Ein KMS Customer Master Key (CMK) wurde mit importiertem Schlüsselmaterial erstellt und wird von einer Java-Anwendung zur Verschlüsselung über einen Alias referenziert. Die Organisation muss das Schlüsselmaterial alle sechs Monate rotieren. Was ist das richtige Verfahren, um diesen CMK mit importiertem Material zu rotieren?

Wenn ein KMS Customer Master Key (CMK) mit importiertem Schlüsselmaterial erstellt wird, kann AWS KMS die automatische Schlüsselrotation nicht verwalten. Die Rotation muss manuell erfolgen. Der korrekte Ansatz besteht darin, einen neuen CMK mit dem neuen, importierten Schlüsselmaterial zu erstellen. Anschließend wird der Alias, der von der Anwendung verwendet wird, so aktualisiert, dass er auf diesen neuen CMK verweist. Dies gewährleistet, dass die Anwendung weiterhin den Alias referenzieren kann, während im Hintergrund ein neuer Schlüssel verwendet wird, ohne dass Codeänderungen an der Anwendung erforderlich sind. Die Option, die automatische Rotation zu aktivieren, ist falsch, da dies bei importiertem Schlüsselmaterial nicht möglich ist. Das Entfernen und erneute Importieren von Schlüsselmaterial in denselben CMK ist ebenfalls nicht der empfohlene Rotationsmechanismus und kann zu Ausfallzeiten führen. Das Erstellen eines Backups und das Konfigurieren eines Rotationszeitplans für einen neuen CMK löst das Problem der Rotation des ursprünglichen CMK nicht.