La aplicación de una empresa cifra actualmente archivos utilizando una clave propiedad de AWS Key Management Service (AWS KMS). El equipo de seguridad desea tener la flexibilidad de cambiar a un nuevo material de clave para todos los archivos futuros cada vez que se sospeche de una posible clave comprometida. Un ingeniero de seguridad debe implementar una solución que permita cambios de clave bajo demanda. ¿Qué solución cumple con estos requisitos?

La opción correcta es crear un alias de clave KMS y, cuando se necesite un cambio, crear una nueva clave KMS administrada por el cliente (CMK) y actualizar el alias para que apunte a la nueva CMK. Esta estrategia permite un cambio de clave bajo demanda y una rotación inmediata, ya que el alias siempre apunta a la clave activa más reciente. Las aplicaciones que utilizan el alias no necesitan ser modificadas. Las opciones que sugieren la rotación de claves en una CMK o una clave administrada por AWS son incorrectas porque la rotación automática de KMS es anual y no puede activarse bajo demanda. Además, las claves administradas por AWS no ofrecen el mismo nivel de control que las CMK.