Ein Netzwerkingenieur verwendet AWS Direct Connect mit MACsec, um den Datenverkehr zwischen dem Rechenzentrum und dem Direct Connect-Standort zu verschlüsseln. Der MACsec-Geheimschlüssel könnte kompromittiert sein und muss durch einen sicheren Schlüssel ersetzt werden. Welche Maßnahme erfüllt diese Anforderung?

Um einen kompromittierten MACsec-Schlüssel sicher zu ersetzen, müssen Sie einen neuen Schlüssel erstellen. AWS Direct Connect MACsec unterstützt die Verwendung von kundenverwalteten Schlüsseln (Customer Managed Keys, CMKs) aus AWS Key Management Service (KMS) zur Generierung des Pre-Shared Key (PSK). Ein von AWS verwalteter Schlüssel (AWS Managed Key) ist hierfür nicht geeignet, da er von AWS kontrolliert wird und nicht die nötige Flexibilität für kundenspezifische Schlüsselrotation bietet. Nach der Erstellung des neuen Schlüssels müssen die zugehörigen Parameter – Pre-Shared Key, Connection Key Name (CKN) und Connectivity Association Key (CAK) – mit der Direct Connect-Verbindung aktualisiert werden, um die neue Verschlüsselung zu aktivieren. Das Ändern eines vorhandenen Schlüssels ist keine Option, da die Sicherheit eines bereits kompromittierten Schlüssels nicht wiederhergestellt werden kann.