Uma empresa planeja usar o AWS Key Management Service (AWS KMS) para proteger dados em repouso e exige criptografia do lado do cliente. Vários projetos de teste estão causando um aumento no uso da AWS, com aplicativos emitindo muitas solicitações KMS por segundo para criptografia. A empresa precisa de uma solução que evite a limitação (throttling), melhore o uso de chaves para criptografia do lado do cliente e seja otimizada em termos de custo. Qual solução atende a esses requisitos?

A implementação do cache de chaves de dados usando o cache local fornecido pelo AWS Encryption SDK com um gerenciador de materiais criptográficos de cache é a solução mais eficaz. O AWS Encryption SDK permite o cache de chaves de dados, reduzindo o número de chamadas ao KMS e, consequentemente, evitando a limitação (throttling) e otimizando custos. O cache local melhora o desempenho ao manter as chaves de dados acessíveis para criptografia do lado do cliente. As outras opções são menos ideais: Usar keyrings individualmente ou combinados em um multi-keyring sem cache ainda resultaria em muitas chamadas ao KMS, levando à limitação. A rotação de chaves KMS é uma boa prática de segurança, mas não aborda diretamente o problema de limitação de chamadas ou o desempenho do cache de chaves de dados. Descriptografar dados usando qualquer chave de empacotamento em um multi-keyring é parte do funcionamento do Encryption SDK, mas não resolve o problema de limitação sem o cache.