El equipo de ingeniería de una empresa está desarrollando una aplicación que crea concesiones de claves administradas por el cliente (customer managed key grants) de AWS Key Management Service (AWS KMS) para los usuarios. Inmediatamente después de crear una concesión, los usuarios deben poder usar la clave de KMS para cifrar una carga útil de 512 bytes. Durante las pruebas de carga, ocasionalmente se producen errores de AccessDeniedException en el primer intento de cifrado. ¿Qué debe recomendar el especialista en seguridad para eliminar estos errores?

Cuando se crea una concesión de AWS KMS, la información de la concesión puede tardar un breve tiempo en propagarse por todo el sistema de AWS KMS. Durante este período de propagación, los intentos de usar la clave KMS a través de la concesión pueden fallar con un error AccessDeniedException. La API CreateGrant devuelve un "GrantToken" que se puede usar para autorizar inmediatamente la operación criptográfica sin esperar la propagación. Al pasar este token a la llamada Encrypt, se garantiza que la operación se autorice de inmediato. Las otras opciones son incorrectas porque: Implementar un mecanismo de reintento puede funcionar, pero introduce latencia y no aborda la causa raíz del problema. Usar un token aleatorio generado por el usuario o un nombre de concesión aleatorio no es el propósito del GrantToken y no garantizará la autorización inmediata. El GrantToken es un valor específico devuelto por la API CreateGrant.