Ein Entwicklungsteam erstellt eine Lieferkettenanwendung, die sensible Bestandsdaten in einem Amazon S3-Bucket speichert. Die Daten werden mit einem vom Kunden verwalteten AWS Key Management Service (AWS KMS)-Schlüssel verschlüsselt. Die Daten müssen mit Hunderten von Anbietern geteilt werden, die jeweils Principals aus ihren eigenen AWS-Konten verwenden. Die Anbieterliste ändert sich wöchentlich. Die Lösung muss den kontoübergreifenden Zugriff mit minimalem Betriebsaufwand unterstützen. Was ist der effizienteste Weg, die Schlüsselzugriffssteuerung zu verwalten?

KMS-Grants sind der effizienteste Weg, um den Zugriff auf KMS-Schlüssel für eine sich häufig ändernde Liste von Principals in verschiedenen AWS-Konten zu verwalten. Grants ermöglichen es, Berechtigungen für einen KMS-Schlüssel zu erteilen, ohne die Schlüsselrichtlinie selbst ändern zu müssen. Sie können programmgesteuert erstellt und widerrufen werden, was den Verwaltungsaufwand bei wöchentlichen Änderungen minimiert. Die Aktualisierung von IAM-Rollenrichtlinien oder KMS-Schlüsselrichtlinien ist umständlicher und kann zu einer Überschreitung der Richtliniengrößenbeschränkungen führen, wenn Hunderte von Anbietern hinzugefügt werden. Delegierter kontoübergreifender Zugriff mit IAM-Rollen würde bedeuten, dass jeder Anbieter eine eigene Rolle annehmen müsste, was die Verwaltung komplexer macht, insbesondere bei häufigen Änderungen.