Ihr Unternehmen verfügt über zwei AWS-Konten: Produktion (hostet den Quell-S3-Bucket) und Entwicklung (Ziel-S3-Bucket). Daten im Produktions-Bucket werden mit einem kundenverwalteten AWS KMS key verschlüsselt. Sie kopieren die Daten in den S3-Bucket des Entwicklungskontos und müssen einen KMS key im Entwicklungskonto verwenden, um die kopierten Daten zu verschlüsseln. Dieser KMS key in der Entwicklung muss den Zugriff vom Produktionskonto aus ermöglichen. Welcher Ansatz erfüllt diese Anforderungen?

Die korrekte Antwort ist, einen neuen kundenverwalteten KMS key im Entwicklungskonto zu erstellen und das Produktionskonto in die Richtlinie dieses Schlüssels aufzunehmen. Dies ermöglicht es dem Produktionskonto, den KMS key des Entwicklungskontos zum Verschlüsseln der Daten während des Kopiervorgangs zu verwenden. AWS KMS keys können nicht direkt zwischen Konten repliziert werden. Ein AWS-verwalteter KMS key für S3 (AWS-managed key) kann nicht über seine Schlüsselrichtlinie so konfiguriert werden, dass ein anderes Konto darauf zugreifen kann, da seine Richtlinie von AWS verwaltet wird. Ein kundenverwalteter KMS key (CMK) bietet die notwendige Flexibilität, um kontoübergreifenden Zugriff über seine Schlüsselrichtlinie zu gewähren.