Ein Unternehmen betreibt Workloads ausschließlich in der Region us-east-1 und muss nun seine Workloads und Infrastruktur in die Region us-west-1 replizieren. Ein Sicherheitsingenieur muss AWS Secrets Manager implementieren, um Secrets in beiden Regionen zu speichern, verschlüsselt mit AWS Key Management Service (AWS KMS). Die Lösung muss die Latenz minimieren und weiterhin funktionieren, wenn nur eine Region verfügbar ist. Die Secrets wurden in us-east-1 erstellt. Was sollte der Sicherheitsingenieur als Nächstes tun?

Die korrekte Option ist, die Secrets in us-east-1 mit einem kundenverwalteten KMS-Schlüssel (CMK) zu verschlüsseln und sie dann nach us-west-1 zu replizieren, wobei dort ein Replikat des Multi-Region CMK verwendet wird. Multi-Region CMKs ermöglichen es, Secrets in mehreren Regionen mit demselben logischen Schlüssel zu entschlüsseln, was die Replikation und den Failover vereinfacht. Dies minimiert die Latenz, da Anwendungen in us-west-1 Secrets lokal abrufen können, und gewährleistet die Verfügbarkeit bei Ausfall einer Region. Die anderen Optionen sind weniger geeignet: Die Verwendung von AWS-verwalteten KMS-Schlüsseln für die Replikation würde separate Schlüssel in jeder Region erfordern, was die Verwaltung erschwert. Das Aufrufen des Secrets Manager-Endpunkts in us-east-1 von us-west-1 aus würde zu erhöhter Latenz führen und bei einem Ausfall von us-east-1 nicht funktionieren.