Ein Unternehmen betreibt alle Workloads in der Region us-east-1 und verfügt über keine Multi-Region-Ressourcen. Das Unternehmen muss seine Workloads und Infrastruktur in us-west-1 replizieren. Ein Sicherheitsingenieur muss Secrets in beiden Regionen mit AWS Secrets Manager speichern, verschlüsselt mit AWS Key Management Service (AWS KMS), mit minimaler Latenz und der Fähigkeit, den Betrieb aufrechtzuerhalten, wenn nur eine Region verfügbar ist. Der Ingenieur hat die Secrets in us-east-1 erstellt. Was sollte der Ingenieur als Nächstes tun?

Die korrekte Option ist, Secrets in us-east-1 mit einem kundenverwalteten Multi-Region-KMS-Schlüssel zu verschlüsseln, die Secrets nach us-west-1 zu replizieren und die Repliken dort mit demselben Multi-Region-KMS-Schlüssel zu verschlüsseln. Dies ermöglicht eine geringe Latenz beim Zugriff auf Secrets in jeder Region und stellt die Verfügbarkeit sicher, selbst wenn eine Region ausfällt, da der Schlüssel in beiden Regionen aktiv ist. Die Option, AWS-verwaltete KMS-Schlüssel zu verwenden und die Repliken mit einem neuen AWS-verwalteten Schlüssel zu verschlüsseln, ist weniger flexibel und erschwert die zentrale Schlüsselverwaltung. Die Optionen, Ressourcen in us-west-1 so zu konfigurieren, dass sie den Secrets Manager-Endpunkt in us-east-1 aufrufen, führen zu hoher Latenz und einem Single Point of Failure, was den Anforderungen an minimale Latenz und hohe Verfügbarkeit widerspricht.