HealthSync verwendet einen symmetrischen, vom Kunden verwalteten KMS-Schlüssel mit importiertem Schlüsselmaterial (Origin EXTERNAL) zur Verschlüsselung von Anwendungsdaten. Eine neue Compliance-Kontrolle schreibt eine automatische jährliche Rotation vor, die von AWS mit minimalem Betriebsaufwand verwaltet wird. Welches ist der beste Ansatz, um diese Anforderung zu erfüllen?

Der beste Ansatz ist, einen neuen symmetrischen, vom Kunden verwalteten KMS-Schlüssel mit von AWS generiertem Schlüsselmaterial zu erstellen und die automatische Rotation zu aktivieren. AWS KMS unterstützt die automatische Schlüsselrotation nur für KMS-Schlüssel mit von AWS generiertem Schlüsselmaterial. Importiertes Schlüsselmaterial (Origin EXTERNAL) kann nicht automatisch von AWS rotiert werden. Durch die Verwendung eines Alias kann die Anwendung weiterhin denselben Alias referenzieren, während der zugrunde liegende Schlüssel bei Bedarf aktualisiert wird, was den Betriebsaufwand minimiert. Die Aktivierung der automatischen Schlüsselrotation für den vorhandenen KMS-Schlüssel ist nicht möglich, da dieser importiertes Schlüsselmaterial verwendet. Das manuelle Reimportieren von Schlüsselmaterial ist keine automatische Rotation und erfordert erheblichen Betriebsaufwand. Die Konvertierung des vorhandenen Schlüssels in einen von AWS verwalteten Schlüssel ist nicht möglich, da der Schlüsseltyp nach der Erstellung nicht geändert werden kann.