Ein Partneranbieter hostet die Daten eines Unternehmens in einem S3-Bucket im AWS-Konto des Anbieters. Der Anbieter hat das Unternehmen gebeten, einen KMS-Schlüssel zur Verschlüsselung dieser Daten bereitzustellen, und hat einen IAM-Rollen-ARN mitgeteilt, den der Anbieter annehmen wird. Was sollte der SysOps-Administrator tun, um diese Integration sicher zu ermöglichen?

Die korrekte Option besteht darin, einen neuen KMS-Schlüssel im Konto des Unternehmens zu erstellen. Dieser Schlüssel ist ein kundenverwalteter Schlüssel (CMK), der dem Unternehmen die volle Kontrolle über die Verschlüsselung der Daten gibt. Durch das Hinzufügen des IAM-Rollen-ARN des Anbieters zur KMS-Schlüsselrichtlinie wird dem Anbieter die Berechtigung erteilt, diesen spezifischen Schlüssel zum Ver- und Entschlüsseln der Daten zu verwenden, ohne dass der Anbieter direkten Zugriff auf das Konto des Unternehmens erhält. Die Bereitstellung des KMS-Schlüssel-ARN an den Anbieter ermöglicht es diesem, den Schlüssel in seinen S3-Operationen zu referenzieren. Die anderen Optionen sind weniger sicher oder nicht praktikabel: Einen IAM-Benutzer zu erstellen und eine Inline-Richtlinie anzuhängen, ist unnötig komplex und gibt dem Anbieter möglicherweise zu viele Berechtigungen. Die Verwendung des von AWS verwalteten S3 KMS-Schlüssels (aws/s3) ist nicht ideal, da das Unternehmen keine Kontrolle über dessen Schlüsselrichtlinie hat und somit keine Berechtigungen für den Anbieter hinzufügen könnte. Eine S3-Bucket-Richtlinie steuert den Zugriff auf den Bucket selbst, nicht die Berechtigung zur Verwendung eines spezifischen KMS-Schlüssels für die Verschlüsselung.