Eine Anwendung verwendet AWS KMS, um Daten zu verschlüsseln, bevor sie in einen Amazon S3-Bucket in einer AWS-Region abgelegt werden. Die Unternehmensrichtlinie verlangt, dass Daten vor dem Hochladen verschlüsselt und von der Anwendung beim Lesen entschlüsselt werden. Der S3-Bucket wird in andere Regionen repliziert. Die Anwendung muss in der Lage sein, die Daten regionsübergreifend zu verschlüsseln und zu entschlüsseln und denselben Schlüssel für die Entschlüsselung in jeder Region zu verwenden. Welche Lösung erfüllt diese Anforderungen?

Die Erstellung eines KMS-Multi-Region-Primärschlüssels und von Replikat-Schlüsseln in anderen Regionen ermöglicht die Verwendung desselben logischen Schlüssels für Verschlüsselung und Entschlüsselung in mehreren Regionen. Dies erfüllt die Anforderung, denselben Schlüssel regionsübergreifend zu verwenden. Die Anwendung muss lediglich den regionsspezifischen Replikat-Schlüssel ansprechen. Das Erstellen separater kundenverwalteter KMS-Schlüssel in jeder Region würde unterschiedliche Schlüssel-IDs bedeuten, was der Anforderung widerspricht, denselben Schlüssel zu verwenden. AWS Private Certificate Authority ist für die Verwaltung von Zertifikaten und nicht für die Datenverschlüsselung mit KMS-Schlüsseln gedacht. Das Exportieren von Schlüsselmaterial aus KMS und Speichern in Systems Manager Parameter Store ist unsicher und verstößt gegen Best Practices für die Schlüsselverwaltung, da KMS-Schlüsselmaterial nicht exportierbar sein sollte.