Su empresa tiene dos cuentas de AWS: producción (aloja el bucket S3 de origen) y desarrollo (bucket S3 de destino). Los datos en el bucket de producción están cifrados con una clave de AWS KMS administrada por el cliente. Copiará los datos en el bucket S3 de la cuenta de desarrollo y debe usar una clave de KMS en la cuenta de desarrollo para cifrar los datos copiados. Esa clave de KMS en desarrollo debe permitir el acceso desde la cuenta de producción. ¿Qué enfoque satisface estos requisitos?

La opción correcta es crear una nueva clave de KMS administrada por el cliente (CMK) en la cuenta de desarrollo y añadir la cuenta de producción a su política. Esto permite que la cuenta de producción use la CMK de desarrollo para cifrar los datos copiados, cumpliendo el requisito de cifrado con una clave de la cuenta de destino y acceso desde la cuenta de origen. Las claves de KMS administradas por el cliente no se pueden replicar directamente entre cuentas. Las claves administradas por AWS para S3 (AWS managed keys) no ofrecen la flexibilidad de política necesaria para permitir el acceso entre cuentas de esta manera, ya que sus políticas están predefinidas por AWS y no son editables por el usuario para conceder acceso externo.