capacidade de operar se apenas uma região estiver disponível. O engenheiro criou os segredos em us-east-1. O que o engenheiro deve fazer a seguir?

A opção correta é usar uma chave KMS multi-região gerenciada pelo cliente. Isso permite que a mesma chave seja usada para criptografar os segredos em ambas as regiões (us-east-1 e us-west-1), garantindo que as réplicas dos segredos possam ser descriptografadas independentemente em qualquer região, mesmo que uma delas esteja indisponível. As outras opções estão incorretas porque: Usar chaves KMS gerenciadas pela AWS e replicar com novas chaves gerenciadas pela AWS em cada região não oferece a flexibilidade de uma chave multi-região e pode complicar a gestão. Configurar recursos em us-west-1 para chamar o endpoint do Secrets Manager em us-east-1 introduz latência e falha se us-east-1 estiver indisponível, o que vai contra o requisito de alta disponibilidade. Usar uma chave KMS gerenciada pelo cliente (não multi-região) e chamar o endpoint de us-east-1 tem os mesmos problemas de latência e resiliência.