HealthSync utiliza una clave KMS simétrica administrada por el cliente con material de clave importado (origen EXTERNAL) para cifrar los datos de la aplicación. Un nuevo control de cumplimiento exige la rotación anual automática administrada por AWS con una sobrecarga operativa mínima. ¿Cuál es el mejor enfoque para cumplir con este requisito?

La rotación automática de claves administrada por AWS solo está disponible para claves KMS con material de clave generado por AWS. Las claves con material de clave importado (origen EXTERNAL) no admiten la rotación automática de AWS. Por lo tanto, crear una nueva clave KMS con material de clave generado por AWS y habilitar la rotación automática es la solución más eficiente. Usar un alias estable permite que las aplicaciones sigan apuntando al mismo alias, mientras que el alias se actualiza para apuntar a la nueva clave rotada, minimizando los cambios en el código de la aplicación. Habilitar la rotación en la clave existente no es posible. Reimportar material de clave anualmente es una rotación manual, no automática de AWS. Convertir una clave administrada por el cliente en una clave administrada por AWS no es una opción.