一位网络工程师使用 AWS Direct Connect 和 MACsec 在数据中心和 Direct Connect 位置之间加密流量。MACsec 密钥可能已泄露，必须替换为安全密钥。哪项操作符合此要求？

当 MACsec 密钥可能已泄露时，必须生成并应用全新的密钥材料以确保安全性。AWS Direct Connect 支持使用客户托管密钥 (CMK) 来加密 MACsec 密钥，这提供了更高的安全性和控制。因此，正确的做法是创建一个新的 MACsec 密钥，并使用 AWS KMS 中的客户托管密钥进行加密，然后将新的预共享密钥 (PSK)、连接密钥名称 (CKN) 和连接关联密钥 (CAK) 与 Direct Connect 连接关联。 选项“创建一个使用 AWS Key Management Service (AWS KMS) AWS 托管密钥的新 MACsec 密钥”不正确，因为 AWS 托管密钥由 AWS 管理，客户无法完全控制，不符合密钥泄露后需要完全替换和控制密钥的要求。 选项“修改现有的 MACsec 密钥”不正确，因为密钥泄露后，修改现有密钥无法保证安全性，必须生成全新的密钥。