Você gerencia chaves de criptografia no AWS KMS e deve garantir que as chaves possam ser tornadas inutilizáveis imediatamente quando não forem mais necessárias. A solução deve ser altamente disponível e não exigir o gerenciamento de infraestrutura de computação. Qual opção satisfaz esses requisitos?

A opção correta é usar chaves gerenciadas pelo cliente (CMKs) com material de chave importado. Ao importar o material da chave, você mantém controle sobre ele. Quando a chave não for mais necessária, a exclusão do material da chave importado a torna criptograficamente inutilizável imediatamente, atendendo ao requisito de inativação instantânea. Isso é altamente disponível e não requer gerenciamento de infraestrutura, pois o KMS é um serviço gerenciado. Chaves KMS gerenciadas pela AWS não podem ser excluídas imediatamente; elas têm um período de espera obrigatório. Excluir apenas o material da chave de uma CMK sem material importado não é uma opção, pois o KMS gera e gerencia o material da chave nesse caso. Usar um armazenamento de chaves CloudHSM adiciona complexidade de gerenciamento de infraestrutura (o próprio CloudHSM), o que vai contra o requisito de não gerenciar infraestrutura de computação.