Die Anwendung eines Unternehmens verschlüsselt derzeit Dateien mithilfe eines AWS Key Management Service (AWS KMS) AWS owned key. Das Sicherheitsteam möchte die Flexibilität haben, bei Verdacht auf eine mögliche Schlüsselkompromittierung jederzeit auf neues Schlüsselmaterial für alle zukünftigen Dateien umzusteigen. Ein Sicherheitsingenieur muss eine Lösung implementieren, die bedarfsgesteuerte Schlüsseländerungen ermöglicht. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung ist das Erstellen eines KMS-Schlüssel-Alias und bei Bedarf einen neuen kundenverwalteten KMS-Schlüssel zu erstellen und den Alias darauf zu verweisen. Dies ermöglicht eine sofortige Umstellung auf neues Schlüsselmaterial, da der Alias auf den neuen Schlüssel umgeleitet werden kann, ohne die Anwendung zu ändern. AWS Managed Keys und AWS Owned Keys bieten nicht die erforderliche Flexibilität für eine bedarfsgesteuerte Schlüsseländerung, da AWS die Kontrolle über diese Schlüssel hat. Die automatische Schlüsselrotation von KMS ist zeitbasiert (jährlich) und kann nicht bei Bedarf ausgelöst werden, was die Optionen mit Schlüsselrotation ungeeignet macht. Customer Managed Keys bieten die notwendige Kontrolle für dieses Szenario.